Unternehmen, die vom KSV eine Aufforderung erhalten ein Cyber Trust Austria Label nachzuweisen, oder dieses Label aus eigenem Interesse anstreben, sind mit einer Reihe von Anforderungen an die eigene Informationssicherheit konfrontiert. Die folgenden Umsetzungsempfehlungen der 14 Anforderungen richten sich primär an KMUs und sind in der Regel in wenigen Tagen umsetzbar*.
Cyber Trust Austria Anforderung B1 — Haben sie eine aktuelle Informationssicherheitsrichtlinie (bzw. IT-Sicherheitsrichtlinie), die für ihr Unternehmen gültig ist?
Die Informationssicherheitsrichtlinie muss die wesentlichen Anforderungen an Informationssicherheit abdecken (alle Kernthemen müssen — sofern sie anwendbar sind — in dieser Richtlinie beschrieben werden) und sollte auf ein bestehendes Regelwerk aufbauen (zB. ISO 27002, NIST 800, IT Grundschutz, IT-Sicherheitshandbuch der WKO, u.ä.). Die Richtlinie muss von der Geschäftsführung freigegeben und für Mitarbeiter verfügbar sein.
Cyber Trust Austria Anforderung B2 — Schulen Sie Ihre Mitarbeiter regelmäßig in Informationssicherheit?
Die Schulung muss die Inhalte der Informationssicherheitsrichtlinie umfassen und auf aktuelle Bedrohungen eingehen. Die Inhalte müssen zumindest folgende Themen umfassen:
- Sicherer Umgang mit Computern und Informationen
- Passwörter richtig auswählen und verwalten
- Sicher im Internet
- E‑Mails, Spam und Phishing
- Gefährliche Schadprogramme
- Verhalten und Vorgehen bei Verdacht auf IT Sicherheitsvorfall
Eine vollständige Schulung muss zumindest beim Eintritt stattfinden und aktualisierte Information muss zumindest alle zwei Jahre kommuniziert werden.
Cyber Trust Austria Anforderung B3 — Gibt es in ihrem Unternehmen eine oder mehrere Personen, die für das Thema Informationssicherheit zuständig sind?
Es muss zumindest eine namentlich benannte Person geben, die für das Thema Informationssicherheit zuständig ist, d.h. die Richtlinie erstellt und sich um die Umsetzung der Maßnahmen kümmert und dafür die notwendige Zeit zur Verfügung gestellt bekommt. Diese Person muss das notwendige fachliche Grundwissen zu den Themen haben. Diese Tätigkeit kann neben anderen Tätigkeiten ausgeübt werden oder auch von Externen im Auftrag des Unternehmens wahrgenommen werden.
Anforderung B4 — Pflegen Sie regelmäßig ein Verzeichnis all Ihrer IT-Assets und ‑Services sowie der damit verbundenen Verantwortlichkeiten?
Es muss ein Verzeichnis aller verwendeten Systeme geben. Dieses Verzeichnis muss zumindest Name und Version des Systems enthalten und den dafür Verantwortlichen.
Anforderung B5 — Verwalten sie den Zugang zu ihren Systemen nach einem Berechtigungskonzept, das jedem nur die für seine Arbeit notwendigen Rechte einräumt?
- Sowohl der Zugang zu den Anwendungen als auch zu den Dateisystemen muss reglementiert sein und über korrekt gesetzte Berechtigungen sichergestellt werden, dass nur die Personen zugreifen können, die aufgrund ihres Jobprofils einen Bedarf dafür haben.
- Es gibt eine Vorgehensweise zur Vergabe und Entzug von Berechtigungen.
Anforderung B6 — Verlangen sie von ihren Mitarbeitern für alle Anwendungen Passwörter mit einer sicheren Mindeststärke zu verwenden?
Es muss klar beschriebene Mindestkriterien für Passwörter geben, die die Empfehlungen aktueller Standards umsetzen (Passwortstärke, Zweifaktor-Authentifizierung wo notwendig und sinnvoll, Trennung Passworte, etc.). Referenz: BSI, NIST 800, etc.
