CISSP

CISSP prüft die SichtGespeicherte Abfrage, die wie eine Tabelle abgefragt wird, ohne Daten zu doppeln. der Leitung, nicht die des Technikers. Dieser Bereich ist der größte und setzt den Ton für alle anderen: Sicherheit dient dem Geschäft, nicht umgekehrt.

Am Anfang stehen die SchutzzieleVertraulichkeit, Integrität und Verfügbarkeit. und die Berufsethik. Dann folgt die Steuerung: RichtlinienVerbindliche Vorgabe der Leitung, was in der Organisation gilt. sagen, was gilt; StandardsFestlegung, womit eine Richtlinie erfüllt wird. sagen, wie genau; VerfahrenSchrittweise Beschreibung der Umsetzung. beschreiben die Schritte; LeitlinienEmpfehlung ohne verpflichtenden Charakter. empfehlen. Rollen wie EigentümerVerantwortliche Person im Fachbereich, die über Einstufung und Zugriff entscheidet., Verwalter und Verarbeiter der Daten legen Verantwortung fest.

Das Herzstück ist das Risikomanagement. Ein Wert hat eine BedrohungEtwas, das eine Schwachstelle ausnutzen könnte., eine SchwachstelleLücke, die ausgenutzt werden kann. und daraus ein RisikoErgebnis aus Bedrohung, Schwachstelle und Auswirkung.. Bewertet wird qualitativ oder quantitativ; quantitativ mit dem Wert des Objekts, dem Anteil des Schadens, dem erwarteten Schaden je Ereignis, der jährlichen Häufigkeit und dem daraus errechneten Jahresschaden. Behandelt wird durch Mindern, ÜbertragenGeordnete Verlagerung einer FSMO-Rolle bei erreichbarem Inhaber., Akzeptieren oder Vermeiden. Ein RestrisikoRisiko, das nach Umsetzung aller Maßnahmen verbleibt. bleibt immer und wird bewusst getragen.

Die Fortführung des Geschäfts wird über eine AuswirkungsanalyseBewertung der Kritikalität von Geschäftsprozessen und ihrer Ausfallfolgen. geplant. Sie liefert die zulässige Ausfalldauer und den zulässigen Datenverlust, und aus diesen Zahlen folgt der Aufwand.

Dazu kommen rechtliche Themen: Datenschutz, geistiges Eigentum, grenzüberschreitende Datenflüsse, vertragliche Pflichten und die SorgfaltspflichtenPflicht, aus dieser Erkenntnis fortlaufend zu handeln. bei der Auswahl und ÜberwachungProtokolliert Aktivitäten im Mandanten; die Premiumvariante bewahrt länger auf. von Dienstleistern.

Der zweite Bereich behandelt Werte und ihre Behandlung über den ganzen Lebenszyklus.

Am Anfang steht die Bestandsaufnahme: Was gibt es überhaupt, wem gehört es, wie wichtig ist es. Ohne Bestandsübersicht ist jede weitere Maßnahme Stückwerk.

Dann folgt die Einstufung. Daten werden nach Schutzbedarf klassifiziert, Systeme nach ihrer Bedeutung. Die Einstufung entscheidet über Handhabung, KennzeichnungSchlüssel-Wert-Paar an Ressourcen, Grundlage für Kostenzuordnung und Auswertung., Speicherung, Übertragung und Vernichtung.

Der Lebenszyklus hat feste Stationen: erzeugen, speichern, nutzenWas ein Service leistet oder welche Einschränkung er beseitigt., teilen, archivieren, vernichten. Zu jeder gehören Maßnahmen. Beim Vernichten sind Löschen, Überschreiben, Entmagnetisieren und physische Zerstörung zu unterscheiden; nur die letzten beiden sind bei defekten oder besonders schutzbedürftigen Datenträgern verlässlich.

Beim Schutz der Daten selbst geht es um Zustände: in Ruhe, in Übertragung, in Verarbeitung. Für jeden ZustandZuordnung zwischen beschriebenen Ressourcen und tatsächlichen Objekten. gibt es eigene Mittel, von Verschlüsselung über ErsetzungBeziehung zwischen zwei App-Versionen, die die alte beim Ausrollen der neuen entfernt oder überschreibt. durch Platzhalter bis zur Verarbeitung in geschützten UmgebungenEigener Container für Apps, Flows und Daten mit eigener Region und eigenen Rechten..

