Source: http://docplayer.org/783711-Neues-informationssicherheitsgesetz-future-best-practice-liliane-mollet-geschaeftsfuehrerin-insecor-gmbh-master-of-law-cas-information-security.html
Timestamp: 2017-10-19 07:27:08
Document Index: 151906671

Matched Legal Cases: ['Art. 1', 'Art 2', 'Art. 7', 'Art. 8', 'Art. 3', 'Art. 3', 'Art. 8', 'Art. 1', 'Art. 14', 'Art. 13']

Neues Informationssicherheitsgesetz future best practice? Liliane Mollet. Geschäftsführerin insecor gmbh, Master of Law, CAS Information Security - PDF
Download "Neues Informationssicherheitsgesetz future best practice? Liliane Mollet. Geschäftsführerin insecor gmbh, Master of Law, CAS Information Security"
1 Neues Informationssicherheitsgesetz Liliane Mollet Geschäftsführerin insecor gmbh, Master of Law, CAS Information Security 8. Tagung zum Datenschutz Jüngste Entwicklungen,
2 Agenda 1. Einleitung 2. Ausgangslage für neues Informationssicherheitsgesetz (ISG) 3. Ausgewählte Inhalte des ISG und Praxisbeispiele 4. Kritische Würdigung 2
3 Neues Informationssicherheitsgesetz Einleitung Neues Informationssicherheitsgesetz future best practice?, 3
4 1. Einleitung Phänomene der heutigen Zeit Informationsgesellschaft Zunehmende Verbreitung/Nutzung und Abhängigkeit von IKT Steigende Komplexität der IKT Neue Technologien und Trends z.b. SMAC (Social, Mobile, Analytics, Cloud) Cyberwelt kennt keine (Staats-)Grenzen! Alles gratis! Zu welchem Preis? Digital Natives vs. Digital Immigrants Steigende Cyberkriminalität Quelle: 4
5 1. Einleitung Phänomene der heutigen Zeit 5
6 Neues Informationssicherheitsgesetz Ausgangslage für neues Informationssicherheitsgesetz (ISG) Neues Informationssicherheitsgesetz future best practice?, 6
7 2. Ausgangslage für neues ISG Wichtigste Gründe für ein Informationssicherheitsgesetz (ISG) Angriff auf Systeme des EDA Bundesrat beschliesst Erhöhung der Informationssicherheit in der Bundesverwaltung Bundesratsauftrag zur Schaffung formell-gesetzlicher Grundlagen für Informationsschutz Lybien-Krise Die GPK-S 1 hält in ihrem Bericht fest, dass ( ) in Sachen Informationsschutz und Schutz von technischen Geräten in der Bundesverwaltung grosser Handlungsbedarf besteht ( ) Expertengruppe unter Prof. Dr. iur. Markus Müller wird eingesetzt Bundesratsentscheid 1) Ausdehnung des Regelungsbereichs auf die Informationssicherheit 2) Koordination mit Cyber-Defense-Strategie und Strategie Informationsgesellschaft Bundesauftrag betreff. Harmonisierung / Straffung Personensicherheitsprüfungen Nationale Strategie zum Schutz der Schweiz vor Cyber-Risiken (NCS) 1 GPK-S: Geschäftsprüfungskommission des Ständerates 7
8 2. Ausgangslage für neues ISG Wichtigste Gründe für ein Informationssicherheitsgesetz (ISG) Bundesrat erteilt Zusatzauftrag: Bericht über Gefahren und Lücken in der Informationssicherheit in der Bundesverwaltung und Vorschläge für Sofortmassnahmen Siehe Bericht des VBS vom , Verhinderter Datenabfluss im Nachrichtendienst des Bundes. 8
9 2. Ausgangslage für neues ISG Wichtigste Gründe für ein Informationssicherheitsgesetz (ISG) Juni 2013 NSA, Snowden & Co. Auftrag für ein neues Gesetz im Bereich Informationssicherheit erreicht wiederum neue Dimensionen. 9
10 2. Ausgangslage für neues ISG Aktuelle Meilensteine Vernehmlassungsverfahren Bericht über die Ergebnisse des Vernehmlassungsverfahrens Mai 2015 Botschaft wird dem Bundesrat vorgelegt Herbst 2015 Erstmalige Parlamentarische Beratung Früheste Inkraftsetzung Das Schweizer Parlament 10
11 Neues Informationssicherheitsgesetz 3. Ausgewählte Inhalte des ISG und Praxisbeispiele Neues Informationssicherheitsgesetz future best practice?, 11
