verinice.XP Archiv

Neuerungen im B3S Gesundheitsversorgung im Krankenhaus mit Fokus auf Telematik / Informationssicherheit in Krankenhäusern - Starterpaket § 75c SGB V

Slides (PDF)

Verschiedene ISMS-Standards haben meist auch verschiedene Anforderungen.
Überschneidungen gibt es jedoch immer. So auch bei dem Thema Penetrationstests.

Die ISO 27001 fordert Prüfungen wie beispielsweise Penetrationstests eher implizit im Control A.18.2.3 ("Überprüfung [...] technischer Vorgaben").

Der IT-Grundschutz des BSI ist hier beispielsweise etwas konkreter und fordert im Rahmeneiniger Grundschutz-Bausteine Penetrationstests als explizite Anforderungen (z. B. bei Webanwendungen: APP.3.1.A22).

Im Rahmen des Vortrags soll aus der Sicht eines ISMS-Beraters und Penetrationstesters zu Beginn erläutert werden, was ein Penetrationstest eigentlich ist, wie ein typisches Projekt abläuft bzw. ablaufen sollte, welche Vorteile ein Penetrationstest überhaupt bietet und welche Fallstricke es möglicherweise geben könnte. Darauf aufbauend werden verschiedene Beispiele und Anwendungsfälle aus Standards herangezogen und in Bezug auf
sinnvolle Umsetzungsmöglichkeiten beleuchtet. Abschließend sollen grundsätzlich sinnvolle Ansätze aufgezeigt werden, wie die Thematik
Penetrationstests in ein ISMS eingebunden werden und was sich durch ein gutes Zusammenspiel der beiden Themen ergeben kann.

Slides (PDF)

Das verinice.TEAM vereint für verinice.veo die bewährten fachlichen Stärken mit neuester Webtechnologie als Software-as-a-Service Lösung (SaaS).

Nach 15 Jahren erfolgreicher Entwicklung von verinice, wird verinice.veo auf einer modernen Plattform vollständig neu aufgebaut. Moderne Webtechnologien im Frontend ermöglichen ein Tool, das sich im Browser wie eine Desktop-Anwendung anfühlt und bedienen lässt.

Der Vortrag liefert Antworten auf die häufig gestellten Fragen zum aktuellen Zeitplan der Entwicklung, der Migration von Daten / bestehenden Subskriptionen und dem Preismodell.

Slides (PDF)

Sernet stellt den Cloud Computing Compliance Controls Catalogue (C5) als Modul bereit, der für viele Kunden momentan wichtige Anhaltspunkte zur Absicherung ihrer Cloud Strategie bietet.

Für Sicherheits- und Datenschutzbeauftragte stellt sich oft die Frage, wie im Detail die Sicherheit der Cloud Services bewertet werden kann. Die automatisierte Übernahme des M365 Compliance Manager Reports in Verinice könnte dazu ein hilfreicher Schritt sein.

Slides (PDF)

Die Sicherheitsanforderungen an die Zulassungsstellen für den Betrieb der iKfz-Verfahren sind enorm und damit die organisatorischen und technischen Sicherheitsanforderungen an den IT-Betrieb entsprechend komplex. Eingebunden sind die IT-Verfahren und IT-Systeme im Regelfall im IT-Management der Gemeinde.

Wie stellt der Verantwortliche also seinen Informationsverbund iKfz3 entsprechend den Vorgaben dar? Wie weist der Verantwortliche gegenüber den Auditoren die Umsetzung der Sicherheitsanforderungen nach?

Verinice kann hier die Lösung sein.

Slides (PDF)

Die Compliance-Verantwortlichen in Unternehmen und Behörden sind mit einer zunehmenden Anzahl von Standards und Best Practices konfrontiert. Während staatlich finanzierte und staatlich geduldete Cyber-Angriffe weiter zunehmen, werden auch gesetzliche und regulatorische Anforderungen entsprechend zunehmen. Dadurch steigt die Anzahl an umzusetzenden Controls, die Assessment-Zyklen werden kürzer und die Umsetzung von Maßnahmen muss mit hoher Granularität bis hinunter zu einzelnen Control-Aussagen für spezifische Systeme oder gar Systemkomponenten nachweisbar sein.

