Schlagwort-Archiv: BSI

Checkliste für Azubis: „IT-Sicherheit am Arbeitsplatz“

In den kommenden zwei Monaten starten Hunderttausende von Azubis in Deutschland ihre Ausbildung. Viele werden dann wahrscheinlich einen PC oder Laptop zugewiesen bekommen oder ein Smartphone für die Arbeit nutzen. Üblicherweise gibt dann die IT-Abteilung eine betriebliche Richtlinie an die Hand. Neben Tipps zur Konfiguration und Nutzung von geschäftlichen E-Mails und der Software, lohnt es sich für neue wie langjährige Mitarbeiterinnen und Mitarbeiter sich jetzt auch mit der Sicherheit beim digitalen Arbeiten zu befassen. Denn der „Faktor Mensch“ spielt beim Schutz der Unternehmensnetze sowie der geschäftlichen Daten eine wichtige Rolle, um Sicherheitsvorfälle wie Ransomware oder Betrugsversuche zu vermeiden. Die folgende Checkliste fasst die wichtigsten Tipps für ein sicherheitsbewusstes Verhalten am digitalen Arbeitsplatz zusammen:

  • E-Mails kritisch prüfen
  • Verantwortungsvoller Umgang mit Passwörtern
  • Schutz sensibler Daten auf PC, Laptop und Co.
  • Sichere Internetnutzung
  • Die eigene Rolle ernst nehmen

Weitere Informationen sowie eine geneuere Beschreibung der Checkliste finden Sie unter: www.bsi-fuer-buerger.de/BSIFB/DE/Service/Aktuell/Informationen/Artikel/IT_Sicherheit_am_Arbeitsplatz.html

Quelle: www.bsi-fuer-buerger.de

BSI hilft beim Absichern von Industrieanlagen

Sicherheit von Industrieanlagen: BSI veröffentlicht Snort-Regeln für SIS-Netzwerke

Zum besseren Schutz vor Cyber-Angriffen mit Schadsoftware wie „Triton/Trisis/HatMan“ hat das Bundesamt für Sicherheit in der Informationstechnik (BSI) sogenannte Snort-Regeln für das TriStation-Kommunikationsprotokoll der Firma Schneider Electric veröffentlicht. Das Protokoll kommt in Sicherheitssystemen für industrielle Anlagen (Safety Instrumented Systems – SIS) zum Einsatz, insbesondere auch in der Chemischen Industrie weltweit, und wird unter anderem zur Diagnose, Konfiguration und Programmierung von Safetycontrollern des Herstellers eingesetzt. Snort ist ein Intrusion-Detection-System zur Analyse von Netzwerkverkehr und zur Protokollierung von Datenpaketen in Echtzeit, das als freie Software erhältlich ist und mithilfe von Signaturen – sogenannten Snort-Regeln – erweitert werden kann. Die Anwendung der Snort-Regeln ist eine zusätzliche Möglichkeit zur Detektion von Cyber-Angriffen und ergänzt die weiterhin notwendigen IT-Sicherheitsmaßnahmen nach dem Stand der Technik.

Bei einem im Dezember 2017 bekannt gewordenen Cyber-Angriff mit Triton/Trisis/HatMan auf ein SIS einer Industrieanlage im Nahen Osten wurden für die Übertragung der Schadsoftware auf die Safetycontroller gültige TriStation-Befehle eingesetzt. Unter anderem an diesem Punkt setzen die vom BSI gemeinsam mit Partnern wie FireEye und NCCIC entwickelten Regeln an. So lösen gültige Pakete, die nicht von bzw. zu einer autorisierten Maschine oder in ungewöhnlich hoher Anzahl oder Frequenz gesendet werden, einen Alarm aus. Diese Alarme können an eine zentrale Stelle weitergeleitet und dort bearbeitet werden. Zudem wird der Versand gültiger Pakete, die wichtige Funktionen beeinflussen können, geloggt. Diese Logs können automatisch an ein Security Information and Event Management (SIEM) weitergeleitet werden, welches ebenfalls Zugriff auf das Change Management System des Unternehmens hat. Durch den Abgleich mit dem Change Management System kann auf der Ebene des SIEM entschieden werden, ob es sich um eine gültige, intendierte Aktion oder einen zu untersuchenden Vorfall handelt.

