Otto-von-Guericke-Universität Magdeburg Thema: Abbildung von Prozessen eines Information Security Management System (ISMS) nach BS 7799-2 mit dem ARIS-Tool zur Prozess-Modellierung Diplomarbeit Arbeitsgruppe Wirtschaftsinformatik Themensteller: Prof. Dr. Hans-Knud Arndt Betreuer: Dr. Stefan Schemmer Vorgelegt von: Jens Hofmann Abgabetermin: 23.02.06 II Inhaltsverzeichnis Inhaltsverzeichnis.............................................................................................................II Verzeichnis der Abkürzungen und Akronyme...............................................................IV Abbildungsverzeichnis.....................................................................................................V 1 Motivation und Zielsetzung..........................................................................................1 2 Grundsätze der Modellierung.......................................................................................4 2.1 Grundsätze ordnungsgemäßer Modellierung......................................................5 2.2 Vorgehensmodell zur Referenzmodellierung....................................................11 3 Problemdefinition.......................................................................................................15 3.1 Managementsysteme.........................................................................................15 3.1.1 Der PDCA-Kreislauf.............................................................................20 3.2 Qualitätsmanagementsysteme...........................................................................21 3.2.1 DIN EN ISO 9001:2000 Qualitätsmanagementsysteme.......................22 3.3 Informationssicherheits-Managementsysteme..................................................25 3.3.1 Einordnung des BS7799-2....................................................................30 3.3.2 BS7799-2:2002 Informationssicherheits-Management........................34 3.3.3 ISO/IEC 17799:2000 Verfahren für das Informationssicherheits- Management..........................................................................................36 3.4 Ergebnis der Betrachtung..................................................................................39 4 Referenzmodellrahmen, -struktur und Komplettierung..............................................41 4.1 Architektur integrierter Informationssysteme (ARIS)......................................42 4.1.1 Das ARIS Konzept................................................................................42 4.1.2 ARIS-Toolset........................................................................................47 4.2 Referenzmodellrahmen.....................................................................................50 4.2.1 Konventionen der Modellierung...........................................................50 4.3 Referenzmodellstruktur und Komplettierung....................................................59 4.3.1 Inhalt des BS7799-2:2002 Standards....................................................59 4.3.2 Vergleich mit dem Referenzmodell des Qualitätsmanagements..........64 4.3.3 Das Referenzmodell..............................................................................67 4.3.4 Abbildung der Gemeinsamkeiten zum Referenzmodell des Qualitätsmanagement............................................................................79 4.3.5 Abbildung der Risikoeinschätzung und Risikobehandlung..................84 5 Anwendung.................................................................................................................92 5.1 ARIS Value Engineering (AVE).......................................................................92 5.2 Toolbasierte Unterstützung der Risikoeinschätzung und -behandlung.............96 5.2.1 Konzept der Anwendung......................................................................97 5.2.2 Weitere Softwarelösungen....................................................................99 5.2.3 Die Anwendung..................................................................................103 5.2.4 Möglichkeiten der Erweiterung..........................................................113 III 6 Zusammenfassung und Ausblick..............................................................................115 7 Anhang 116 Quellenverzeichnis........................................................................................................191 IV Verzeichnis der Abkürzungen und Akronyme ARIS Architektur integrierter Informationssysteme DIN Deutsches Institut für Normung DV Datenverarbeitung