Security
Security umfasst Prinzipien und Maßnahmen zum Schutz von Informationen, Systemen und Prozessen vor Bedrohungen und Missbrauch.
Klassifikation
- KomplexitätHoch
- AuswirkungOrganisatorisch
- EntscheidungstypArchitektur
- OrganisationsreifeReif
Technischer Kontext
Prinzipien & Ziele
Use Cases & Szenarien
Kompromisse
- Übermäßige Komplexität durch zu viele Kontrollen
- Falsche Vertrauensannahmen in Drittsysteme
- Unzureichende Reaktion auf neue Bedrohungen
- Least-Privilege-Prinzip durchsetzen
- Regelmäßiges Patch- und Schwachstellenmanagement
- Kontinuierliche Überwachung und Tabletop-Übungen
I/O & Ressourcen
- Asset-Inventar und Klassifizierung
- Bedrohungs- und Risikoanalyse
- Rechtliche und regulatorische Anforderungen
- Risikobasierte Sicherheitskontrollen und Richtlinien
- Monitoring- und Incident-Response-Prozesse
- Audit-Trails und Compliance-Nachweise
Beschreibung
Security beschreibt Maßnahmen, Prinzipien und Prozesse zum Schutz von Informationen, Systemen und Infrastrukturen vor Bedrohungen und Missbrauch. Es umfasst organisatorische Richtlinien, technische Kontrollen und kontinuierliche Überwachung. Es erfordert risikobasierte Entscheidungen und eine Balance zwischen Schutz und Nutzbarkeit.
✔Vorteile
- Reduzierte Ausfall- und Reputationsrisiken
- Erfüllung regulatorischer Anforderungen
- Erhöhte Kunden- und Partnervertrauen
✖Limitationen
- Erfordert organisatorischen Aufwand und kontinuierliche Pflege
- Nicht alle Risiken sind vollständig eliminierbar
- Mögliche Zielkonflikte mit Nutzbarkeit und Tempo
Trade-offs
Metriken
- Zeit bis zur Erkennung (MTTD)
Mittlere Zeit zwischen Auftreten eines Sicherheitsereignisses und dessen Erkennung.
- Zeit bis zur Behebung (MTTR)
Mittlere Zeit vom Entdecken einer Schwachstelle bis zur vollständigen Behebung.
- Anzahl bestätigter Sicherheitsvorfälle
Anzahl der Vorfälle innerhalb eines definierten Zeitraums.
Beispiele & Implementierungen
ISO/IEC 27001-Implementierung
Beispiel eines Unternehmens, das ein ISMS auf Basis von ISO 27001 einführt, inklusive Risikomanagement und Richtlinien.
OWASP Top Ten Analyse
Code-Review und Tests gegen die OWASP-Top-10-Schwachstellen zur Senkung von Web-Risiken.
Zero-Trust-Design in einer Cloud-Umgebung
Architekturbeispiel für feingranulare Zugriffssteuerung, Netzwerksegmentierung und kontinuierliche Überwachung.
Implementierungsschritte
Bestandsaufnahme und Klassifizierung kritischer Assets
Risikobasierte Auswahl von Kontrollen und Richtlinien
Automatisierung von Prüfungen und kontinuierliches Monitoring
⚠️ Technische Schulden & Engpässe
Tech Debt
- Alte Systeme ohne moderne Authentifizierungsmechanismen
- Unvollständige Inventarisierung führt zu blind spots
- Manuelle Sicherheitsprozesse ohne Automatisierung
Bekannte Engpässe
Beispiele für Missbrauch
- Nur Compliance-Checklisten abarbeiten ohne Risikofokus
- Alle Zugriffe umfassend sperren und Produktivität beeinträchtigen
- Fehlende Überprüfung von Drittanbieter-Komponenten
Typische Fallen
- Übermäßige Abhängigkeit von Legacy-Sicherheitslösungen
- Unrealistische Annahmen zur Eintrittswahrscheinlichkeit von Risiken
- Mangelnde Transparenz in Verantwortlichkeiten
Erforderliche Fähigkeiten
Drivers (Architectural Drivers)
Constraints
- • Budget- und Ressourcengrenzen
- • Rechtliche und datenschutzrechtliche Vorgaben
- • Technische Abhängigkeiten von Drittanbietern