Informationssicherheitsrichtlinien und -spezifikationen

Eine der Säulen eines guten Informationssicherheitsmanagements stellt das Regelwerk dar. Das Regelwerk besteht hauptsächlich aus Richtlinien und Direktiven. Bei den Richtlinien setzt sich das Regelwerk aus Information Security Policies und Information Security Specifications zusammen. Die Policies bilden den generischen übergeordneten Teil des Regelwerks während die Specifications den detaillierten technischen Teil abbilden, der von den Sicherheits- und Systemadministratoren auf den Systemen umgesetzt wird... [mehr]

 Informationssicherheitsrichtlinien und -spezifikationen

Eine der Säulen eines guten Informationssicherheitsmanagements stellt das Regelwerk dar. Das Regelwerk besteht hauptsächlich aus Richtlinien und Direktiven. Bei den Richtlinien setzt sich das Regelwerk aus Information Security Policies und Specifications zusammen. Die Policies bilden den generischen übergeordneten Teil des Regelwerks und gelten für alle normalen Benutzer, während die Specifications den detaillierten technischen Teil abbilden, der von den Sicherheits- und Systemadministratoren auf den Systemen umgesetzt wird.

Ich kann Ihnen mit meiner Erfahrung von 15 Jahre im Policies schreiben, eine Vielzahl von Policies und Specifications anbieten. Alle Policies und Specifications basieren auf den Standards BS17799-1 und -2 sowie auf DIN ISO 27001. Alle Polcies sind standardisiert und vorgefertigt, und müssen nur noch geringfügig auf Ihr IT-Umfeld angepasst werden. Zur Anpassung gehören Ihr Layout, Ihre Referenzen und Verweise auf andere intern geltenden Policies oder Regelwerke, und natürlich all Ihre Sonderwünsche (z.B. Reduzierung oder Erweiterung eines Kapitels, besondere Graphiken oder auch fixe Deviations von allgemein gültigen Standards - z.B. Hochsicherheit anstatt mittlere Sicherheit, etc.).

Ich kann Ihnen Policies und Specifications für eine Vielzahl von Plattformen anbieten. Alle meine Regelwerke biete ich zu einem Preis von 8000 Euro an. Für diese Kosten erhalten Sie ein standardisiertes Regelwerk inklusive 2 Manntage Dienstleistung vor Ort. Ein Manntag dient Aufnahme Ihrer Anforderungen und ein weiterer Manntag dient Vorstellung des Ergebnisses.

Alle Änderungswünsche an den Policies, die in meinem Büro vorgenommen werden rechne ich per "Time and Material" ab, wobei ein Stundesatz von 90 Euro/h zugrunde gelegt wird. Sollten die Änderungen in Ihrem Hause vorgenommen werden, so erhöht sich der Stundensatz auf 105 Euro und es fallen keine weiteren Kosten an. Dieser Service hat für die Kunden, die Wert auf eine standardisierte Policy legen den Vorteil, dass die Policies sehr kostengünstig zu erhalten sind.

Ich biete die folgenden Informationssicherheitsrichtlinine an:

• Physische Sicherheitsrichtlinien für Zugangskontrolle RZ nach ISO900x
• Corporate Information Security
• Computer Risk Analysis
• Risk Acceptance and Deviations
• Joint Venture
• Authentifizierung und Autorisierung
• Secure Authentication (Dual Authentication)
• Biometrics
• Directory Standards
• Cryptographic Controls
• PKI Standards
• Rollen und Berechtigungen für Identity Management
• Password (User, Admin)
• Development Standards and Secure Coding
• Information Handling und Labeling
• Data Loss Prevention
• Confidentiality Agreements
• Audit Controls
• IT-Security Compliance
• eDiscovery
• Archivierung
• IT Contingency Planning Policy und Handbuch
• Disaster Recovery
• Backup und Backup Prozess
• Product Security
• Virus Control und Malicous Code
• Reporting Requirements und Event Management
• User Security Awareness
• BlackBerry Enterprise Server und Client
• Cloud Computing Security Policy
• Netzwerk
  • Web Application Firewall
  • Firewall
  • DNS, DNSSEC, DNSCURVE
  • Intrusion Prevention
  • Secure Gateways
  • Router
  • VPN
  • Remote Access und Third Party Access
  • Mobile Computing
  • Teleworking
  • Telecommunication
  • WLAN
• Windows
  • Windows 2008 Server
  • Windows 2003 Server
  • Windows 7 Client
  • Office 2010
  • Windows 2000 und XP (Kerberos, Network, GRP, etc.)
  • Windows NT 4.0
  • LanManager
• UNIX
  • UNIX generisch
  • AIX 5.3, 6, 7
  • Solaris 8, 9 und 10
  • HP-UX 10.x, 11.0
  • Suse Linux
  • Red Hat
  • Debian
• OS2/Warp 4
• VMS (DEC-VAX)
• OS400
• Oracle 9 und 10
• Oracle Director
• IBM Policy Director
• Siteminder und Identityminder
• Sybase
• SQL Server
• SAP R3
• SAN-EMC
• SAN HDS
• Citrix
• Internet Explorer 5 und 7
• Mozilla Firefox
• Java
• Webserver and Webapplication (IIS, Apache)
• Datenbanksicherheit
• Storage (SAN)