eEPK erweiterte Ereignisgesteuerte Prozesskette EPK Ereignisgesteuerte Prozesskette ERM Entity Relationship Modell FZD Funktionszuordnungsdiagramm GoM Grundsätze ordnungsmäßiger Modellierung IS Informationssicherheit ISMS Informationssicherheits-Managementsystem IT Informationstechnologie o. V. ohne Verfasser QM Qualitätsmanagement SQL Structured Query Language UML Unified Modelling Language WKD Wertschöpfungskettendiagramm V Abbildungsverzeichnis Abb. 2.1 Vorgehensmodell zur Referenzmodellierung...................................................11 Abb. 3.1: PDCA-Kreislauf..............................................................................................21 Abb. 3.2 Umgesetztes PDCA-Konzept im Qualitätsmanagement..................................23 Abb. 3.3: PDCA-Konzept angewendet auf den BS7799-2:2002 Standard.....................34 Abb. 3.4 Entwicklung der BS7799 Standards.................................................................36 Abb. 4.1: Das ARIS – Haus.............................................................................................44 Abb. 4.2: Das ARIS - Haus Modelltypen.......................................................................45 Abb. 4.3: ARIS Modellierung einer eEPK......................................................................48 Abb. 4.4: Darstellung WKD............................................................................................51 Abb. 4.5: Darstellung der Symboltypen für das Organigramm.......................................52 Abb. 4.6: Darstellung der Symboltypen für die eEPK....................................................53 Abb. 4.7: Darstellung der Symboltypen für das FZD.....................................................54 Abb. 4.8: Darstellung der Symboltypen für das ERM....................................................55 Abb. 4.9: Gruppenstruktur im ARIS Explorer................................................................55 Abb. 4.10: Gruppenstruktur des Referenzmodell im ARIS Explorer.............................68 Abb. 4.11: Übersichtsmodell WKD: 0.2 BS7799-2:2000...............................................69 Abb. 4.12: Organigramm: Organisation..........................................................................71 Abb. 4.13: WKD: 4.2.1 Festlegen des ISMS...................................................................73 Abb. 4.14: WKD: 4.2.2 Umsetzen und Durchführen des ISMS.....................................74 Abb. 4.15: WKD: 4.2.2.a Risikobehandlungsplan formulieren......................................75 Abb. 4.16: WKD: 4.2.3 Überwachen und Überprüfen des ISMS...................................76 Abb. 4.17: WKD: 4.2.4 Aufrechterhalten und Verbessern des ISMS.............................77 Abb. 4.18: WKD: 4.3 Dokumentationsanforderungen....................................................77 Abb. 4.19: WKD: 5.2 Management von Ressourcen......................................................78 Abb. 4.20: WKD: 6. Managementbewertung des ISMS.................................................78 Abb. 4.21: WKD: 7. ISMS-Verbesserung.......................................................................79 Abb. 4.22: WKD: 5.2.1 Bereitstellen der Ressourcen.....................................................80 Abb. 4.23: FZD: 6.4 internes ISMS-Audit......................................................................81 Abb. 4.24: WKD: 5.2.2.b Schulung und Einstellung im Bedarfsfall..............................81 Abb. 4.25: eEPK: 5.2.2 Schulung, Bewusstsein, Kompetenz.........................................83 Abb. 4.26: Arbeitssicht eEPK: 4.2.1.d.1 Identifikation der Werte innerhalb des ISMS.85 Abb. 4.27: Arbeitssicht FZD: Werte innerhalb identifizieren.........................................85 Abb. 4.28: Arbeitssicht FZD: Feststellen der verantwortlichen Personen......................86 VI Abb. 4.29: DV-Konzept ERM: 4.2.1.d.1 Identifikation der Werte innerhalb des ISMS86 Abb. 4.30: Arbeitssicht eEPK 4.2.1.d.4 Identifikation der Bedrohungen.......................87 Abb. 4.31: Arbeitssicht FZD: Feststellen der möglichen Bedrohungen der Werte.........88 Abb. 4.32: DV-Konzept ERM: 4.2.1.d.4 Identifikation der Bedrohungen.....................88 Abb. 4.33: Arbeitssicht eEPK: 4.2.1.f.2 Bewusste, objektive Akzeptanz der Risiken gemäß Politik................................................................................................90 Abb. 4.34: Arbeitssicht FZD: Entscheidung über die Akzeptanz bei gewählten Maßnahmen..................................................................................................90 Abb. 