Dazu kommen die Aufbewahrungspflichten. Zu kurz aufbewahren verletzt Vorgaben, zu lang aufbewahren schafft unnötiges RisikoErgebnis aus Bedrohung, Schwachstelle und Auswirkung.. Beides ist ein Fehler.

Der dritte Bereich behandelt sichere Entwürfe und die Technik dahinter.

Zu den Grundsätzen gehören die geringste Berechtigung, die Trennung von Aufgaben, die Tiefenverteidigung, der sichere Ausfall, die vollständige Vermittlung und die Einfachheit des Mechanismus. Sie sind der Maßstab, an dem eine Architektur gemessen wird.

Bei den Modellen geht es um die klassischen Zugriffsmodelle für VertraulichkeitSchutzziel: Nur Berechtigte können Informationen einsehen. und IntegritätSchutzziel: Informationen sind unverfälscht und vollständig. und um die Begriffe des vertrauenswürdigen Kerns und der SicherheitsgrenzeÜbergang, an dem Verkehr gefiltert und protokolliert wird..

Bei den SchwachstellenLücke, die ausgenutzt werden kann. geht es um Systeme aller Art: Server, Endgeräte, eingebettete Systeme, industrielle Steuerungen, mobile Geräte, Cloud und verteilte Systeme. Jede Klasse hat typische Schwächen, und die Prüfung erwartet, dass man sie zuordnen kann.

Die Kryptografie ist der größte Einzelblock. Symmetrische VerfahrenSchrittweise Beschreibung der Umsetzung. sind schnell und brauchen einen gemeinsamen Schlüssel; asymmetrische lösen den Schlüsseltausch und sind langsamer. Hashwerte sichern IntegritätSchutzziel: Informationen sind unverfälscht und vollständig., Signaturen sichern Herkunft und Unverändertheit, Zertifikate binden einen Schlüssel an eine Identität. Eine Infrastruktur öffentlicher Schlüssel regelt Ausstellung, Verteilung und Widerruf. Angriffe auf Kryptografie und die Frage der Schlüsselverwaltung gehören dazu.

Zuletzt die physische Sicherheit: Standortwahl, Zonen, Zutritt, Brandschutz, Strom und Umgebungsbedingungen.

Der vierte Bereich behandelt Kommunikation und Netzwerksicherheit.

Das SchichtenmodellEinteilung der Netzwerkfunktionen in Schichten; Grundlage zur Eingrenzung von Störungen. ordnet auch hier. Auf jeder Ebene gibt es typische Angriffe und typische Schutzmaßnahmen, und die Prüfung erwartet die Zuordnung.

Bei den Entwürfen geht es um SegmentierungAufteilung des Netzes, um Ausbreitung zu begrenzen., um Zonen für Gäste, Verwaltung und Betriebstechnik, um die Trennung von Datenverkehr und Steuerung sowie um die Grundsätze der Tiefenverteidigung im Netz.

Bei den Geräten geht es um Firewalls in ihren Bauarten, um Systeme zur Angriffserkennung und -verhinderung, um Vermittlungsstellen und um die Frage, ob ein Gerät im Datenpfad sitzt oder daneben.

Bei den ProtokollenEintrag mit Text und Struktur, der im Log-Analytics-Arbeitsbereich landet und mit KQL abgefragt wird. geht es um sichere ErsetzungenBeziehung zwischen zwei App-Versionen, die die alte beim Ausrollen der neuen entfernt oder überschreibt. für unsichere Vorgänger und um die VerfahrenSchrittweise Beschreibung der Umsetzung. zur Absicherung von Verbindungen. Verschlüsselte Tunnel zwischen Standorten und für einzelne Nutzer gehören dazu, ebenso die Absicherung der Namensauflösung.

Bei drahtlosen und mobilen Netzen geht es um Verschlüsselung, Anmeldung und die Besonderheiten von Funkstrecken. Für Sprache und Zusammenarbeit kommen eigene Themen dazu.