Der zunehmenden Arbeitsbelastung kann mit Automatisierung begegnet werden. Dabei stellen sich Probleme, die für gängige Technologien zur Herausforderung werden. Der hohe Grad an Beziehungen in Maßnahmenkatalogen wie dem IT-Grundschutz oder dem NIST 800-53 führt bei Abfragen über 4 oder mehr Rekursionsebenen schnell zu Ergebnismengen, die mit relationalen Datenbanken schwer zu verarbeiten sind. Neue Ansätze versprechen hier Lösungen. Ein solcher Ansatz ist die Verwendung moderner Open Source-Graphendatenbanken.

Der Grundschutzstandard wird vom verinice-Team bereits in ein maschinenlesbares Format umgewandelt. Dieses Format kann konvertiert und für Graphendatenbanken nutzbar gemacht werden. Dadurch entstehen neue Auswertungsmöglichkeiten und neue Erkenntnisse, die im Vortrag mit Hilfe der Community-Version der Neo4J-Datenbank live präsentiert werden.

Slides (PDF)

„Content is King" - unter diesem Motto wird verinice auch im Jahr 2022 weiter entwickelt. Während die technische Entwicklung stark auf die neue rein web-basierte Version "verinice.veo" fokussiert ist, arbeitet das Fachteam unter Leitung von Michael Flürenbrock daran, weitere Inhalte in neuen Modulen für verinice bereitzustellen.

Michael Flürenbrock gibt einen Einblick in den aktuellen Stand sowie die weitere Planung rund um verinice/verinice.veo.

Slides (PDF)

Mit der offenen Struktur von verinice besteht die Möglichkeit zu einem
existierenden ISMS und DSMS weitere Managmentsysteme zu integrieren und verwalten.

Risikomanagement, Assetmanagement (gruppiert) und andere für alle Managementsysteme wichtigen Grundlagen können mit verinice dokumentiert und verwaltet werden.

Slides (PDF)

In diesem Vortrag erhalten Sie einen Überblick über die Neuerungen im BSI IT-Grundschutz Kompendium 2021.

Keywords: Bausteine, Vergleich, Änderungen, Neuerungen, Zusammenfassung

Slides (PDF)

Stadtwerke haben für ihre Fernwirkanlagen die gesetzliche Forderung einer Zertifizierung nach IT-Sicherheitskatalog zu erfüllen. Sie müssen ein Informationssicherheits-Managementsystem (ISMS) nach dem IT-Sicherheitskatalog unter Verwendung der DIN-ISO-Normen 27001 und 27019 einrichten und verwenden. Dienstleister dieser Stadtwerke haben ebenso eine Zertifizierung nach DIN-ISO 27001 nachzuweisen.

Der Vortrag gibt Impulse anhand praktischer Beispiele wie für die IT- und die Security-Organisation lückenlose Arbeitsabläufe zwischen Information Security Management und IT Service Management (ITSM) umsetzbar sind und damit die Anforderungen an die ISO 27001-Zertifizierung unterstützt.

Wie wird mit der ITSM-Software KIX der Aufbau eines ISMS unterstützt? Welche Forderungen aus den Normkapiteln und der Anwendbarkeitserklärung (SOA) werden durch KIX nach ITIL unterstützt. Welche Rollen spielen dabei die CMDB und der Wartungsplaner? Wie integriert sich das ISMS-Tool verinice als wichtige Komponente hierbei hinein?

Mit KIX und verinice schnell DIN-ISO 27001 konform – das ist erfolgreich, wenn IT- und Sicherheitsteams gemeinsam agieren.

Slides (PDF)

Wir erleben im Rahmen von Kritis-Betreibern immer häufiger die Tendenz ein Tool für ein ISMS einzusetzen. Jedoch sind diese Entscheidungen nicht immer durchdacht.