4.35: DV-Sicht ERM: 4.2.1.f.2 Bewusste, objektive die Akzeptanz der Risiken laut Politik.....................................................................................................91 Abb. 5.1: ARIS Value Engineering.................................................................................93 Abb. 5.2: Tool zur Risikoeinschätzung und -behandlung...............................................97 Abb. 5.3: Callio Toolkit Pro Startbildschirm................................................................100 Abb. 5.4: Risikobewertung mit Risk Register...............................................................101 Abb. 5.5: Secuquest Auswertung..................................................................................102 Abb. 5.6: Symantec Enterprise Security Manager........................................................103 Abb. 5.7: Datenbankstruktur: Auswahl der Sicherheitsziele und Maßnahmen.............104 Abb. 5.8: Übersicht Datenbankstruktur: Risikoeinschätzung und –Behandlung..........104 Abb. 5.9: ERM: Bewusste, objektive Akzeptanz der Risiken laut Politik....................105 Abb. 5.10: Datenbankstruktur: Bewusste, objektive Akzeptanz der Risiken laut Politik106 Abb. 5.11: Login-Formular...........................................................................................107 Abb. 5.12: Risikoeinschätzung und -behandlung..........................................................107 Abb. 5.13: Identifizieren der Risiken............................................................................108 Abb. 5.14: Formular zur Eingabe der Auswirkungen...................................................108 Abb. 5.15: Formular Übersicht an Informationen zur Festlegung der Risikoakzeptanz109 Abb. 5.16: Formular zur bewussten Akzeptanz der Risiken.........................................111 Abb. 5.17: Begründung der Sicherheitsziele und Maßnahmen.....................................112 Abb. 5.18: Einstellen der Vorgaben..............................................................................113 1 1 Motivation und Zielsetzung Im Zuge der zunehmenden Zahl an Sicherheitsvorfällen in Organisationen gewinnt die Erkenntnis an Bedeutung, dass Informationen bedeutende Organisationswerte sind de- ren Sicherheit nicht allein durch Ad-hoc-Sicherheitsmaßnahmen zu gewährleisten ist. Gesetzliche Vorgaben sorgen dafür, dass Organisationen die Angemessenheit ihrer Maßnahmen bewerten und belegen können müssen. Daraus ergibt sich der Bedarf kon- trollierte prozessbasierte Systeme zu etablieren, die zur Aufrechterhaltung der Informa- tionssicherheit in einer Organisation (Informationssicherheits-Mangemementsysteme ISMS) dienen. Hier liegt der Schwerpunkt auf einer hohen Qualität, welche gegenüber Dritten belegt werden kann. Dabei sind die Möglichkeiten der Zertifizierung von Inte- resse, wobei sich der britische Standard BS7799-2:2002 als international anerkannter Standard etabliert hat. Dieser beschreibt Anforderungen an die Planung, Durchführung, Dokumentation, Bewertung und kontinuierliche Verbesserung, unter zugrunde legen eines prozessorientierten Ansatzes, eines Informationssicherheits-Managementsystems. Dabei wird vor allem die Notwendigkeit, dass alle Prozesse in ihrer Wirksamkeit über- wacht werden und durch geeignete Maßnahmen verbesserte werden, vorausgesetzt. Die Grundlage hierfür stellt der Plan-Do-Check-Act-Ansatz, welcher Planung, Durchführen, Kontrolle sowie Verbesserung in einem kontinuierlichen Prozess zusammenfasst. Somit weist der Standard viele Gemeinsamkeiten mit dem DIN EN ISO 9001:2000 Standard auf, mit dem er auch explizit harmonisiert wurde. Durch die Komplexität der Planung, Einführung, Überwachung, Bewertung und Doku- mentation eines Informationssicherheits-Managementsystems, sollten diese durch ge- eignete Anwendungen unterstützt werden. Das ARIS-Toolset der Firma IDS Scheer AG wurde speziell zur Modellierung von Pro- zessen entwickelt und wird beispielsweise bei der Einführung komplexer Applikatio- nen, wie SAP R/3, und der damit verbundenen Prozesse verwendet. Es bietet somit die Möglichkeit die Prozesse eines ISMS geeignet abzubilden. Zielsetzung Ziel der Diplomarbeit ist die Abbildung von Prozessen eines ISMS nach BS 7799- 2:2002 mit dem ARIS-Toolset unter Verwendung der zugehörigen Modellierungsme- thoden. Angestrebt wird hierbei eine möglichst generelle Abbildung, unter weitgehen- 2 der Abstraktion von Organisationsspezifika, sodass die abgebildeten Prozesse als Mus- ter für spätere Anpassung dienen können. Hierbei kann auf dem bereits bestehenden Referenzmodell der DIN EN ISO 9001:2000 