[Date Prev][Date Next][Thread Prev][Thread Next][Date Index][Thread Index]
[infowar.de] (Bisher) Keine Gefahr durch Cyber-Terroristen
Infowar.de, http://userpage.fu-berlin.de/~bendrath/liste.html
-------------------------------------------------------------
http://www.inf.fh-rhein-sieg.de/person/professoren/Pohl
(Bisher) Keine Gefahr durch CyberTerroristen!
Am Jahrestag des 11. September 2001 erkl=E4rte Prof. Dr. Hartmut Pohl,=20
Direktor des ISIS InStitut f=FCr InformationsSicherheit auf dem Kongress=20
'Strategisches ITSicherheitsmanagement' des T=DCV in Berlin:
Terroristische Angriffe in der IT spielen (bisher) =FCberhaupt keine Rolle.
Aus einer ganzen Reihe von Untersuchungen wissen wir vielmehr, dass=20
schwerwiegende Angriffe auf Unternehmen ausschlie=DFlich von Innent=E4tern=
oder=20
von mit Insiderwissen ausgestatteten T=E4tern begangen werden: Von den=20
eigenen Mitarbeitern oder von den Mitarbeitern der Auftraggeber,=20
Zulieferer, Kooperationspartner und von Outsourcern.
In Sicherheitsdiskussionen wird diese Innent=E4terproblematik v=F6llig=20
untersch=E4tzt.
Die Gesch=E4ftsprozesse des Unternehmens greifen in die entsprechenden=20
Prozesse der kooperierenden Unternehmen ein die eigenen=20
Informationssysteme werden von den Partnern mitgenutzt, um Bestellungen=20
einzuleiten, Lieferungen zeitgerecht zu veranlassen und die zugeh=F6rigen=20
finanziellen Transaktionen durchzuf=FChren (Extranet).
Erfolgsentscheidend sind Sicherheitsma=DFnahmen gegen Insider!
Die T=E4ter sind ganz offensichtlich Experten und Fachleute auf ihrem=20
jeweiligen ITSpezialgebiet: Sie gehen tats=E4chlich sehr zielgerichtet vor.=
=20
Angegriffen werden Server mit Standard-Betriebssystemen und=20
Standard-Anwendungssoftware (Supply Change Management SCM, Customer=20
Relationship Management CRM). 75% der vom FBI befragten Unternehmen in den=
=20
USA berichten von Angriffen durch eigene Mitarbeiter und Insider.
Auch wenn heute (noch) keine Anzeichen daf=FCr sprechen, muss zuk=FCnftig=
doch=20
mit Cyberterroristischen Angriffen gerechnet werden in Schl=FCsselbranchen=
=20
wie der Automobilindustrie, Chemie/Pharma, Finanzdienstleistern, Verkehr=20
und Versorgern.
F=E4lle von Computerspionage und Computersabotage:
In Deutschland haben im ersten Halbjahr 2002 die F=E4lle von=
Computerspionage=20
und Sabotage =FCberproportional stark zugenommen mit direkten Sch=E4den von=
=20
bis zu 50 Millionen Euro.
In den USA werden F=E4lle von Computerspionage nach den Erhebungen des FBI=
=20
zusammen mit dem Computer Security Institute (CSI) von den betroffenen=20
Unternehmen mit einer Schadenssumme pro Unternehmen von mehr als 50 Mio. US=
=20
$ angesetzt.
Delikt Durchschnittliche
Schadenssumme in US $ H=F6chste
Schadenssummen in US $
Wirtschaftsspionage0.0650
Sabotage0.5410
Betrug4.6050
Denial of Service0.3050
Laptop Diebst=E4hle0.09 5
Tab. 1: Einige Schadenssummen in 2001 gegliedert nach Deliktart
Was wird in Unternehmen falsch gemacht:
=A7 Die Sicherheitsstrategie ist falsch meist fehlt sie v=F6llig.
Helfen kann hier nur der klassische ganzheitliche (holistische) Ansatz der=
=20
vollst=E4ndigen, unternehmens=FCbergreifenden Sicherheitsarchitektur mit=
daraus=20
abgeleiteten Sicherheitsma=DFnahmen.
=A7 Alle Systeme m=FCssen regelm=E4=DFig auf vollst=E4ndig=
eingefahrene=20
Fehlerkorrekturen (Patches Vulnerability Scan) =FCberpr=FCft werden.
=A7 Die Qualit=E4t der Sicherheitsberater ist sehr unterschiedlich und=
=20
h=E4ngt auch von der Zahl der erfahrenen Berater eines Unternehmens ab.
=A7 Public Key Infrastructures mit Verschl=FCsselung gespeicherter und=
=20
=FCbertragener Daten m=FCssen installiert werden.
=A7 Intrusion Detection & Response Systems (ID&RS) m=FCssen gezielt=
zur=20
Erkennung von Innent=E4tern eingesetzt werden.
=A7 Managed Security: Viele Unternehmen k=F6nnen und wollen die=20
aufw=E4ndigen, unverzichtbaren Sicherheitsma=DFnahmen nicht mehr leisten und=
=20
lagern Sie daher aus. Hier sind ServiceLevelAgreements zu vereinbaren!=20
Insbesondere ist das Sicherheitsniveau des Outsourcers st=E4ndig zu=20
kontrollieren.
K=F6ln/Berlin den 11. September 2002
Prof. Dr. Hartmut Pohl
---------------------------------------------------------------
Liste verlassen:
Mail an infowar -
de-request -!
- infopeace -
de mit "unsubscribe" im Text.