Open Source Information Security Management System

Anbieter zum Thema

FTAPI Software GmbH

TXOne Networks

Specops Software GmbH

Risikoanalyse durchführen - Prozesse definieren, Standardwerte festlegen

In Verinice haben Administratoren auch die Möglichkeit eine Risikoanalyse Ihres Unternehmens durchzuführen. Dazu wird im ersten Schritt über Information Security Model der Menüpunkt „Mein Unternehmen“ doppelt angeklickt Auf der rechten Seite lassen sich anschließend über „Risiko Akzeptanz“ Werte festlegen. Diese dienen als Grundlage für die Risikoanalyse.

Anschließend werden die Einstellungen gespeichert. Über das Kontextmenü von Prozesse im linken Bereich des Fensters, wird ein neuer Prozess für die Risikoanalyse gestartet. Hier wird zunächst ein Name festgelegt. Danach wird konfiguriert welche Auswirkung der Ausfall des Prozesses auf die IT hat, zum Beispiel der Ausfall des Mail-Servers. Die Einstellungen dazu sind über Business Impact zu finden. Auch diese Einstellungen werden gespeichert.

Bildergalerie

Bildergalerie mit 10 Bildern

Wie man Verinice konfiguriert und den Funktionsumfang des Open Source ISMS-Tools voll nutzt, sehen Sie in der obenstehenden Bilderstrecke.

Assets hinterlegen

Nachdem die Prozesse festgelegt wurden, müssen Anwender noch Assets festlegen. Diese werden über das Kontextmenü von Assets auf der linken Seite festgelegt. Bei Art des Assets muss eine Klassifizierung hinterlegt werden, zum Beispiel „Service“. Auch diese Einstellungen müssen gespeichert werden. Sind die Business-Impact-Werte des Prozesses identisch mit dem Asset, lassen sich diese miteinander verknüpfen. Dazu wird einfach per Drag&Drop der Prozess auf das erstellte Asset gezogen. Die Verknüpfung erscheint danach auf der Registerkarte Verknüpfung im unteren Bereich.

Risikoszenarien definieren

Anschließend wird ein Risiko-Szenario erstellt. Dazu wird das Kontextmenü von Szenarios auf der linken Seite verwendet. Wer keine eigenen Szenarien erstellen will, kann sich diese auch bei den Entwicklern kaufen, oder die Pro-Version verwenden. Diese verfügt automatisch über alle verfügbaren Szenarien. Ein Risikoszenario besteht aus einer akuten Bedrohung und einer dazugehörigen Schwachstellen. Diese lassen sich auch separat auf der linken Seite des Fensters anlegen. Durch das Verknüpfen einer Schwachstelle mit einer Bedrohung lassen sich neue Szenarien festlegen.

Bedrohungen lassen sich außerdem so steuern, dass Anwender festlegen können in welchen Zeiträumen diese auftauchen. Basierend darauf lassen sich die Schwachstellen des Servers klassifizieren, zum Beispiel Sicherheitslücken. Nachdem das Szenario mit Schwachstelle und Bedrohung erstellt wurde, lässt sich es sich, ebenfalls per Drag and Drop mit dem erstellten Asset verknüpfen. Auch diese Verknüpfung wird im Fenster angezeigt. Es besteht auch die Möglichkeit mehrere Szenarien zu hinterlegen.

Berichte erstellen und Maßnahmen festlegen

Der verantwortliche Mitarbeiter oder andere leitende Angestellte im Unternehmen muss bewerten, wie das bestehende Risiko behandelt werden soll, damit sich die Gefahr für das Unternehmen reduziert. Hier sollten Anwender zum Beispiel den ISO 27001 Anhang A oder ISO 27002 in das Tool einbinden, genauso wie den BSI-Grundschutz. Danach stehen über den Menüpunkt Controls Maßnahmen zur Verfügung, die dabei helfen die Risiken zu minimieren. Sobald Maßnahmen hinterlegt sind, muss noch festgelegt werden, ob diese bereits umgesetzt sind.

Controls lassen sich aber auch manuell erstellen, ebenfalls wieder über das Kontextmenü des entsprechenden Menüpunktes. Auch Controls mit den hinterlegten Maßnahmen lassen sich mit Szenarien verknüpfen. Maßnahmen reduzieren die Wahrscheinlichkeit, dass bestimmte Gefahren auftreten. Manche Maßnahmen reduzieren auch den Business Impact. Sobald die Maßnahmen festgelegt sind, lässt sich über das Kontextmenü des Berichtes Mit Erzeuge Report ein Bericht erstellen. Auch das Format des Berichtes lässt sich an dieser Stelle konfigurieren.

Weitere Maßnahmen mit Verinice

Über den Menüpunkt Hilfe können Anwender verschiedene Tutorials für den Umgang mit Verinice starten. Diese helfen bei der Einrichtung, Verwendung und dem Erstellen von Sicherheitsanalysen. Ein wichtiger Punkt ist das Erfassen der kompletten Infrastruktur. Diese Aufgaben dauern einige Zeit. Sobald die Infrastruktur aber erfasst und Maßnahmen, Risiken, Bedrohungen und Szenarien erstellt sind, lassen sich schnell Analysen über neue Bedrohungen in Erfahrung bringen.

Bildergalerie

Bildergalerie mit 10 Bildern

Wie man Verinice konfiguriert und den Funktionsumfang des Open Source ISMS-Tools voll nutzt, sehen Sie in der obenstehenden Bilderstrecke.

(ID:43525038)