Zuletzt geht es um die Sicherheit der Inhalte über die Leitung: Verschlüsselung, Integritätsschutz, SegmentierungAufteilung des Netzes, um Ausbreitung zu begrenzen. des Verkehrs und ÜberwachungProtokolliert Aktivitäten im Mandanten; die Premiumvariante bewahrt länger auf., ohne die keine Erkennung möglich ist.

Der fünfte Bereich behandelt Identitäten und Zugriff.

Der Ablauf ist immer gleich: Identifizierung nennt eine Identität, Authentifizierung belegt sie, AutorisierungFestlegung, welche Rechte ein authentifizierter Zugang erhält. erlaubt eine Handlung, Abrechnung hält fest, was geschah.

Bei den Nachweisen unterscheidet man Wissen, Besitz und Eigenschaft. Mehrere FaktorenKategorie eines Nachweises: Wissen, Besitz oder biometrisches Merkmal. sind erst dann mehrstufig, wenn sie aus verschiedenen Kategorien stammen. Zwei Kennwörter sind kein zweiter Faktor.

Bei den Modellen geht es um die klassischen Formen: nach Ermessen des EigentümersVerantwortliche Person im Fachbereich, die über Einstufung und Zugriff entscheidet., verbindlich nach Einstufung, nach Rollen, nach Regeln und nach Attributen. Jede Form passt zu einer anderen Organisation.

Beim Lebenszyklus geht es um Bereitstellung, Änderung bei Wechsel und Entzug beim Austritt. Der schleichende Rechtezuwachs entsteht, wenn beim Wechsel nur ergänzt und nie entzogen wird; regelmäßige Überprüfungen sind die Antwort.

Bei den VerfahrenSchrittweise Beschreibung der Umsetzung. geht es um EinmalanmeldungEine Anmeldung für mehrere Dienste., um verbundene Identitäten über Vertrauensbeziehungen, um Berechtigungsvergabe über Standardprotokolle und um die Frage, wo die Anmeldung tatsächlich stattfindet.

Angriffe auf Identitäten sind eigene Themen: Wiedereinspielen, Weitergabe gestohlener Merkmale, Übernahme von Sitzungen und Angriffe auf Kennwörter.

Der sechste Bereich behandelt Bewertung und Prüfung.

Es geht um die Frage, ob die getroffenen Maßnahmen wirken. Dazu gibt es Strategien: Prüfung durch die eigene Organisation, durch eine unabhängige Stelle im Haus und durch Dritte von außen. Die UnabhängigkeitOrganisatorische Trennung von Prüfung und Betrieb. des Prüfers entscheidet über den Wert des Ergebnisses.

Bei den VerfahrenSchrittweise Beschreibung der Umsetzung. geht es um Schwachstellensuche, EindringtestsPrüfung der tatsächlichen Ausnutzbarkeit von Schwachstellen., Prüfung von ProtokollenEintrag mit Text und Struktur, der im Log-Analytics-Arbeitsbereich landet und mit KQL abgefragt wird., Prüfung von Konfigurationen, Prüfung des Quellcodes und Tests der Wiederherstellung. Ein Eindringtest hat Regeln des Vorgehens, einen abgesteckten Rahmen und eine schriftliche Erlaubnis; ohne diese drei ist er kein Test, sondern ein Angriff.

Bei den Daten geht es um Kennzahlen, die etwas aussagen: Zeit bis zur Erkennung, Zeit bis zur BehebungPaar aus Erkennungs- und Behebungsskript, das nach Zeitplan läuft und wiederkehrende Probleme immer wieder repariert., Anteil behobener SchwachstellenLücke, die ausgenutzt werden kann.. Zahlen ohne Bezug sind wertlos.

Zur Prüfung gehören auch die Kontrollen im Betrieb: ZugriffsüberprüfungenWiederkehrende Bestätigung bestehender Berechtigungen durch benannte Prüfer., Prüfung der Bereitstellung und des Entzugs von Konten, Übungen zur Fortführung des Geschäfts und Schulungen mit Nachweis.

