ISO 27001:2005 – Physische Sicherheit in Unternehmen Security-Richtlinien und Best Practices für die Zugriffskontrolle

Von den elf Überwachungsbereichen, die ISO/IEC 27001:2005 beschreibt, wird der fünfte Bereich „Physische Sicherheit“ sicherlich am meisten unterschätzt. Doch für das Managementsystem für Informationssicherheit spielt physische Sicherheit eine große Rolle. Security-Insider untersucht die Anforderungen nach ISO und zieht Parallelen zur Praxis.

Anbieter zum Thema

sysob IT-Distribution GmbH & Co. KG

Security-Insider

SEPPmail - Deutschland GmbH

Auch die beste Firewall nützt nichts, wenn der Serverraum offen steht, oder wenn es keine Personensicherheitskontrollen zu wichtigen Forschungsbereichen gibt. In diesen Fällen fehlt eine „physikalische Firewall“.

Der Überwachungsbereich „Physische Sicherheit“ beschäftigt sich mit allen Belangen der sicheren Organisationsumgebung. Unterteilt ist der Überwachungsbereich in die beiden Kapitel „Sichern von Bereichen, wie Eingangsbereiche und Räume“ sowie „Sichern des Equipments vor Diebstahl, Missbrauch etc“.

Der BSI beschreibt dies in seinem Standard 100-2 und integriert den physischen Schutz in die Schutzbedarfskategorien und in eine fiktive Beispielorganisation „Bundesamt für Organisation und Verwaltung (BOV)“.

Sichern von Bereichen – Die Vorpostenlinie

Sensible Daten müssen in sicheren Umgebungen stehen, das ist und bleibt unumstritten. Ob aber einfach nur der wachsame Blick der Empfangsdame ausreicht oder Dreimeterzäune hermüssen, soll ISO 27001:2005 mit seinen Kontrollzielen klären. Mögliche Sicherungsmaßnahmen lauten der Norm nach wie folgt:

• Die Peripherie eines Gebäudes sollte mit geeigneten Absperrungen und Einbruchssicherungen versehen sein.
• Empfangs- und interne Bereiche sollten voneinander getrennt sein.
• Die Feuertüren und Fluchtwege in Sicherheitsumgebungen müssen abgesichert und überwacht sein.
• Eindringlings-Warnanlagen und spezielle Zutrittskontrollen helfen das Gebäude zu sichern.
• Die informationsverarbeitenden Einrichtungen für interne- und externe Belange sollten physikalisch von einander getrennt sein.

Alle Maßnahmen sind natürlich nur dann erfolgreich, wenn sie sachgemäß bedient sowie gewartet werden und auf dem neuesten technischen Stand sind. Gemäß des Security-Bedürfnisses der zu zertifizierenden Organisation sollte ein sinnvoller Sicherheitsaufwand veranlasst werden.

Sichern von Bereichen – Eingangskontrollen

Eingangskontrollen sichern den Zugang zu sensiblen Organisationsbereichen. Technisch basierte Lösungen gibt es in Form von Terminals bis hin zur berührungslosen Erfassung (siehe Abbildungen 1 bis 3). Um eigene Schwachstellen aufzudecken, sollte man sich auch in die Situation eines Spions hineinversetzen.

„Wie trickse ich das Terminal aus?“ oder „Wie komme ich an eine Smartcard?“ – solche Fragen sind Eckpunkte einer erfolgreichen Risikominimierung. Hollywood macht es vor. Da hängt der Angreifer letztlich am Stahlseil über Kopf und seilt sich langsam über einen Computerterminal ab.

ISO 27001:2005 beschreibt folgende Ziele:

• Besucher sollten besonders behandelt und Informationen wie Besuchszeiten gespeichert werden.
• Sicherheitszonen werden am besten nur autorisiertem Personal zugänglich gemacht.
• Alle Mitarbeiter, Besucher und Teilzeitkräfte sollten eine Identifikationsmarke offen tragen, um ihren Status nach außen hin zu dokumentieren.
• Externe Berater erhalten im Regelfall „nur“ beschränkten Zugriff auf Sicherheitszonen. Falls dennoch Berechtigungen erteilt werden, müssen die Zugriffe überwacht werden.
• Zugriffsrechte auf Sicherheitszonen sollten regelmäßig überwacht und reaktiviert werden.

