Edition <kes> – serie

Methodisch sauber eingesetztes Hacker-Wissen, das die Informationssicherheit Ihres Unternehmens erhöhen soll. Penetrationstests unterscheiden sich vom normalen "Hacking" durch ihren strukturierten Ansatz, die ausführliche Dokumentation, die notwendigen Formalismen (z.B. ausführliche Vertragsgestaltung) und das Aufzeigen systematischer Schwachstellen.So beauftragen Sie den "Hacker" Ihrer Wahl, bevor es unerlaubt jemand anderes tut. Mit diesem Buch erfahren Sie, wie es geht. Die Realisierung von Pen-Tests, die systematische Schwachstellenanalyse, die Wahl geeigneter Werkzeuge. Damit Sie im Ernstfall nicht als Verlierer dastehen: Von der Planung über die Vertragsgestaltung bis hin zur Realisierung.

Die Normreihe ISO 27000 und der IT-Grundschutz werden immer wichtiger für Unternehmen und Behörden, die ein IT-Sicherheitsmanagement in ihrer Organisation einführen und betreiben wollen. Im internationalen Kontext ist die Anwendung der ISO 27001 für viele Organisationen nahezu unverzichtbar.Das Buch führt den Leser Schritt für Schritt in diese Standards ein und legt verständlich dar, wie man ein adäquates Management-System (ISMS) aufbaut und bestehende Risiken analysiert und bewertet. Die ausführlich kommentierten Controls unterstützen Sicherheitsverantwortliche bei der Auswahl geeigneter Sicherheitsmaßnahmen in allen Bereichen.  Die Nutzung von Kennzahlen zur Messung der Sicherheit wird an Beispielen erläutert. Zusätzlich erhält der Leser detaillierte Informationen zu internen und externen Audits sowie der Zertifizierung nach ISO 27001.Diese erweiterte 4. Auflage des Buches berücksichtigt u. a. die aktuelle Weiterentwicklung der ISO 27000 Normenreihe und vertieft Themen wie IT-Revision und Compliance. Viele Abschnitte wurden nach Vorschlägen der Leser früherer Auflagen überarbeitet und ergänzt.  Zum Buch wird auch ein Online-Service bereit gestellt, der Checklisten und Vorlagen als Arbeitsmittel für das Sicherheitsmanagement bietet.

Das Buch fasst alle Sachverhalte zum Risikomanagement zusammen, verbindet sie mit anderen Informationsquellen und umrahmt sie mit vielen Praxistipps, 38 Abbildungen und Tabellen und 14 Fallbeispielen. Wer mit ISO/IEC 27005 arbeiten möchte, für den reicht der unkommentierte Blick in den Standard nicht aus. Die Normenreihe ISO/IEC 27000 ist in den letzten Jahren stark gewachsen und es ist schwer den Überblick zu behalten. Dieses Buch zielt auf den Einsatz in der Praxis und richtet sich an jeden, der seine Entscheidungen auf Grundlage einer fundierten Risikoanalyse treffen will.Zusätzliche Funktionen für Smartphones:40 QR-Codes mit redaktionell gepflegten Links führen Sie mit Ihrem Smartphone direkt aus dem Buch ins Internet. So gelangen Sie ohne Tippen von der Buchseite aus auf die passende Webseite. Auf diese Weise sind die Vorzüge von Buch und Internet jederzeit für Sie verfügbar. Darüber hinaus steht Ihnen der Autor auf seiner Facebook-Seite und in seinem Blog „Klipper on Security“ als Ansprechpartner zur Verfügung.

Profitieren Sie von den Erfahrungen der Autoren! Mit diesem Buch erhalten Sie das aktuelle und zuverlässige Praxiswissen zum IT-Sicherheitsmanagement in Unternehmen und Behörden –  Aufbau und Inhalt des Werkes haben sich in der Aus- und Fortbildung von IT-Sicherheitsbeauftragten bewährt. Die Inventarisierung aller Informationswerte (Assets), die Formulierung von Sicherheitszielen und die Erstellung von Leitlinien und Sicherheitskonzepten werden klar und verständlich  dargestellt.  Anhand vieler praktischer Beispiele erfahren Sie alles über Risikoanalysen und -bewertungen sowie über wichtige Sicherheitsmaßnahmen aus den Bereichen Organisation, Recht, Personal, Infrastruktur und Technik.  In der vierten Auflage wurde neben vielen Aktualisierungen und Erweiterungen (z.B. im Hinblick auf den Einsatz mobiler IT-Systeme) das Kapitel über die Inventarisierung komplett überarbeitet; als neues Kapitel wurde die Verhinderung von Datenlecks (Data Loss / Leakage Prevention) in sensiblen Organisationen aufgenommen.