12 3. Ausgewählte Inhalte des ISG und Praxisbeispiele Zweck des ISG Art. 1 Zweck 1 Dieses Gesetz soll den sicheren Umgang mit Informationen sowie den sicheren Einsatz von Informations- und Kommunikationstechnologien gewährleisten. 2 Es soll damit die folgenden öffentlichen Interessen schützen: a. die Entscheidungs- und Handlungsfähigkeit der Bundesbehörden; b. die innere und äussere Sicherheit Zum Vergleich: der Schweiz; Datenschutzgesetz c. die aussenpolitischen Interessen der Schweiz; d. die wirtschafts-, finanz- und Art. währungspolitischen 1 Zweck Interessen der Schweiz; e. die Erfüllung der gesetzlichen Dieses und Gesetz vertraglichen bezweckt Verpflichtungen den Schutz der der Persönlichkeit und der Grundrechte von Personen, über die Daten bearbeitet Bundesbehörden zum Schutz von Informationen. werden. Art 2 Geltungsbereich 1 Dieses Gesetz gilt für das Bearbeiten von Daten natürlicher und juristischer Personen durch: a. private Personen; b. Bundesorgane. 12
13 3. Ausgewählte Inhalte des ISG und Praxisbeispiele Begriffe (1) Erläuternder Bericht, S. 34 ( ) Der Begriff "Information" wird im vorliegenden Informationssicherheitsgesetz (ISG) nicht definiert, da im Erlass auf Legaldefinitionen verzichtet wird und der Begriff im ISG sich mit dem umgangssprachlichen Gebrauch deckt. ( ) 13
14 3. Ausgewählte Inhalte des ISG und Praxisbeispiele Begriffe (2) Art. 7 DSG / Art. 8 Abs. 1 VDSG Datensicherheit «Wer ( ) Personendaten bearbeitet oder ein Art. 3 Abs. 8 BinfV IKT-Sicherheit Datenkommunikationsnetz zur Verfügung stellt, «Die IKT-Sicherheit umfasst Massnahmen zum sorgt für die Vertraulichkeit, die Verfügbarkeit und Schutz der Integrität und Verfügbarkeit der IKTdie Integrität der Daten,» Systeme sowie zum Schutz der Vertraulichkeit, Integrität, Verfügbarkeit und Nachvollziehbarkeit der Daten, die in diesen Systemen gespeichert, verarbeitet und übertragen werden.» Art. 3 Bst. i ISchV Informatiksicherheit «die Informatiksicherheit stellt die Vertraulichkeit, Verfügbarkeit, Integrität und Nachvollziehbarkeit bei der elektronischen Bearbeitung von Informationen sicher» BSI Standard: Cyber-Sicherheit Cyber-Sicherheit «umfasst sämtliche mit dem ISO 27000:2014 Internet und vergleichbaren Netzen verbundene Information security (is the) preservation of Informationstechnik und schliesst darauf confidentiality, integrity and availability of basierende Kommunikation, Anwendungen, information. Prozesse und verarbeitete Informationen mit ein. Damit wird praktisch die gesamte moderne Informations- und Kommunikationstechnik zu einem Teil des Cyber-Raums.» 14
15 3. Ausgewählte Inhalte des ISG und Praxisbeispiele Begriffe (3) Informationen Informationen können sowohl auf Papier, in Rechnersystemen oder im Kopf gespeichert sein. Quelle: Definition gemäss dem deutschen Bundesamt für Sicherheit in der Informationstechnik (BSI) Beispiele Kundendaten (Bankkundendaten, Steuerdaten, Krankenakten, usw.), Sitzungsprotokolle, Geschäftsberichte, Erfindungen, Ideen, Unternehmensstrategien, usw. 15
16 3. Ausgewählte Inhalte des ISG und Praxisbeispiele Begriffe (4) Informatiksteuerungsorgan des Bundes (ISB) Informationssicherheit «Sämtliche Anforderungen und Massnahmen, die zum Schutz der Vertraulichkeit, Verfügbarkeit, Integrität und Nachvollziehbarkeit von Informationen dienen, und zwar unabhängig davon, ob die Informationen elektronisch, mündlich oder in Papierform bearbeitet werden» (vgl. Erl. Bericht zum ISG; vgl. auch Art. 8 VDSG) Datenschutz Schutz der Persönlichkeit und der Grundrechte von Personen, über die Daten bearbeitet werden (vgl. Art. 1 DSG). 16
17 3. Ausgewählte Inhalte des ISG und Praxisbeispiele Klassifizierung von Informationen Art der Daten? Personendaten, Geschäftsberichte, Erfindungen,? Klassifizierungsstufen (Art. 14) INTERN, VERTRAULICH und GEHEIM Nur für Informationen. Doch welche sind gemeint? Auch Personendaten? EU-Verschlusssache: Einfluss europäischer Vorgaben, z.b. Schengen/Dublin Klassifizierung ist die Basis entsprechender organisatorischer und technischer (Schutz-)Massnahmen. 17
