In Unternehmen gehört IT-gestützte Informationsverarbeitung schon längst zum Alltag. Kritische Wertschöpfungsprozesse und auch Hilfsprozesse werden zum Großteil unterstützend durch Informationstechnologie durchgeführt. Im Zuge der verstärkten Digitalisierung durch Themen wie z.B. Industrie 4.0 rückt dieser Bereich noch stärker in den Vordergrund kritischer Abläufe. Sobald ein Unternehmen personenbezogene Daten elektronisch verarbeitet, spielt der Datenschutz im Bereich der IT eine mindestens genauso große Rolle. Die beiden Themen Datenschutz und Datensicherheit gilt es also als Unternehmen zu wahren und eine Hochverfügbarkeit der Daten zu gewährleisten. Diese Ziele gilt es in einem IT-Sicherheitskonzept zu berücksichtigen, wobei die Wirtschaftlichkeit nicht außer Acht gelassen werden darf. Verantwortliche für das Konzept haben die Aufgabe das Konzept durch entsprechende Maßnahmen zu entwickeln und zu realisieren.
In dieser Ausarbeitung sollen Handlungsoptionen für eine Umsetzung einer IT-Richtlinie aufgezeigt werden. Dabei geht es darum, dem Leser einen Überblick über verwendbare Standards, Maßnahmenkataloge und Zertifizierungen zu bieten. Diese Informationen können bei der Entwicklung eines IT-Sicherheitskonzepts relevant sein. Außerdem sollen dazu technische und organisatorische Maßnahmen dargestellt werden.
Es werden die bekannten Referenzmodelle und Frameworks CobIT und ITIL behandelt. Abschließend werden durch die Bewertungskriterien – TCSEC, „Die deutschen IT-Kriterien“ & ITSEC, sowie Common Criteria weitere Werkzeuge als Grundlage zum Schutz der Datensicherheit und –schutz dargestellt.
Auf einen Blick
- Note: 1,3
- COBIT-5-Prozessreferenzmodell und Aufbau eines Common-Criteria-Schutzprofils im Anhang
- Darstellung von COBIT und ITIL für die IT-Steuerung
- Einordnung der Sicherheitskriterien TCSEC, ITSEC und Common Criteria
- 13 Quellen im Literaturverzeichnis
Inhaltsverzeichnis
1 Einleitung
1.1 Zieldefinition
1.2 Vorgehensweise
2. Referenzmodelle und Frameworks
2.1 CobiT
2.2 ITIL
3 Bewertungskriterien
3.1 TCSEC
3.2 Die deutschen IT-Kriterien und ITSEC
3.3 Common Criteria
4 Bewertung und Fazit
Zielsetzung und Themen
Die Arbeit zeigt Handlungsoptionen für die Umsetzung einer unternehmensbezogenen IT-Richtlinie auf. Sie fragt danach, welche Referenzmodelle und Sicherheitskriterien als Orientierung bei der Entwicklung eines IT-Sicherheitskonzepts dienen können.
- IT-Steuerung und Management mit COBIT
- Lebenszyklus von IT-Dienstleistungen nach ITIL
- Sicherheitsbewertung nach TCSEC
- Deutsche IT-Kriterien und ITSEC
- Common Criteria und Schutzprofile
- Datenschutz und Datensicherheit im Unternehmen
Auszug aus dem Buch
2.2 ITIL
In Darstellung 2 ist der Einfluss auf ITIL durch weitere Frameworks abgebildet und beschreibt grafisch das Ineinanderwirken der fünf ITIL Bücher, bzw. den Lebenszyklus. In jeder der fünf Phasen werden dazugehörige Prinzipien, Prozesse, Funktionen, technologische und organisatorische Merkmale, sowie eventuelle weiterführende Aspekte, beschrieben.
Der erste Band Service Strategy stellt die übergeordneten Ziele und Richtlinien dar und dient als Leitfaden für den Entwurf (Design), die Entwicklung (Transition) und Implementierung (Operation) von IT-Service-Management. Dabei wird aus strategischer und konzeptueller Sicht auf Definition, Spezifikation, Logistik und finanzielle Aspekte aus der Unternehmensperspektive geachtet. Neben der Definition und Abgrenzung des Marktes ist ein wesentlicher Bestandteil die Vorbereitung der Umsetzung und Ausführung.
Das Service Design ist für den Entwurf und die Entwicklung von Services und Prozessen unter Berücksichtigung der strategischen Pläne und Vorgaben verantwortlich. Service Design wird in fünf Teilbereiche untergliedert. Diese sind das Design des neuen IT-Services und des Serviceportfolios, das technische Design des Services, das Prozessdesign und das Design der Serviceüberwachung.