Bereiche sichern und an das Unmögliche denken

Etliche Terroranschläge haben leider mal wieder gezeigt, dass man auch mit dem Unfassbaren rechnen muss. Aber auch Erdbeben, Tsunami, Krieg oder „nur“ ein Feuer können verheerende Auswirkungen haben. Als Konsequenz daraus sollten Daten und Datenträger sicher gelagert, das Rechenzentrum sicher ausgestattet und alle Backup-Datenträger an einem unterschiedlichen (aber auch gesicherten) Standort gelagert sein.

Sichern des Equipments

Wie die Umgebung sollte auch das Equipment entsprechend des Sicherheitsbedürfnisses geschützt sein. Mögliche Gefahren sind Diebstahl, Sabotage oder der nicht autorisierte Zugriff. Aber auch andere Aspekte wie Stromausfall oder Feuer müssen berücksichtigt werden.

Ebenso wichtig sind die diversen Kabelverbindungen (Strom, Glasfaser- und Kupferkabel zur Datenübertragung – detaillierte Liste, siehe ISO-Norm 17799:2005). Wenn beispielsweise Filialen über ein Datenkabel verbunden sind, sollte sichergestellt sein, dass eine Backup-Leitung für den Notfall existiert und die Kabel mechanisch gegen Beschädigung und Spionage geschützt sind.

Die in einem Rechenzentrum notwendigen Gerätschaften, wie Klimaanlage, Notstromaggregate, UPS, Ventilation, Wasserzufuhr, Abwasser, Feuermeldesystem (inkl. Rauchmelder, Feuerlöscher und Sprinkleranlage) und Telekommunikation müssen überprüft und gewartet werden. Je nach Sicherheitsbedürfnis sollten auch Ersatzsysteme vorhanden sein.

Befindet sich das Equipment außerhalb des geschützten Firmen- oder Organisationsgebäude, wie beispielsweise bei Home-Offices, ist eine maßvolle physische Sicherung notwendig. Tragbare Geräte wie Laptops oder auch Handhelds sollten besonders geschützt transportiert und nie unbeaufsichtigt gelassen werden (zum Beispiel im Auto). Das Risiko steigt grundsätzlich immer, wenn Equipment oder Informationen den geschützten Organisationsbereich verlassen.

Equipment auch bei Neuverwendung oder Entsorgung sichern

Viele Betriebssysteme haben die Eigenschaft, dass gelöschte Daten aus dem „Papierkorb“ nicht wirklich gelöscht werden. Sie können fast immer rekonstruiert werden. Um dies zu verhindern, gibt es neben speziellen Lösch-Programmen noch die Möglichkeit des Schredderns alter Bändern und Festplatten.

Sichern von Bereichen – Schwachstellen

Der allerwichtigste Schutz vor unbefugten Personen ist die Sensibilisierung der Mitarbeiter. Ein Einbrecher wird sich den geeigneten Zeitpunkt, den geeigneten Ort und die richtige Kleidung aussuchen. Beispielsweise zur Rushhour am Morgen, wo er durch den Eingangsbereich einfach so durchschlüpfen kann.

Einmal in der Firma angekommen, kann er sogar so dreist sein, sich einen echten Firmenausweis zu erschwindeln. In einigen Fällen dürfte sogar schon die Behauptung ausreichen, den Ausweis verloren zu haben oder ein neuer Mitarbeiter zu sein. Mit dem echten Ausweis stehen dem Eindringling dann auch Türen offen, die durch aufwändige Schutzmaßnahmen gesichert sind.

Gerade in Firmen mit sehr vielen Mitarbeitern ist die Anonymität so groß, dass mit gefälschten, gestohlenen oder erschlichenen Ausweisen ein Zutritt relativ einfach möglich ist. Der Umgang der Mitarbeiter mit Sicherheitstechnik muss daher hundertprozentig verantwortungsvoll stattfinden. Wie alle Kontrollbereiche der Norm unterliegt auch dieser Teil dem Lebenszyklusmodell (Plan-Do-Check-Act-Modell, siehe Abbildung 4) und muss laufend überwacht und gewartet werden.

Fazit

Zutrittskontrollen und verschiedene Sicherheitsbereiche helfen, ein Organisationsgebäude sicherer zu gestalten. An Naturkatastrophen, Spionage und Attentate muss leider gedacht werden. Je nach Schutzbedürfnis resultiert daraus eine entsprechende physikalische und örtliche Aufteilung der IT.

Neben der Sicherheitstechnik sollte der Faktor Mensch nie außer Acht gelassen werden. Sicherheitskontrollsysteme und Vorschriften sind nur soweit effektiv, wie sie tatsächlich angewendet werden. Eine Kontrolle der eigentlichen Kontroll-Organe ist daher unumgänglich.

(ID:2006711)