Compliance mit Verinice Open Source Information Security Management System

Mit dem Open Source Information Security Management System (ISMS) Verinice können Unternehmen Regeln für den sicheren Umgang mit Daten im Unternehmen sicherstellen. Das Tool steht unter der kostenlosen Lizenz GPLv3 zur Verfügung. Unternehmen, die intern Regeln für den Datenschutz aufstellen wollen, sollten sich die Software ansehen.

Anbieter zum Thema

FTAPI Software GmbH

TXOne Networks

Specops Software GmbH

Verinice hilft dabei Maßnahmen aus dem BSI IT-Grundschutz im Unternehmen zu implementieren. Auch Risikoanalysen nach ISO 27005 lassen sich damit durchführen. Das System ist nach ISO 27001 zertifiziert und kann IS-Assessments nach VDA-Vorgaben vornehmen. Außerdem eignet sich das Tool für den Nachweis von Compliance mit den Standards ISO 27001, IDW PS 330 und noch weiteren Standards.

Neben der kostenlosen Opensource-Lösung, gibt es auch eine kostenpflichtige Pro-Version Diese bietet einen Serverpart, für den Aufbau einer 3-Tier-Architektur.

Bildergalerie

Bildergalerie mit 10 Bildern

Wie man Verinice konfiguriert und den Funktionsumfang des Open Source ISMS-Tools voll nutzt, sehen Sie in der obenstehenden Bilderstrecke.

Verinice arbeitet auch mit Systemen wie OpenVAS zusammen. Auf dieser Basis lassen sich dann Schwachstellen mit OpenVAS aufdecken. Diese werden zu Verinice übertragen und auf Basis einer Bedrohung und eines Risikoszenarios bewertet.

Zunächst sollte beachtet werden, dass der umfassende Nutzen von Verinice nur durch umfassende Konfiguration, Analyse und Dokumentation erfolgt. Zur Einrichtung ist einiges an Fleissarbeit gefragt, die sich aber lohnt. Wird die IT-Infrastruktur im Tool hinterlegt und die notwendigen Daten konfiguriert, erhalten Unternehmen einen extrem effizienten Grundschutz und umfangreiche Risikoanalysen. Die verschiedenen Grundschutzkataloge lassen sich über das BSI und die anderen Anbieter direkt in Verinice integrieren.

Erste Schritte mit Verinice - IT Grundschutz

Um Verinice zu nutzen, müssen Anwender das Tool nur herunterladen, entpacken und starten. Eine Installation der 163 MB großen Datei ist nicht notwendig. Danach startet die Verwaltungsoberfläche des ISMS.

Um zum Beispiel den BSI Grundschutz umzusetzen, muss zunächst noch der IT-Grundschutz Katalog heruntergeladen und in das Tool eingebunden werden. Die Kataloge, die das Tool unterstützt, lassen sich direkt bei den Entwicklern herunterladen. Die Kataloge liegen im ZIP-Format vor und müssen nicht extrahiert werden. Nachdem die Kataloge heruntergeladen wurden, müsse diese in Verinice integriert werden. Die Einstellungen dazu sind über Bearbeiten\Einstellungen zu finden. Im Falle des BSI IT-Grundschutzes muss der Bereich BSI IT-Grundschutz geöffnet werden. Hier hinterlegen Anwender einfach den Pfad zur ZIP-Datei und speichern die Einstellung. Danach werden die Daten aus dem Katalog in Verinice eingebunden. Sobald die Daten integriert sind, können sich Verantwortliche an die Auswahl machen.

Verinice wird auch zukünftig Daten aus dem BSI-Grundschutz-Katalog verwenden. Diese Verwendung wurde von den Entwicklern zertifiziert. Unternehmen, die noch auf das veraltete BSI-Tool GSTool setzen, können die Daten aus dem Tool in Verinice importieren und weiter verarbeiten. Die Einstellungen dazu sind über Datei\Daten aus dem GSTool importieren zu finden.

Bildergalerie

Bildergalerie mit 10 Bildern

Wie man Verinice konfiguriert und den Funktionsumfang des Open Source ISMS-Tools voll nutzt, sehen Sie in der obenstehenden Bilderstrecke.

Risikoanalyse durchführen - Prozesse definieren, Standardwerte festlegen

In Verinice haben Administratoren auch die Möglichkeit eine Risikoanalyse Ihres Unternehmens durchzuführen. Dazu wird im ersten Schritt über Information Security Model der Menüpunkt „Mein Unternehmen“ doppelt angeklickt Auf der rechten Seite lassen sich anschließend über „Risiko Akzeptanz“ Werte festlegen. Diese dienen als Grundlage für die Risikoanalyse.

