Konzeption eines Systems zur überbetrieblichen Sammlung und Nutzung von quantitativen Daten über Informationssicherheitsvorfälle [electronic resource] /
Nowey, Thomas.author.
Für das Management von Informationssicherheit wird zunehmend eine Orientierung an ökonomischen Prinzipien und damit verbunden eine Abwägung von Kosten und Nutzen von Sicherheitsmaßnahmen gefordert. Thomas Nowey entwirft das Konzept einer Plattform zur Sammlung und Nutzung von quantitativen Daten über Informationssicherheitsvorfälle. Ausführlich werden Probleme und Lösungsmöglichkeiten bei der Gestaltung eines entsprechenden Systems diskutiert, insbesondere eine einheitliche Taxonomie zur Vorfallserfassung, sowie Sicherheits- und Fairnessaspekte. Ebenfalls wird die prototypische Implementierung des Systems dargestellt und aufgezeigt, wie sich entsprechende Methoden in die betrieblichen Prozesse integrieren können.
Description based upon print version of record.
Danksagung; Inhaltsverzeichnis; Zusammenfassung; Abbildungsverzeichnis; Tabellenverzeichnis; Abkürzungen; 1 Einleitung; 1.1 Motivation und Zielsetzung; 1.2 Forschungsfragen; 1.3 Forschungsmethodik; 1.4 Aufbau der Arbeit; 2 Begriffe, Grundlagen und Bezugsrahmen; 2.1 Quanti.zierung und Metriken; 2.2 Sicherheit; 2.2.1 IT-Sicherheit und Informationssicherheit; 2.2.2 Schutzziele; 2.2.3 Mehrseitige Sicherheit; 2.2.4 Angreifermodelle; 2.2.5 Vertrauen; 2.3 Sicherheitsmanagement; 2.3.1 Informationssicherheitsmanagement; 2.3.2 Informationssicherheitsmanagementsystem (ISMS)
2.4 Risiko und Risikomanagement2.4.1 Risikobegriff; 2.4.2 Risikomanagement; 2.5 Begriffsmodell; 2.5.1 Assets; 2.5.2 Schwachstellen; 2.5.3 Angreifer und Angriff; 2.5.4 Bedrohungen; 2.5.5 Sicherheitsvorfalle ̈; 2.5.6 Management von Sicherheitsvorfallen ̈; 2.5.7 Schaden; 2.5.8 Sicherheitsmaßnahmen; 2.5.9 Beispiel; 2.6 Kosten und Nutzen von Informationssicherheit; 2.7 Ok ̈ onomische Aspekte der Informationssicherheit; 3 Informationssicherheitsmanagement als Risikomanagementaufgabe; 3.1 Ein.usse ̈ auf das Informationssicherheitsmanagement; 3.1.1 IT-Abhangigkeit ̈ und Bedrohungslage
3.1.2 Wirtschaftlichkeitsgebot3.1.3 IT-Governance und IT-Compliance; KonTraG; Basel II; Solvency II; Sarbanes-Oxley Act; EuroSOX; Weitere Regelwerke; Fazit; 3.1.4 Internationale Standards und Normen; 3.2 Management von Informationssicherheitsrisiken; 3.2.1 Standards und Vorgehensmodelle; 3.2.2 Phasen des Risikomanagementkreislaufs; 3.2.3 Klassi.kation von Werkzeugen und Methoden; 4 Einsatz quantitativer Daten fur ̈ das Risikomanagement; 4.1 Notwendigkeit quantitativer Daten; 4.2 Risikomaße; 4.2.1 Jahrlic ̈ he Verlusterwartung; 4.2.2 Value at Risk; 4.2.3 Ermittlung der Verlustverteilung
4.2.4 Sonstige Ansatz ̈ e4.2.5 Weitere Anwendungsmoglic ̈ hkeiten; 4.2.6 Fazit; 4.3 Metriken und Regeln zur Risikosteuerung; 4.3.1 ROSI-basierte Konzepte; 4.3.2 Nettokapitalwert-basierte Konzepte; 4.3.3 Anwendungshinweise und Fazit; 4.4 Quellen fur ̈ quantitative Daten; 4.4.1 Verfugbarkeit ̈ quantitativer Daten; 4.4.2 Moglic ̈ he Quellen; Expertensch ̈atzungen; Historische Vorfallsdaten; Marktmechanismen; Simulationen; 4.4.3 Fazit; 4.5 Empirische Uberpr ̈ ufung ̈ des Status Quo; 4.5.1 Untersuchungsdesign und Vorgehen; 4.5.2 Ergebnisse und Implikationen
5 Grundkonzept eines uberbetrieb ̈ lichen Vorfallsdatenaustauschs5.1 Notwendigkeit historischer Daten; 5.2 Basiskonzept; 5.2.1 Zu erfassende Vorfallsdaten; 5.2.2 Architektur und Akteure; 5.2.3 Aufgaben der zentralen Plattform; 5.2.4 Auswertungsmoglic ̈ hkeiten; 5.3 Nutzenbetrachtung; 5.3.1 Direkte Effekte auf Ebene der Einzelorganisation; 5.3.2 Aus Marktmodellen abgeleitete Effekte; 5.3.3 Uber ̈ greifende Aspekte; 5.4 Abgrenzung zu existierenden Ansatz ̈ en; 5.4.1 CERTs und CSIRTs; 5.4.2 Information Sharing Analysis Centers (ISACs); 5.4.3 Internet Storm Center (ISC); 5.4.4 CarmentiS
5.4.5 Leurrecom.org Honeynet Project
Includes bibliographical references.
Für das Management von Informationssicherheit wird zunehmend eine Orientierung an ökonomischen Prinzipien und damit verbunden eine Abwägung von Kosten und Nutzen von Sicherheitsmaßnahmen gefordert. Thomas Nowey entwirft das Konzept einer Plattform zur Sammlung und Nutzung von quantitativen Daten über Informationssicherheitsvorfälle. Ausführlich werden Probleme und Lösungsmöglichkeiten bei der Gestaltung eines entsprechenden Systems diskutiert, insbesondere eine einheitliche Taxonomie zur Vorfallserfassung, sowie Sicherheits- und Fairnessaspekte. Ebenfalls wird die prototypische Implementierung des Systems dargestellt und aufgezeigt, wie sich entsprechende Methoden in die betrieblichen Prozesse integrieren können.
Computer security.
Computer science.
Systems and Data Security.
Computer Science, general.