| Vorwort | 5 |
|---|
| Inhaltsübersicht | 16 |
|---|
| Inhaltsverzeichnis | 17 |
|---|
| 1 Ausgangssituation und Zielsetzung | 27 |
|---|
| 1.1 Ausgangssituation | 28 |
| 1.1.1 Bedrohungen | 28 |
| 1.1.2 Schwachstellen | 35 |
| 1.1.2.1 Fehlende oder unklare Sicherheitsanforderungen | 35 |
| 1.1.2.2 Unvollständiges Vorgehensmodell | 35 |
| 1.1.2.3 Fehlende Lebenszyklusorientierung | 36 |
| 1.1.2.4 Übermäßige TechnologiefoklJssierung | 36 |
| 1.1.2.5 Unzureichende Standardisierung | 37 |
| 1.1.2.6 Ungenügende Notfall- Krisen- und Katastrophenvorsorge | 37 |
| 1.1.3 Schadenshöhen, Schutzbedarfe | 38 |
| 1.2 Zielsetzung des Sicherheits-, Kontinuitätsund Risikomanagements | 40 |
| 1.3 Lösung | 41 |
| 1.4 Zusammenfassung | 42 |
| 2 Kurzfassung und Überblickfür Eilige | 44 |
|---|
| 3 Zehn Schritte zum Sicherheitsmanagement | 50 |
|---|
| 4 Gesetze, Verordnungen, Vorschriften, Anforderungen | 53 |
|---|
| 5 Standards, Normen, Practices | 65 |
|---|
| 5.1 Standards des BSI | 65 |
| 5.1.1 Überblick | 65 |
| 5.1.2 BSI-Standard 100-1, ISMS | 65 |
| 5.1.3 BSI-Standard 100-2, 11-Grundschutz-Vorgehensweise | 66 |
| 5.1.4 BSI-Standard 100-3, Risikoanalyse | 67 |
| 5.1.5 BSI-Standard 100-4, Notfallmanagement | 68 |
| 5.1.6 Vergleich mit der Sicherheitspyramide | 70 |
| 5.2 IT-Grundschutzkataloge des BSI | 72 |
| 5.3 ISO/lEC 27000er-Familie | 75 |
| 5.3.1 Überblick | 75 |
| 5.3.2 ISO/lEC 27001:2005, ISMS - Requirements | 77 |
| 5.3.3 ISO/IEC 27002:2005, ISM Code of Practice | 79 |
| 5.3.4 ISO/lEC 27003:2010, ISM Implementation Guidance | 80 |
| 5.3.5 ISO/lEC 27004:2009, ISM Measurement | 82 |
| 5.3.6 ISO/IEC 27005:2008, IS Risk Management | 83 |
| 5.3.7 ISO/IEC 27033, Network Security | 83 |
| 5.4 ISO/IEC 24762:2008, ICT Disaster Recovery Services | 84 |
| 5.5 ISO/lEC 20000, 11 Service Management | 85 |
| 5.6 ITIL® | 87 |
| 5.6.1 Überblick | 87 |
| 5.6.2 ITIL® Security Management | 89 |
| 5.6.3 ITIL® IT Service Continuity Management | 90 |
| 5.7 COBIT®, Version 4.0 | 91 |
| 5.8 Zusammenfasseder Vergleich mit der Sicherheitspyrarrlide | 93 |
| 5.9 Risikoanalyse mittels OCTAVE® Approach | 101 |
| 5.10 Reifegradmodelle | 102 |
| 5.10.1 Systems Security Engineering Capability Maturity Model® | 103 |
| 5.10.2 Information Technology Security Assessment Framework | 104 |
| 5.10.3 Maturity Model nach COBIT® | 105 |
| 5.10.4 Zusammenfassung | 106 |
| 5.11 Federated Identity Management | 107 |
| 5.12 Architekturen | 108 |
| 5.12.1 Serviceorientierte Architektur (SOA) | 108 |
| 5.12.2 Open Grid Services Architecture® (OGSA®) | 120 |
| 6 Definitionen | 121 |
|---|
| 6.1 Unternehmenssicherheitsmanagementsystem | 121 |
| 6.2 Informationssicherheitsmanagementsystem | 122 |
| 6.3 Sicherheitsmanagement | 123 |
| 6.4 IKT-Sicherheitsmanagement | 124 |
| 6.5 Ingenieurmäßige Sicherheit Safety, Security, Continuity Engineering | 126 |
| 6.6 Sicherheitspyramide | 127 |
| 6.7 Sicherheitspolitik | 128 |
| 6.7.1 ... nach IT-Grundschutzkatalogen | 129 |
| 6.7.2 ... nach ISO/lEC 13335-1:2004 | 130 |
| 6.7.3 ... nach ISO/IEC 27001:2005 | 131 |
| 6.7.4 ... nach ISO/IEC 27002:2005 | 131 |
| 6.7.5 ... nach ISO/IEC 27003:2010 | 131 |
| 6.7.6 ... nach ITSEC | 132 |
| 6.7.7 ... nach cemmen Criteria (ISO/IEC 15408) | 132 |
| 6.7.8 ... nach Dr.-Ing. Müller | 133 |
| 6.7.9 Vergleich | 134 |
| 6.8 Sicherheit im Lebenszyklus | 134 |
| 6.9 Ressourcen, Schutzobjekte und -subjekte sowie -klassen | 136 |
| 6.10 Sicherheitskriterien | 137 |
| 6.11 Geschäftseinflussanalyse (Business Impact Analysis) | 138 |
| 6.12 Geschäftskontinllität (Business Continuity) | 138 |
| 6.13 Sicherheit und Sicherheitsdreiklang | 138 |
| 6.14 Risiko und Risikodreiklang | 140 |
| 6.15 Risikomanagement | 142 |
| 6.16 11-Sicherheits-, IT-Kontinuitäts und IT-Risikomanagement | 142 |
| 6.17 Zusammenfassung | 143 |
| 7 Die Sicherheitspyramide Strategie und Vorgehensmodell | 146 |
|---|
| 7.1 Überblick | 147 |
| 7.2 Sicherheitshierarchie | 151 |
| 7.2.1 Sicherheits-, Kontinuitäts- und Risikopolitik | 151 |
| 7.2.2 Sicherheitsziele / Sicherheitsanforderungen | 151 |
| 7.2.3 Sicherheitstransformation und Sicherheitsmerkmale | 152 |
| 7.2.4 Sicherheitsarchitektur | 152 |
| 7.2.5 Sicherheitsrichtlinien | 153 |
| 7.2.7 Sicherheitsmaßnahmen | 154 |
| 7.3 PROSim | 155 |
| 7.4 Lebenszyklus von Prozessen, Ressourcen, Organisation, Produkten und (Dienst-)Leistungen (Services) | 156 |
| 7.4.1 Geschäfts-, Support- und Begleitprozess-Lebenszyklus | 156 |
| 7.4.2 Ressourcen-/Systernlebenszyklus | 157 |
| 7.4.3 Orga,nisationslebenszyklus | 157 |
| 7.4.4 Produkt- und Dienstleistungslebenszyklus | 157 |
| 7.5 Sicherheitsregelkreis | 158 |
| 7.6 Sicherheitsmanagementprozess | 158 |
| 7.
|
