30.5 Maßnahmen zur Reduzierung und Auswirkungen von sicherheitsrelevanten Vorfällen 

Es sollte nicht erst dann reagiert werden, wenn ein System instabil wird oder ein Eindringling erfolgreich war und Schaden angerichtet hat, sondern bereits dann, wenn z.B. aufgrund der Überwachung des Systems mittels des Ereignisprotokolls der Verdacht aufkommt, dass Gefahr im Verzug ist. Folgende Maßnahmen können geeignet sein, das System vor Fehlern und Angriffen zu schützen und die Ursachen von Zwischenfällen (Anwendungsfehler eines Administrators, Fehlverhalten einer Komponente oder Routine oder wirklicher Angriff von innen oder außen auf das System) effektiv zu finden und zu beseitigen:

Alle Vorschriften und Prozeduren müssen sorgfältig aufgesetzt, getestet und produktiv geschaltet werden.

Die beteiligten Personen (Administratoren, Helpdesk, Sicherheitsbeauftragter) müssen mit den Zielen und dem Handling vertraut gemacht werden.

Die Organisationsleitung muss die Notwendigkeit der Sicherheitsmaßnahmen erkennen und sie unterstützen.

Bei sensiblen Servern bzw. Datenbeständen sollte das Vieraugenprinzip eingeführt werden. Ein Kennwort setzt sich z.B. aus zwei Teilen zusammen, deren Einzelteile jeweils nur eine Person kennt. Beide Einzelteile sind in separaten Couverts im Tresor hinterlegt.

In festgelegten Zeitabständen müssen der Netzwerkverkehr und die Systemperformance beobachtet werden.

In festgelegten Zeitabständen müssen alle Protokolldateien und Schutzmechanismen kontrolliert werden.

Das Gesamtsystem und die Einzelsysteme müssen in regelmäßigen Abständen durch einen Sicherheitsspezialisten mit Tools auf Unsicherheiten geprüft werden (simulierter Hackangriff).

In festgelegten Zeitabständen müssen alle Server bezüglich des aktuellen Stands von Patches und Hotfixes überprüft werden.

In regelmäßigen Zeitabständen müssen Sicherheitstrainings für Administratoren und Endanwender durchgeführt werden.

Die Mitarbeiter können z.B. durch Schilder oder Anmeldehinweise an ihre Mitverantwortung erinnert und auf die disziplinarischen oder rechtlichen Konsequenzen bei Verstößen gegen Sicherheitsregeln hingewiesen werden.

Eine Vorschrift für sichere Kennwörter muss entwickelt und durchgesetzt werden.

Die Backup- und Restore-Prozeduren müssen regelmäßig getestet werden. Das Personal muss im Umgang damit und in der Systemwiederherstellung für den Notfall geübt sein.

Nur ausgewähltes Personal darf in den Besitz von Sicherungsbändern gelangen.

Defekte Bänder und Sicherungsstreamer müssen sofort ausgetauscht werden.

Sicherungsgeräte müssen regelmäßig mit Reinigungsbändern gewartet werden.

Die Batterien für die unterbrechungsfreie Stromversorgung (USV) müssen in regelmäßigen Abständen getestet werden. Nach Ablauf der vom Hersteller genannten Zeit müssen die Batterien ausgetauscht werden. Ebenso muss getestet werden, ob die Server bei einem längeren Ausfall des Stromnetzes automatisch fehlerfrei heruntergefahren werden.

Es sollte ein IT-Sicherheitsteam mit klaren Verantwortlichkeiten und Eskalationsprozeduren gebildet werden.

Es sollte eine Auswahl von geeigneten Sicherheitstools (z.B. aus den Server Resource Kits) getroffen und die Systemverantwortlichen sollten im Gebrauch der Tools unterwiesen werden.

Für den Fall eines Komplettausfalls müssen alle zum Disaster Recovery benötigten Routinen und Tools auf externen Datenmedien oder einem Standalone-PC (Laptop) bereitgehalten werden.

Alle wichtigen Kontaktinformationen (Handynummern) zu Administratoren und Sicherheitsbeauftragten, dezentralen Administratoren, Haustechnikern, Supportstellen von Herstellern, Virenexperten usw. müssen zentral gepflegt und als Ausdruck in den Serverräumen bereitgelegt werden.

Alle wichtigen Informationen wie System-Kennwörter, IP-Adressen, Servernamen, Server- und Netzdokumentationen, Routerkonfigurationen, Firewall-Konfigurationen, Kopien von PKI-Zertifikatautoritäten (Diskette zum Wiederherstellen eines Zertifikatsservers), Eskalationspläne usw. müssen redundant und sicher aufbewahrt werden.

Die Funktionen und Verantwortungsbereiche der einzelnen Administratoren und Sicherheitsbeauftragten müssen klar gegeneinander abgegrenzt werden.

Es sollten Bulletins, Newsletter und Fachzeitschriften abonniert werden, die über neueste Sicherheitsgefährdungen aktuell berichten (speziell Virensupport-Hilfen im Internet).

Es sollten Websites gesammelt werden, die Inhalte zu Netzwerksicherheit und Hackerangriffen anbieten.

Alle Sicherheitsroutinen müssen bei Umstrukturierungen und Erweiterungen des Systems unverzüglich angepasst und regelmäßig auf Aktualität überprüft werden.

Bei Windows-basierter Software sollte die Website windowsupdate.microsoft.com regelmäßig auf sicherheitsrelevante Updates überprüft werden.