Weitere Informationen und Details zu den Snort-Regeln stehen auf der Webseite des BSI unter https://www.bsi.bund.de/DE/Themen/Industrie_KRITIS/ICS/Tools/RAPSN_SETS/RAPSN_SETS_node.html zur Verfügung. Die als RAPSN SETS (Recognizing Anomalies in Protocols of Safety Networks: Schneider Electric‘s TriStation) bezeichneten Regeln wurden unter der Mozilla Public License Version 2.0 veröffentlicht. Neben dem TriStation-Protokoll gibt es weitere Kommunikationsprotokolle, die in SIS-Netzwerken eingesetzt werden. Im Austausch mit der „Interessengemeinschaft Automatisierungstechnik der Prozessindustrie“ (NAMUR) sowie der Fachcommunity prüft das BSI die Erstellung weiterer Snort-Regeln für andere Protokolle. Zudem erarbeitet das BSI derzeit im Rahmen des IT-Grundschutz einen Baustein zum Thema SIS. Dieser steht als Community Draft auf der BSI-Webseite zum Download und zur Kommentierung zur Verfügung.

Weitere Informationen finden Sie unter: www.bsi.bund.de/DE/Presse/Pressemitteilungen/Presse2018/RAPSN_SETS_26062018.html

Quelle: www.bsi.bund.de

BSI: Informationssicherheit in der Industrie 4.0

Das Bundesamt für Sicherheit in der Informationstechnik (BSI) hat die neue Ausgabe seines Magazins „Mit Sicherheit“ veröffentlicht. Schwerpunkt der aktuellen Ausgabe 2018/01, die zur Hannover Messe erscheint, ist die Informationssicherheit in der Industrie 4.0.

Cyber-Sicherheit im Kontext der Industrie 4.0 steht im Fokus der aktuellen Ausgabe des BSI-Magazins. Moderne Industrieanlagen sind heute hochgradig vernetzte Systeme. Bisher physikalisch voneinander getrennte Bereiche werden über das Internet miteinander vernetzt – und damit angreifbar. Cyber-Kriminelle können diese Angriffsflächen ausnutzen. Sabotage, Spionage und Erpressung können die Folgen sein. Welche Gefährdung geht von Angriffen auf industrielle Steuerungssysteme aus? Wie schaffen Unternehmen die Voraussetzungen, um sich adäquat zu schützen? Wie kann Security-by-design helfen, den wachsenden Herausforderungen zu begegnen? Darüber hinaus richtet sich der Blick auf Zukunftsprojekte wie Intelligente Verkehrssysteme, neuartige Technologien wie Blockchain und weitere aktuelle Themen aus der Arbeit des BSIs.

Weitere Informationen sowie das kostenlose BSI-Magazin fidnen Sie unter: www.bsi.bund.de/DE/Presse/Pressemitteilungen/Presse2018/bsi_magazin_industrie_40.html

Quelle: www.bsi.bund.de

IT-Grundschutz auch für kleine und mittlere Unternehmen

Die Modernisierung des IT-Grundschutzes des Bundesamts für Sicherheit in der Informationstechnik (BSI) ist erfolgreich abgeschlossen. Nach der grundlegenden Überarbeitung der gesamten Methodik bietet der neue IT-Grundschutz Einsteigern und Fortgeschrittenen eine modulare und flexible Methode zur Erhöhung der Informationssicherheit in Behörden und Unternehmen.

Schlank, strukturiert und aktuell

Neben einer besseren Strukturierung und Verschlankung der Inhalte bietet der neue IT-Grundschutz die Möglichkeit, Themen künftig schneller aktualisieren und aufbereiten zu können. Damit trägt das BSI sowohl den rasanten Entwicklungszyklen in der Informationstechnik als auch Änderungen der Rechtslage Rechnung, beispielsweise durch das IT-Sicherheitsgesetz. Die Inhalte der Grundschutz-Bausteine bilden den aktuellen Stand der Technik ab. Das neue IT-Grundschutz-Kompendium enthält derzeit 80 modernisierte IT-Grundschutz-Bausteine, die übergeordneten Themen der Informationssicherheit in zehn Schichten zugeordnet sind.

Angebote speziell für kleine und mittelständische Unternehmen

Neu im Angebotsportfolio ist der „Leitfaden zur Basis-Absicherung“. Er basiert auf dem BSI-Standard 200-2 und beschreibt die Einstiegsvorgehensweise Basis-Absicherung zielgerichtet für KMU und kleinere Behörden.