Anschließend werden die Einstellungen gespeichert. Über das Kontextmenü von Prozesse im linken Bereich des Fensters, wird ein neuer Prozess für die Risikoanalyse gestartet. Hier wird zunächst ein Name festgelegt. Danach wird konfiguriert welche Auswirkung der Ausfall des Prozesses auf die IT hat, zum Beispiel der Ausfall des Mail-Servers. Die Einstellungen dazu sind über Business Impact zu finden. Auch diese Einstellungen werden gespeichert.

Bildergalerie

Bildergalerie mit 10 Bildern

Wie man Verinice konfiguriert und den Funktionsumfang des Open Source ISMS-Tools voll nutzt, sehen Sie in der obenstehenden Bilderstrecke.

Assets hinterlegen

Nachdem die Prozesse festgelegt wurden, müssen Anwender noch Assets festlegen. Diese werden über das Kontextmenü von Assets auf der linken Seite festgelegt. Bei Art des Assets muss eine Klassifizierung hinterlegt werden, zum Beispiel „Service“. Auch diese Einstellungen müssen gespeichert werden. Sind die Business-Impact-Werte des Prozesses identisch mit dem Asset, lassen sich diese miteinander verknüpfen. Dazu wird einfach per Drag&Drop der Prozess auf das erstellte Asset gezogen. Die Verknüpfung erscheint danach auf der Registerkarte Verknüpfung im unteren Bereich.

Risikoszenarien definieren

Anschließend wird ein Risiko-Szenario erstellt. Dazu wird das Kontextmenü von Szenarios auf der linken Seite verwendet. Wer keine eigenen Szenarien erstellen will, kann sich diese auch bei den Entwicklern kaufen, oder die Pro-Version verwenden. Diese verfügt automatisch über alle verfügbaren Szenarien. Ein Risikoszenario besteht aus einer akuten Bedrohung und einer dazugehörigen Schwachstellen. Diese lassen sich auch separat auf der linken Seite des Fensters anlegen. Durch das Verknüpfen einer Schwachstelle mit einer Bedrohung lassen sich neue Szenarien festlegen.

Bedrohungen lassen sich außerdem so steuern, dass Anwender festlegen können in welchen Zeiträumen diese auftauchen. Basierend darauf lassen sich die Schwachstellen des Servers klassifizieren, zum Beispiel Sicherheitslücken. Nachdem das Szenario mit Schwachstelle und Bedrohung erstellt wurde, lässt sich es sich, ebenfalls per Drag and Drop mit dem erstellten Asset verknüpfen. Auch diese Verknüpfung wird im Fenster angezeigt. Es besteht auch die Möglichkeit mehrere Szenarien zu hinterlegen.

Berichte erstellen und Maßnahmen festlegen

Der verantwortliche Mitarbeiter oder andere leitende Angestellte im Unternehmen muss bewerten, wie das bestehende Risiko behandelt werden soll, damit sich die Gefahr für das Unternehmen reduziert. Hier sollten Anwender zum Beispiel den ISO 27001 Anhang A oder ISO 27002 in das Tool einbinden, genauso wie den BSI-Grundschutz. Danach stehen über den Menüpunkt Controls Maßnahmen zur Verfügung, die dabei helfen die Risiken zu minimieren. Sobald Maßnahmen hinterlegt sind, muss noch festgelegt werden, ob diese bereits umgesetzt sind.

Controls lassen sich aber auch manuell erstellen, ebenfalls wieder über das Kontextmenü des entsprechenden Menüpunktes. Auch Controls mit den hinterlegten Maßnahmen lassen sich mit Szenarien verknüpfen. Maßnahmen reduzieren die Wahrscheinlichkeit, dass bestimmte Gefahren auftreten. Manche Maßnahmen reduzieren auch den Business Impact. Sobald die Maßnahmen festgelegt sind, lässt sich über das Kontextmenü des Berichtes Mit Erzeuge Report ein Bericht erstellen. Auch das Format des Berichtes lässt sich an dieser Stelle konfigurieren.

Weitere Maßnahmen mit Verinice

Über den Menüpunkt Hilfe können Anwender verschiedene Tutorials für den Umgang mit Verinice starten. Diese helfen bei der Einrichtung, Verwendung und dem Erstellen von Sicherheitsanalysen. Ein wichtiger Punkt ist das Erfassen der kompletten Infrastruktur. Diese Aufgaben dauern einige Zeit. Sobald die Infrastruktur aber erfasst und Maßnahmen, Risiken, Bedrohungen und Szenarien erstellt sind, lassen sich schnell Analysen über neue Bedrohungen in Erfahrung bringen.

Bildergalerie

Bildergalerie mit 10 Bildern

Wie man Verinice konfiguriert und den Funktionsumfang des Open Source ISMS-Tools voll nutzt, sehen Sie in der obenstehenden Bilderstrecke.

(ID:43525038)