Im Rahmen dieses Vortrags werden die häufigsten Fehler bei der Einführung eines ISMS mit einem Tool näher betrachet.

In unserer Präsentation zur Tenant Security von Microsoft 365-Umgebungen erfahren Sie praktisch, wie Sie die für Ihre Organisation angemessen Sicherheitsanforderungen identifizieren und datenschutzkonform umsetzen. Nutzen Sie Anwendungen wie Teams, SharePoint, Planner und weitere Applikationen sicher.

Slides (PDF)

Boban Kršić ist CISO bei der DENIC eG in Frankfurt und unter anderem Leiter des "Branchenarbeitskreises Internetinfrastruktur" im "UP-KRITIS". In diesem Vortrag berichtet er über das IT-Sicherheitsgesetz 2.0 und dessen Auswirkungen auf die technische und fachliche Entwicklung von IT-Sicherheit und -Compliance in Deutschland.

Slides (PDF)

Data Breaches erscheinen täglich in den Medien. Trotzdem kümmert sich nur ein kleiner Teil der Unternehmen strukturiert und geplant um eine angemessene Informationssicherheit mit Werkzeugen wie Verinice. Viele Verantwortliche vermeiden dieses Thema trotz der substanziellen finanziellen Risiken.

Wiederholt wurden die potentiellen Risiken in einer Studie untersucht. In diesem Vortrag wird ein Überblick über eine IBM Studie gegeben, bei der in 17 Ländern über 500 Organisationen untersucht worden sind, welche Opfer eines Data Breaches geworden sind.

Ziel ist es, Ihnen finanzielle Argumente für die notwendigen Untersuchungen bei einem finanziell orientierten Management an die Hand zu geben, um deren Zustimmung zu Arbeiten an der Informationssicherheit zu erreichen.  

Slides (PDF)

Out of the box generiert verinice die wichtigsten Berichte für Auditor und ISB. Für die Kommunikation mit dem Management bedarf es aber vereinfachter Darstellung, die dringende Fragestellungen grafisch plausibel macht. In diesem Vortrag wird präsentiert, wie mit dem Report Generator die wichtigsten Infos ausgewählt sowie in Excel aufbereitet werden.
Eine Darstellung der Abhängigkeiten von Prozess zu Anwendung etc. braucht das Management nicht als Fließtext. In diesem Vortrag lernen Sie, wie mit möglichst wenig Aufwand die benötigten Informationen aus verinice exportiert und mit einen Graphen Tool gezeichnet werden können.

Slides (PDF)

Conficker, Citrix-Lücke, Pegasus: spätestens wenn sogar die Tagesschau über Schwachstellen berichtet, denken die meisten IT-Verantwortlichen über möglichen Handlungsbedarf im eigenen Netzwerk nach. Die meisten Unternehmen etablieren inzwischen eine gute Update-Policy zur Reduktion von Software-Schwachstellen. Ab und an gibt es allerdings Schwachstellen, die so kritisch sind, dass sie außerhalb des regulären Patch-Zyklus behandelt werden müssen. Wie entdeckt man solche Schwachstellen und wann reagiert man darauf? Man kann tagtäglich die Nachrichten und soziale Medien durchforsten, um rechtzeitig gewarnt zu sein. Es gibt allerdings noch eine andere Möglichkeit.

Slides (PDF)

"Content is King" - unter diesem Motto wird verinice im Jahr 2021 weiter entwickelt. Während die technische Entwicklung stark auf die neue rein web-basierte Version "verinice.veo" fokussiert, arbeitet das Fachteam unter Leitung von Michael Flürenbrock daran, weitere Inhalte in neuen Modulen für verinice bereit zu stellen. Siehe dazu auch den stark ausgebauten Bereich "Content" im verinice.SHOP.

Die für 2021 geplanten Versionen 1.22 (Frühjahr) und 1.23 (Herbst) werden im Vortrag inhaltlich und technisch vorgestellt.