Weitere Informationen zum IT-Grundschutz finden Sie unter: www.bsi.bund.de

Meldepflicht für mehr Firmen bei Cyberangriffen

Die Bundesregierung hat am Mittwoch eine Änderung der Verordnung zur Bestimmung kritischer Infrastrukturen auf den Weg gebracht. Dadurch wächst die Zahl der betroffenen Unternehmen.

Künftig müssen mehr Unternehmen als bisher schwere IT-Sicherheitsvorfälle verbindlich melden. Das Kabinett hat am Mittwoch eine Änderung der Verordnung zur Bestimmung kritischer Infrastrukturen auf den Weg gebracht. Sie regelt, welche Firmen aus den Sektoren Transport, Verkehr, Finanzen, Versicherungen und Gesundheit unter die Vorgaben des IT-Sicherheitsgesetzes fallen. Betroffen seien 918 „kritische Infrastrukturen“, heißt es in der Verordnung.

Die Betreiber werden verpflichtet, dem Bundesamt für Sicherheit in der Informationstechnik (BSI) innerhalb von sechs Monaten eine zentrale Kontaktstelle zu benennen und der Behörde innerhalb von zwei Jahren nachzuweisen, einen Mindeststandard an IT-Sicherheit einzuhalten. Die Regelungen für Firmen aus den Bereichen Energie, IT, Telekommunikation, Wasser und Ernährung – laut Regierung insgesamt 730 Anlagen – sind bereits seit Mai 2016 in Kraft.

„Wesentlich für das öffentliche Leben“

„Kritische Infrastrukturen“ sind Einrichtungen, die wesentlich für das öffentliche Leben sind und deren Störung oder Ausfall drastische Folgen haben würden. Darunter fallen Energie- oder Telekommunikationsnetze, Banken, Börsen, Versicherungen, Verwaltungsbehörden oder Krankenhäuser, aber auch Verkehrsbetriebe oder Wasserversorger.

Ziel des bereits 2015 beschlossenen IT-Sicherheitsgesetzes ist, dass sich Firmen aus solchen sensiblen Bereichen besser vor Cyberangriffen schützen. Sie werden verpflichtet, Attacken auf ihre Computersysteme zu melden und Mindeststandards zur IT-Sicherheit einzuhalten.

Quelle: www.heise.de

IT-Sicherheitskongress: BSI-Chef befürwortet neue Haftungsregeln

Das „Internet Of Things“ droht zum Sicherheits-Albtraum zu werden. In Bonn stellte Arne Schönbohm erste Initiativen gegen unsichere Geräte vor – und versprach, anders als die NSA keine Sicherheitslücken zurückzuhalten.

Steuert die weitgehend unregulierte Verbreitung des Internet Of Things in eine Katastrophe oder nehmen Staat und Wirtschaft die Sicherheit ernst genug? In einer kontroversen Diskussionsrunde auf dem IT-Sicherheitskongress in Bonn lieferten Experten eine kritische Lageeinschätzung – insbesondere der Staat müsse eingreifen.

Quelle: www.heise.de

WannaCry: BSI ruft Betroffene auf, Infektionen zu melden

Das BSI reagiert mit einem Appell an das Sicherheitsbewusstsein und tadelt indirekt Nutzer veralteter Windows-Betriebssysteme.

Zahlreichen, teils jahrelangen Empfehlungen und Warnungen zum Trotz, sind veraltete Windows-Betriebssysteme nicht nur weiterhin in Umlauf, sondern auch noch direkt oder indirekt mit dem Internet verbunden. Nun präsentieren ausgerechnet Erpresser die Quittung für die Versäumnisse: Der WannaCry-Trojaner greift Rechner über Phishing-Mails und über längst bekannte Sicherheitslücken des veralteten SMBv1-Protokolls an, verschlüsselt Benutzerdateien auf den infizierten Rechnern und fordert Lösegeld in Bitcoin-Währung (aktuell entspricht das 300 US-Dollar).

Weckruf für Unternehmen

Arne Schönbohm, Präsident des Bundesamts für Sicherheit in der Informationstechnik (BSI) appeliert daher an Nutzer: „Die aktuellen Angriffe zeigen, wie verwundbar unsere digitalisierte Gesellschaft ist. Sie sind ein erneuter Weckruf für Unternehmen, IT-Sicherheit endlich ernst zu nehmen und nachhaltige Schutzmaßnahmen zu ergreifen. Die aktuelle Schwachstelle ist seit Monaten bekannt, entsprechende Sicherheitsupdates stehen zur Verfügung. Wir raten dringend dazu, diese einzuspielen.“

Der BSI ruft zudem betroffene Institutionen auf, Vorfälle zu melden, „um einen möglichst vollständigen Überblick über die Lage zu bekommen“. Weitere Informationen und Handlungsempfehlungen zum Schutz vor Ransomware hat das BSI in einem Dossier zusammengefasst.