Anforderung B7 — Verwenden sie die vom Hersteller empfohlenen Sicherheitseinstellungen und achten sie auf eine sichere Konfiguration all ihrer IT-Systeme?
Es muss ein Dokument geben, dass die Anforderungen an die sichere Konfiguration der eingesetzten Systeme beschreibt. Verweise auf Herstellerempfehlungen sind ausreichend. Diese Einstellungen müssen auch auf allen verwendeten Geräten — soweit technisch möglich — tatsächlich umgesetzt sein. Alternativ wird ein Abnahmescan vor Inbetriebnahme durchgeführt.
Anforderung B8 — Überprüfen sie — sofern vorhanden — individuell entwickelte, aus dem Internet zugängliche Anwendungen auf Sicherheitslücken vor Inbetriebnahme?
Individualsoftware (zB. angepasste Open Source Software, aber nicht Standardsoftware), die aus dem Internet erreichbar ist, muss zumindest vor Inbetriebnahme durch einen Penetration Test auf Schwachstellen geprüft werden.
Anforderung B9 — Aktualisieren Sie all Ihre IT-Systeme und Anwendungen regelmäßig mit Sicherheitsupdates?
- Regelmäßige Aktualisierung der Systeme mit Updates, die vom Hersteller zur Verfügung gestellt werden. Kein Systemupdate darf länger als ein Quartal überfällig sein (außer es gibt einen dokumentierten Grund, warum ein Update nicht eingesetzt werden kann)
- Systeme, die nicht mehr vom Hersteller mit Sicherheitsupdates versorgt werden, werden rechtzeitig außer Betrieb genommen bzw. es gibt definierte Ausnahmeprozesse inklusive einer Abweichungsliste.
Anforderung B10 — Sichern sie ihr Netzwerk vor unberechtigtem Zugriff von Außen ab?
Es ist eine Netzwerk-Segmentierungseinrichtung (zB. Firewall, Router, etc.) im Einsatz, welche auf Basis möglichst restriktiv gesetzter Regeln den Netzwerkverkehr mit dem Internet filtert.
Anforderung B11 — Überwachen Sie Ihre IT-Systeme auf Malware?
Es muss zumindest eine aktuelle Antivirussoftware im Einsatz sein, welche laufend die Systeme und Dateien auf Schadsoftware überprüft. Im Verdachtsfall erfolgt eine Alarmierung im Unternehmen.
Anforderung B12 — Verschlüsseln Sie sensible Daten bei der Übertragung im Internet?
- Es muss die Möglichkeit bestehen, Dateien verschlüsselt zu übertragen, entweder per eMail (zB. S/MIME, PDF verschlüsselt, mandatory enforced TLS, etc.) oder per verschlüsseltem Upload.
- Formulare auf der Webseite werden ausschließlich über https hochgeladen.
Anforderung B13 — Protokollieren Sie die Nutzung Ihrer IT-Systeme, um Sicherheitsvorfälle nachvollziehbar zu machen?
- Es müssen zumindest die Standardprotokolle der Betriebssysteme aktiviert sein. Die Protokolle müssen dem Unternehmen zur Verfügung stehen.
- Es existiert eine Übersicht aller aktiven Systemprotokolle und deren Speicherort.
- Die Protokolle werden zumindest drei Monate aufbewahrt.
Anforderung B14 — Haben Sie einen Notfallplan, anhand dessen Sie auf einen IT-Sicherheitsvorfall reagieren?
Der Notfallplan muss beschreiben, wie auf einen schwerwiegenden IT-Sicherheitsvorfall reagiert wird. Schwerwiegende Sicherheitsvorfälle sind zum Beispiel:
- Ausfall der Systeme,
- Schadsoftware-Befall (inkl. Kryptolocker) sowie
- Data Leakage
Die Pläne müssen mindestens alle zwei Jahre getestet werden.
*) Bitte beachten Sie, dass unsere Empfehlungen nach besten Wissen erhoben wurden, aber aufgrund von unterschiedlichen Rahmenbedingungen in einzelnen Unternehmen keinen Anspruch auf Vollständigkeit darstellen können.