18 3. Ausgewählte Inhalte des ISG und Praxisbeispiele Klassifizierung von Informationen «Creating groups of information with similar protection needs and specifying information security procedures that apply to all the information in each group facilitates this.» ISO 27002:2013, Classification of Information ISB Gegenüberstellung der verschiedenen Klassierungen, Version 1.0,
19 3. Ausgewählte Inhalte des ISG und Praxisbeispiele Personensicherheitsprüfung Personensicherheitsprüfung (ISG) erst nach Unterzeichnung des Vertrags (Arbeitsvertrag, Dienstleistungsvertrag) zulässig Zugang zu EU-Verschlusssachen Personensicherheitsprüfung erst nach Unterzeichnung des Vertrags (Arbeitsvertrag, Dienstleistungsvertrag) zulässig ISO 27002:2013, A Human Resource Security: Prior to employment Screening Noch zeitgemäss? Human Factor nie unterschätzen! Vgl. die jüngsten Terror-Anschläge in Paris. 19
20 3. Ausgewählte Inhalte des ISG und Praxisbeispiele Human Factor Beispiel: Verantwortlichkeiten für die Klassifizierung Was ist genau schützenswert? Welche Information? Welche Kriterien? Verantwortung hierfür nicht mehr beim Verfasser bzw. der Verfasserin, sondern NEU bei einer dafür bezeichneten Stelle/Funktion mit entsprechendem Fachwissen (vgl. Art. 13 ISG) Anders: ISO 27002:2013 Owners of information assets should be accountable for their classification. 20
21 3. Ausgewählte Inhalte des ISG und Praxisbeispiele Human Factor 21
22 3. Ausgewählte Inhalte des ISG und Praxisbeispiele In Angriffen genutzte Passwörter Quelle: 22
23 3. Ausgewählte Inhalte des ISG und Praxisbeispiele Organisatorische Massnahmen If you think technology can solve your security problems, then you don t understand the problems and you don t understand the technology. Bruce Schneier, Vorwort von "Secrets and Lies", 2000 Vgl. auch den Bericht des VBS vom Verhinderter Datenabfluss im Nachrichtendienst des Bundes 23
24 3. Ausgewählte Inhalte des ISG und Praxisbeispiele Unterstützung der kritischen Infrastrukturen Nationale Strategie zum Schutz kritischer Infrastrukturen vom 27. Juni > Koordination Staat, Wirtschaft und Gesellschaft wichtig! 24
25 3. Ausgewählte Inhalte des ISG und Praxisbeispiele Organisation der Informationssicherheit SPOC für Wirtschaft ist heute MELANI Melde- und Analysestelle Informationssicherung, Informatiksteuerungsorgan des Bundes (ISB), aus Präsentation am SPIK
26 Neues Informationssicherheitsgesetz 4. Kritische Würdigung Neues Informationssicherheitsgesetz future best practice?, 26
27 5. Kritische Würdigung Neues ISG: Alles klar? Beispiel: DDoS-Angriffe Sie gehören zu den am häufigsten beobachteten Sicherheitsvorfällen im Cyber- Raum. Kriminelle haben hieraus bereits entsprechende Geschäftsmodelle entwickelt und vermieten Botnetze verschiedener Größen ( ). Quelle: Allianz für Cybersicherheit 27
28 5. Kritische Würdigung Beispiel: DDos-Angriffe Quelle: by Pierluigi Paganini 28
29 5. Kritische Würdigung Fazit Gesamtheitliche Betrachtung der Informationssicherheit notwendig (Mensch, Organisation, Technik) Enge Zusammenarbeit von Staat, Wirtschaft und Gesellschaft Staat muss Spielregeln festlegen: für Informationssicherheit und Cybersicherheit / Internet Internet macht vor der Staatsgrenze nicht halt: internationale Zusammenarbeit gefragt Human Factor: Praktikabilität und Aktualität von Sicherheitsmassnahmen laufend hinterfragen! 29
30 Zum Schluss "Watch the little things; a small leak will sink a great ship. Benjamin Franklin 30
31 Besten Dank! Liliane Mollet insecor gmbh Länggassstrasse Bern Schweiz Tel:
Zusammenfassung. VBS Generalsekretariat Recht VBS Maulbeerstrasse 9 3003 Bern recht-vbs@gs-vbs.admin.ch. Bern, 3. Juli 2014
VBS Generalsekretariat Recht VBS Maulbeerstrasse 9 3003 Bern recht-vbs@gs-vbs.admin.ch Bern, 3. Juli 2014 Stellungnahme zum Entwurf eines neuen Bundesgesetzes über die Informationssicherheit Sehr geehrter