Quelle: www.heise.de

BSI veröffentlicht Mindeststandard für Mobile Device Management

Das Bundesamt für Sicherheit in der Informationstechnik (BSI) hat einen neuen Mindeststandard nach §8 BSI-Gesetz (BSIG) für Mobile Device Management veröffentlicht. Mithilfe von Mobile Device Management (MDM) können Mobilgeräte wie Smartphones und Tablets in die IT-Infrastruktur einer Institution integriert und zentral verwaltet werden. Der Mindeststandard stellt Sicherheitsanforderungen an ein MDM, die von Behörden bereits bei Vergabeverfahren herangezogen werden können. Zudem wird auch ein sicherer Betrieb des MDM durch die Vorgabe von technischen und organisatorischen Maßnahmen geregelt. Mit der Umsetzung wird ein definiertes Mindestsicherheitsniveau erreicht, das nicht unterschritten werden sollte.

Arne Schönbohm, Präsident des BSI: „Mobilgeräte gehören heute zur Standardausstattung in Verwaltung und Wirtschaft, oftmals ist auch der Zugriff auf Unternehmensnetze per Smartphone möglich. Dies steigert die Arbeitseffizienz, birgt aber auch Risiken, insbesondere wenn die Geräte für dienstliche und private Zwecke genutzt werden können. Ein zentrales Management mittels MDM ist hier unabdingbar. Unser neuer Mindeststandard sorgt hier für ein klar definiertes Mindestniveau an Informationssicherheit, auch in der mobilen Welt.“

Der von der nationalen Cyber-Sicherheitsbehörde BSI entwickelte Mindeststandard definiert ein Mindestsicherheitsniveau für Mobile Device Management, das durch die Stellen des Bundes eingesetzt wird. Gleichzeitig können die Sicherheitsanforderungen und Maßnahmen auch Behörden der Länder und Kommunen sowie Unternehmen als Leitfaden dienen. Der Mindeststandard für Mobile Device Management ist auf der Webseite des BSI abrufbar.

Quelle: www.bsi.bund.de

BSI: Android – Tipps zur sicheren Konfiguration

Auf vielen mobilen Endgeräten ist das Betriebssystem Android im Einsatz. Mit gezielten Konfigurationsänderungen kann die Sicherheit signifikant erhöht werden.

Die Allianz für Cyber-Sicherheit und die BSI-Initiative für die Wirtschaft veröffentlichen regelmäßig Beiträge zu aktuellen Cyber-Sicherheitsthemen. Best-Practice-Beispiele, Tipps und Hinweise unterstützen bei der Umsetzung von Sicherheitsmaßnahmen in der eigenen Institution. Die Autoren der Fachtexte sind Experten aus Unternehmen oder dem BSI.

Das Dokument finden Sie unter: www.allianz-fuer-cybersicherheit.de

 

Cyber-Sicherheits-Umfrage 2016

Im Rahmen der Allianz für Cyber-Sicherheit initiiert das Bundesamt für Sicherheit in der Informationstechnik (BSI) die Cyber-Sicherheits-Umfrage 2016 und ruft die IT-Sicherheitsverantwortlichen deutscher Unternehmen, Behörden und anderer Institutionen auf, sich an der anonymen Umfrage zu beteiligen.

Ziel der Umfrage ist es, Informationen zur tatsächlichen Betroffenheit durch Cyber-Angriffe, der subjektiven Gefährdungslage und dem Umsetzungsstand von Schutzmaßnahmen aus Sicht von Unternehmen, Behörden und anderen Institutionen zu erhalten. Aus den Ergebnissen der Umfrage lassen sich unter anderem praxisbezogene Lösungsansätze und Empfehlungen sowie Beratungsschwerpunkte ableiten, die das BSI im Rahmen der Allianz für Cyber-Sicherheit einbringen und auch anderen Unternehmen und Institutionen zur Verfügung stellen kann. Zudem fließen die Ergebnisse der Umfrage als weiterer Baustein in die Erstellung und kontinuierliche Pflege eines Lagebilds der Cyber-Sicherheit in Deutschland ein.

Die Teilnahme an der Umfrage ist bis zum 7. Oktober 2016 möglich. Die Ergebnisse werden im Oktober 2016 veröffentlicht.