Natürlich kann ich Ihnen zu jeder Policy auch gleichzeitig eine Auditcheckliste für das jeweilige Themengebiet anbieten. Alle Policies stehen in deutscher und englischer Sprache zur Verfügung. Sie erhalten die Produkte im Word 97-2003 / 2007 und im pdf-Format farbig gedruckt und gebunden, sowie jeweils eine Kopie auf einem Datenträger.

Da ich keine großer Freund von Sicherheitsrichtlinien auf Papier bin, auch wenn diese hauptsächlich in dieser Form gefordert werden, und in Ihrem Corporate Intranet auf der Informationssicherheitsabteilungs-Webseite abgelegt sind, möchte ich Sie gerne an dieser Stelle überreden ein Produkt zu nutzen, mit dem Sie auf der Ebene der Direktiven aus allen Richtlinien diese Rollen und Objekten zuweisen können. Zum einen verwalten Sie damit Ihre Richtlinien auf der Direktivenebene webbasiert, zum anderen sieht jede Rolle auch nur die Richtlinien, die für diese Rolle relevant sind. Das Produkt eignet sich hervorragend auch für die Umsetzung von Richtlinien nach allen gängigen Industrieanforderungen.

[weniger]

  Hochsicherheitsserver HSS

Der HSS-Hochsicherheitsserver ist ein Linux-Server auf Open Source Basis, dessen Kernel komplett neu entwickelt wurde. Anders als beim SE-Linux kommt die Sicherheit in drei Stufen "out of the box". Es ist keine Härtung nötig. Der HSS bietet Schutz vor Buffer Overflow selbst für unsichere Anwendungen.

Bisher ist der HSS die einzige bekannte Sicherheitslösung auf Linux-Basis, die einen Integritätsschutz bietet. Dies verhindert eine persistente Kontamination des Systems mit Viren und Trojanern. Programme wie Virenscanner oder Tripwire werden unnötig. Whitepaper... [mehr]

 Hochsicherheitsserver HSS

Der HSS-Hochsicherheitsserver ist ein Linux-Server auf Open Source Basis, dessen Kernel komplett neu entwickelt wurde. Anders als beim SE-Linux kommt die Sicherheit in drei Stufen "out of the box". Es ist keine Härtung nötig.

Der HSS bietet Schutz vor Buffer Overflow selbst für unsichere Anwendungen. Bisher ist der HSS die einzige bekannte Sicherheitslösung auf Linux-Basis, die einen Integritätsschutz bietet. Dies verhindert eine persistente Kontamination des Systems mit Viren und Trojanern. Programme wie Virenscanner oder Tripwire werden unnötig.

Andere Hersteller versuchen sich 4 Jahre nach dem ersten HSS mittlerweile auch auf diesem Gebiet. Zu nennen sind Microsoft und Apple. Anders als beim HSS ist die Integritätsprüfung auf den Betriebssystemen jedoch nicht „mandatory“ (systemgesteuert, verpflichtend), und ist daher als Schutz des Anwenders vor Viren und Trojaner völlig wirkungslos. Die einzig bekannte verpflichtende Integritätsprüfung neben dem HSS findet auf dem iPhone von Apple statt, hier kann man gut erkennen, welche Hürden gegenüber Hackern und Crackern derartige Systeme bieten, selbst wenn man das Gerät in der Hand hält. Es wird aber auch deutlich, dass ein großer Hersteller erkannt hat, wie wichtig es ist gegen Viren und Trojaner sinnvolle Maßnahmen zu ergreifen. Viren und Trojaner auf einem Mobiltelefon können den Besitzer eine Menge Geld kosten.