aufgebaut werden. Kernpunkt der Abbil- dung wird dabei der Bereich der Risikoeinschätzung und –behandlung sein. Struktur der Arbeit Nachdem in diesem Abschnitt eine thematische Einleitung gegeben wurde, werden im Kapitel zwei die Grundsätze ordnungsgemäßer Modellierung, welche den Ausgangs- punkt einer konsistenten Modellierung bieten, vorgestellt sowie das Vorgehensmodell zur Referenzmodellierung detailliert erläutert. Dabei folgt die Arbeit in den weiteren Kapiteln dem Vorgehensmodell sowohl in der Herangehensweise als auch in der Struk- tur. Auf die Grundlagen folgt im Kapitel drei die allgemeine Erläuterung von Management- systemen sowie die Darstellung deren Ausprägungen, der Qualitätsmanagementsysteme und der Informationssicherheits-Managementsysteme anhand der dieser Arbeit zu Grunde liegenden Standards. Dabei werden die Standards DIN EN ISO 9001 im Be- reich der Qualitätsmanagementsysteme sowie BS7799-2:2002 und ISO/IEC 17799:2000 im Bereich der Informationssicherheits-Managementsysteme vorgestellt. Durch die ge- wählte Thematik dieser Arbeit erfährt hier besonders der Bereich des Informationssi- cherheits-Managements eine detaillierte Betrachtung und Begründung. Im Anschluss wird das ARIS-Konzept im ersten Abschnitt des vierten Kapitels vorge- stellt. Beginnend bei der Erläuterung des Konzeptes über die Beschreibung des ARIS- Toolsets wird der Bogen zweiten Abschnitt des Kapitels, dem Referenzmodellrahmen mit den Konventionen der Modellierung, gespannt. Diese dienen im Weiteren der Ab- bildung des ISMS nach BS7799-2:2002. Der dritte Abschnitt des vierten Kapitels widmet sich dem Referenzmodell. Dazu wird anfangs die detaillierte Struktur des BS7799-2:2002 Standards vorgestellt. Durch die Anlehnung an das zur Verfügung gestellte Referenzmodell der DIN EN ISO 9001:2000 werden darauf folgend, Gemeinsamkeiten, die das Referenzmodell des ISMS unterstüt- zen können, herausgestellt. Unter Einbezug dieser Gemeinsamkeiten und mit der detail- lierten Betrachtung der Risikoeinschätzung und –behandlung, wird darauf folgend das Referenzmodell des ISMS nach BS7799-2:2002 vorgestellt. 3 Im Kapitel fünf wird die Anwendung des Referenzmodells vorgestellt. Einerseits wird das Konzept der IDS Scheer AG erläutert, andererseits ergibt sich im Laufe der Model- lierung, durch die detaillierte Betrachtung der Risikoeinschätzung und -behandlung die Möglichkeit diesen Bereich in einer Software abzubilden, welche im zweiten Abschnitt des fünften Kapitels detailliert beschrieben wird. Den Abschluss der Arbeit bietet die Zusammenfassung der geleisteten Arbeit und den Ausblick auf die weitere Entwicklung. 4 2 Grundsätze der Modellierung Einführend werden die Grundsätze der ordnungsgemäßen Modellierung erläutert. Diese bieten einen Ausgangspunkt zur Unterstützung einer konsistenten Modellierung. Darauf aufbauend wird das Vorgehensmodell zur Referenzmodellierung vorgestellt. Dabei ori- entierten sich die nachfolgenden Kapitel an diesem Vorgehensmodell. Zuvor werden jedoch zwei im Rahmen dieser Arbeit bedeutenden Begriffe vorgestellt, Diese Begriffe sind der Prozess und das Modell. Dabei stellt ein Prozess einen „Satz von in Wechselbeziehungen oder Wechselwirkung stehenden Tätigkeiten, der Eingaben in Ergebnisse umwandelt“1 dar, während man unter einem Modell „ein immaterielles und abstraktes Abbild der Realität für die Zwecke eines Subjektes“ 2 versteht. Modelle werden dabei als Hilfsmittel zur Erklärung und Gestaltung realer Systeme eingesetzt.3 Unter einem System wird ein „Satz von in Wechselbeziehungen oder Wechselwirkung stehenden Elementen“4 verstanden. Warum Geschäftsprozessmodellierung? Zielsetzung der Geschäftsprozessmodellierung ist es, Geschäftsprozesse von der Doku- mentation bis hin zur Optimierung zu unterstützen und dabei zu einer möglichst auto- matischen Umsetzung in IT-Projekten beizutragen. Dabei versteht man unter einem Geschäftsprozess eine zusammengehörige Abfolge von Organisationsverrichtungen zum Zweck der Leistungserstellung. Der Ausgang und das Ergebnis ist eine Leistung, die von einem internen oder externen Abnehmer angefordert oder abgenommen wird.5 Sowohl Organisationen welche im Zuge der zunehmenden Globalisierung unter ver- stärktem Konkurrenzdruck stehen als auch Behörden, die ihrer Rolle als Dienstleister für den Bürger gerecht werden, schaffen dies nur, wenn sie ihre Geschäftsprozesse op- timieren. Eine Organisation wird hierbei als eine „Gruppe von Personen und Einrich- 1 EN DIN ISO 9000:2000, S.23 2 Becker/Vossen (1996) S.19 3 Vgl. Becker/Vossen (1996) S.19 4 DIN EN ISO 9000:2000, S. 20 5 Vgl. Scheer (2002), S. 3