Am Ende steht der Bericht. Er richtet sich an die Leitung, nennt Risiken in der Sprache des Geschäfts und schlägt Maßnahmen mit Priorität vor. Ein Bericht, den niemand liest, ändert nichts.

Der siebte Bereich behandelt den laufenden Sicherheitsbetrieb.

Zur Untersuchung gehören die Arten: verwaltungsintern, straf-, zivil- und aufsichtsrechtlich. Je nach Art gelten andere Beweisanforderungen. Beweise müssen zulässig, vollständig und nachvollziehbar sein; die NachweisketteLückenlose Dokumentation aller Zugriffe auf ein Beweismittel. darf keine Lücke haben, und flüchtige Daten werden zuerst gesichert.

Zur ÜberwachungProtokolliert Aktivitäten im Mandanten; die Premiumvariante bewahrt länger auf. gehören Protokollsammlung, zentrale Auswertung, Erkennung und Reaktion sowie die Überwachung von Nutzerverhalten und Netzverkehr.

Zur Reaktion gehört ein fester Ablauf: erkennen, reagieren, mindern, melden, wiederherstellen, beheben, lernen. Diese Reihenfolge wird abgefragt.

Zum Betrieb gehören der Umgang mit Aktualisierungen, das ÄnderungsverfahrenGeregelter Ablauf für Eingriffe mit Genehmigung, Rückfallplan und Dokumentation., die Verwaltung von Konfigurationen und die Trennung von Aufgaben, damit niemand allein einen ganzen Vorgang durchführen kann.

Zur Fortführung des Geschäfts gehören Sicherungen mit Aufbewahrung an einem zweiten Ort, Ausweichstandorte in ihren Ausprägungen von kalt über warm bis heiß, und geübte Wiederherstellung. Die zulässige Ausfalldauer bestimmt, welcher Standorttyp nötig ist.

Zur physischen Seite gehören Zutrittssteuerung, Bewachung, ÜberwachungProtokolliert Aktivitäten im Mandanten; die Premiumvariante bewahrt länger auf. und der Schutz von Personal.

Der letzte Bereich behandelt Sicherheit in der Softwareentwicklung.

Es beginnt beim Vorgehensmodell. Ob nacheinander oder in kurzen Zyklen gearbeitet wird, ändert nicht, dass Sicherheit in jeder Phase vorkommen muss: Anforderungen, Entwurf, Umsetzung, Test, Auslieferung, Betrieb, Außerbetriebnahme.

Zu den PraktikenFähigkeit der Organisation, die alle vier Dimensionen umfasst. gehören BedrohungsmodellierungEntwurfstätigkeit, die Bedrohungen an Vertrauensgrenzen durchspielt. im Entwurf, sichere Programmiervorgaben, Prüfung des Quellcodes durch Menschen und WerkzeugeFähigkeit, die ein Agent aufrufen darf, etwa die Suche in hochgeladenen Dateien., Prüfung der verwendeten Fremdbibliotheken und Tests, die auch den Missbrauchsfall abdecken.

Zu den typischen Schwächen gehören das Einschleusen von Befehlen, fehlerhafte Zugriffsprüfung, unsichere Konfiguration, unsichere Verarbeitung von Eingaben, Fehler in der Sitzungsverwaltung und die Preisgabe von Informationen in Fehlermeldungen. Eine Eingabe wird auf dem Server geprüft, nicht nur im Browser.

Zur Auslieferung gehören eine abgesicherte Bereitstellungskette, signierte Artefakte, getrennte UmgebungenEigener Container für Apps, Flows und Daten mit eigener Region und eigenen Rechten. und der Schutz der Geheimnisse, die dabei gebraucht werden.

Zur Datenbankseite gehören Zugriffssteuerung, Vermeidung von Rückschlüssen aus zulässigen Abfragen und die Frage, wie Testdaten entstehen, ohne echte Daten preiszugeben.

Zuletzt geht es um zugekaufte Software: Prüfung des AnbietersErweiterung, die Ressourcen in Schnittstellenaufrufe übersetzt., vertragliche Zusagen und die Frage, wer für SchwachstellenLücke, die ausgenutzt werden kann. zuständig ist.