Der Hochsicherheitsserver ist verfügbar und kostet als Einzellizenz 6000 Euro. Damit erhalten Sie die Lizenz für das Control Panel, mit der die Sicherheitsfeatures und die drei Sicherheitsstufen des neu entwickelten Kernels angesteuert werden können. Ohne das Control Panel ist der Server nicht kostenpflichtig, und ist ein ganz normales Open Source Linux (Suse oder Debian).

NEU: Den HSS gibt es bald als Appliance und mit einer EAL-3-Zertifizierung. Der HSS wurde schon über 1000 mal verkauft. Detaillierte Informationen entnehmen Sie bitte dem HSS Whitepaper. Sollte dieses noch Fragen offen lassen, stehe ich Ihnen jederzeit gerne zur Verfügung.

[weniger]

  Rapid Prototyping

Die Tsolkas Executive Consulting Schnellentwicklung beruht auf der Modifikation von komplexen und hochperformanten Funktionsrahmen, den C-Frames. Dadurch ergibt sich zwar ein umfangreicherer Code als bei der herkömmlichen Programmierung. Bei den heutigen Systemumgebungen spielt das aber kaum noch eine Rolle. Wir verwenden keine speziell designten Werkzeuge, sondern arbeiten mit C und Delphi. Dadurch ist man nicht auf Laufzeitumgebungen angewiesen. Und man erreicht sowohl leistungsfähige Programme als auch weitgehende Wiederverwendbarkeit von Klassen und Teilklassen... [mehr]

  Rapid Prototyping

Die Tsolkas Executive Consulting Schnellentwicklung beruht auf der Modifikation von komplexen und hochperformanten Funktionsrahmen, den C-Frames. Dadurch ergibt sich zwar ein umfangreicherer Code als bei der herkömmlichen Programmierung. Bei den heutigen Systemumgebungen spielt das aber kaum noch eine Rolle. Wir verwenden keine speziell designten Werkzeuge, sondern arbeiten mit C und Delphi. Dadurch ist man nicht auf Laufzeitumgebungen angewiesen. Und man erreicht sowohl leistungsfähige Programme als auch weitgehende Wiederverwendbarkeit von Klassen und Teilklassen.

Rapid Prototyping führt in der Regel zu diesem Ergebnissen:

• Sicherere Planung von Kosten und Zeit
• exaktere Beschreibung der Lasten und Pflichten
• Weniger Änderungen während der Erstentwicklung
• erhebliche Verkürzung der Realisierungszeit von 20% bis 60%
• leistungsfähigere Anwendungen, die zu effizienteren und effektiveren Prozessen führen.
• bessere Nutzung des Fach-Knowhows der betroffenen Mitarbeiter.
• genauere Einschätzung der wirtschaftlichen Ergebnisse einer Entwicklung.
• Iterative Nutzung von Erkenntnissen aufgrund des Prototyps; Redesign zur Verbesserung von Produktivität und Qualität schon vor der Realisierung
• Bessere Abstimmung bei der Integration in bestehende Organisationen und Prozesse
• Höhere Akzeptanz bei den Betroffenen
• Frühzeitiges Erkennen von Folgeproblemen
• Initiierung von Modifikationen der Prozesse ausserhalb des eigentlichen Systems
• Neue Erkenntnisse mit Verschiebung der Prioritäten

Für plattformübergreifende Entwicklungen stehen auch C-Frames in Java zur Verfügung.

Dieses Produkt ist für jeden interessant, der diese Ziele erreichen möchte:

• Schnellere und sicherere Entwicklung
• Kostensenkungen
• Wiederverwendbarkeit der Prototypteile
• Nutzbare Ergebnisse statt Besprechungsprotokolle
• Freie Laufzeitumgebung
• Zeit- und Kostensicherheit bei Planungen und Entscheidungen
• Belastbare Basis für Evaluierungen
• Reibungslose Integration in bestehende Organisationen und Prozesse

Software: C, Java, Delphi

[weniger]