Das dritte Buch Service Transition stellt sicher, dass die in Service Strategy festgelegte und in Service Design umgesetzte Strategie auch bei der Übertragung in den operativen Bereich alle Ziele, Richtlinien, Bedürfnisse und Anforderungen erfüllt. Außerdem wird auf Effizienz und Wartbarkeit geachtet. Dieser Abschnitt von ITIL soll die Implementierung sicherstellen, sowohl für neue, als auch abgeänderte Services, wofür betroffene Stellen für eine Optimierung vorbereitet werden um dieses Potenzial bestmöglich zu nutzen.
In Service Operation wird der operative Bereich betrachtet, der Betrieb eines Services, in Bezug auf Effektivität und Effizienz der Service-Bereitstellung und -Erbringung. Es werden alle Bestandteile abgedeckt die zur Verwaltung eines Services in der aktiven Phase des Zyklus notwendig sind. Wichtige Ziele in dieser Phase sind das Erfüllen der Ziele, Stabilität und Reduktion von etwaigen Problemen.
Der abschließende fünfte Band der ITIL Bücher ist das Continual Service Improvement, welcher auch in die vorherigen Service Kapitel eingreift und für einen kontinuierlichen Lern- und Verbesserungsprozess aller IT-Services und Lebenszyklus-Abschnitte sorgt. Zentrale Aufgaben sind das Ausrichten an aktuelle und zukünftige Bedürfnisse des Unternehmens, Planung des Verbesserungsprozess und das Interpretieren von Anpassungsanzeichen und Initiieren von passenden Änderungsaktionen.
Zusammenfassung der Kapitel
1 Einleitung: Das Kapitel erläutert die Bedeutung von Datenschutz, Datensicherheit und Verfügbarkeit für Unternehmen. Es formuliert das Ziel und beschreibt die Vorgehensweise der Arbeit.
2. Referenzmodelle und Frameworks: COBIT wird anhand seiner Grundprinzipien und seines Prozessmodells vorgestellt. Die Darstellung von ITIL erläutert die Ausrichtung auf IT-Dienstleistungen und deren Lebenszyklus.
3 Bewertungskriterien: Das Kapitel behandelt TCSEC, die deutschen IT-Kriterien, ITSEC und Common Criteria. Es erläutert Sicherheits- und Evaluierungsstufen sowie die Funktion von Schutzprofilen.
4 Bewertung und Fazit: Abschließend werden IT-Steuerung und die vorgestellten Modelle im Zusammenhang mit einer auf Datenschutz und Datensicherheit ausgerichteten Unternehmensstruktur eingeordnet.
Schlüsselwörter
IT-Richtlinien, IT-Sicherheitskonzept, Datenschutz, Datensicherheit, IT-Governance, COBIT, ITIL, IT-Service-Management, TCSEC, IT-Kriterien, ITSEC, Common Criteria, Schutzprofile, Sicherheitszertifizierung
Häufig gestellte Fragen
Worum geht es in der Arbeit?
Die Arbeit behandelt Handlungsmöglichkeiten zur Umsetzung betrieblicher IT-Richtlinien und deren Zusammenhang mit der Informationssicherheit.
Welche Themen stehen im Mittelpunkt?
Im Mittelpunkt stehen Referenzmodelle für die IT-Steuerung sowie Kriterien zur Bewertung der Sicherheit von IT-Systemen.
Welches Ziel verfolgt die Untersuchung?
Sie soll einen Überblick über Standards, Maßnahmenkataloge und Zertifizierungen bieten, die für ein IT-Sicherheitskonzept relevant sein können.
Welche wissenschaftliche Vorgehensweise wird verwendet?
Die Arbeit wertet Fachliteratur und veröffentlichte Rahmenwerke aus und stellt deren Konzepte und Bewertungskriterien dar.
Was wird im Hauptteil behandelt?
Der Hauptteil erläutert COBIT und ITIL sowie die Entwicklung und Merkmale ausgewählter Sicherheitskriterien von TCSEC bis zu den Common Criteria.
Welche Schlüsselwörter charakterisieren die Arbeit?
Dazu gehören IT-Governance, IT-Sicherheitskonzept, COBIT, ITIL, TCSEC, ITSEC und Common Criteria.
Wie unterscheiden sich COBIT und ITIL in ihrer Ausrichtung?
COBIT betrachtet die Steuerung und das Management der Unternehmens-IT, während ITIL das Management von IT-Dienstleistungen und deren Lebenszyklus in den Vordergrund stellt.
Welche Rolle spielen Schutzprofile bei den Common Criteria?
Schutzprofile bündeln Anforderungen an Funktionalität und Vertrauenswürdigkeit für eine Produktklasse und lassen sich auf einen konkreten Evaluierungsgegenstand abstimmen.
Welche ergänzenden Modelle stehen zur Verfügung?
Die Arbeit enthält ein COBIT-5-Prozessreferenzmodell und eine Darstellung des strukturellen Aufbaus eines Common-Criteria-Schutzprofils.
- Quote paper
- B.Sc Kai Pohl (Author), 2015, Enforcing Corporate IT Policies. Referenzmodelle, Frameworks und Bewertungskriterien, Munich, GRIN Verlag, https://www.grin.com/document/302979