Das Buch bietet einen praxisbezogenen Leitfaden für das Informationssicherheits-, IT- und Cyber-Risikomanagement im Unternehmen – es ist branchenneutral und nimmt Bezug auf relevante Konzepte und Standards des Risikomanagements und der Governance (z.B. COBIT, NIST SP 800-30 R1, ISO 31000, ISO 22301 und ISO/IEC 270xx-Reihe).Der Autor stellt integrierte Lösungsansätze in einem Gesamt-Risikomanagement vor. Dabei behandelt er systematisch, ausgehend von der Unternehmens-Governance, die fachspezifischen Risiken in einem beispielhaften Risikomanagement-Prozess. Der Leser erhält alles, was zur Beurteilung, Behandlung und Kontrolle dieser Risiken in der Praxis methodisch erforderlich ist.Diese 5. Auflage ist auf den aktuellen Stand der Compliance-Anforderungen und der Standardisierung angepasst und geht in einem zusätzlichen, neuen Kapitel speziell auf die Cyber-Risiken und deren Besonderheiten ein. Anhand von Beispielen wird ein Ansatz für das Assessment der Cyber-Risiken sowiein der Massnahmen zur adäquaten Behandlung gezeigt.

This book describes new methods and measures which enable ICT service providers and large IT departments to provide secure ICT services in an industrialized IT production environment characterized by rigorous specialization, standardization and division of labor along the complete supply chain. This book is also for suppliers playing their role in this industry. Even more important, user organizations are given deep insight in secure IT production which allows them to make the best out of cloud, mobile and beyond. This book presents a new organization and classification scheme being thoroughly modular and hierarchical. It contains a security taxonomy that organizes all aspects of modern industrialized IT production. The approach takes operational requirements into account and focuses on user requirements, thus facing the reality in the market economy. Despite cost pressure, providers must ensure security by exploiting economies of scale to raise the efficiency also with respect tosecurity. Furthermore, this book describes a wealth of security measures derived from real-world challenges in IT production and IT service management.

Dieses Buch bietet eine ganzheitliche Darstellung von rollenbasierten Zugriffskonzepten. Damit greifen die Autoren die integrativen IT-Trends in Unternehmen auf, die neue Konzepte für Autorisierung und Authentisierung erfordern wie z. B. Single Point of Administration. Ausgehend von der bestehenden Situation in Unternehmen und der historischen Herleitung wird ein Überblick über die Berechtigungsproblematik gegeben. Die Autoren stellen praktische und handhabbare Technologien vor und geben konzeptionelle sowie generisch technologische Lösungsansätze und bewerten diese. Ein Buch für alle, die sich beruflich oder im Studium mit Berechtigungsverfahren und Zugriffsmanagement beschäftigen.

Das Buch behandelt die Themen Business Continuity und IT-Notfallmanagement ganzheitlich – ausgehend von den Geschäftsprozessen einer Organisation, über die ggf. vorhandene IT-Unterstützung bis hin zur Absicherung benötigter personeller, organisatorischer und technischer Ressourcen. Die Autoren stellen das Managementsystem nach den einschlägigen Standards ISO 22301, 27001/27031, BSI 100-4 dar und vertiefen insbesondere die wichtigen Schritte der Risikoanalyse und der Business Impact Analyse. Zudem werden präventive, detektierende und reaktive Maßnahmen aus allen Bereichen erläutert. Praxisrelevante Fallbeispiele unterstützen den Leser bei der Einrichtung von Business Continuity Management (BCM) und IT-Notfallmanagement in der eigenen Organisation. Synergieeffekte zwischen BCM und Informationssicherheit werden dabei besonders hervorgehoben.

Webanwendungen bilden in Unternehmen zahlreiche sensible Geschäftsprozesse ab – ob mit Kunden, mit Mitarbeitern, Partnern und Zulieferern. Daher sind Webapplikationen ein Sicherheitsrisiko für Unternehmen und ihr Schutz von entscheidender Bedeutung. In dem Buch beleuchtet der Autor die wichtigsten Aspekte der Webanwendungssicherheit und stützt sich dabei auf seine langjährige Erfahrung als IT-Security-Berater für Webanwendungen und Entwicklungsprozesse.Der Band bietet neben einem allgemeinen Überblick zum Thema Sicherheit von Webanwendungen ausführliche und praxisorientierte Darstellungen zu wichtigen Einzelfragen: Was sind die häufigsten Schwachstellen und mit welchen Maßnahmen lassen sich Webanwendungen am effektivsten gegen Angriffe absichern? Ein eigenes Kapitel befasst sich mit den Verfahren, die eingesetzt werden, um die Sicherheit von Anwendungen bereits im Entwicklungsprozess zu bewerten und zu überprüfen. Der Autor erläutert zudem, wie sich die Sicherheit in selbst entwickelten und zugekauften Webanwendungen durch organisatorische Prozesse nachhaltig verbessern lässt.Die zweite Auflage des 2014 erstmals erschienen Buchs wurde vor dem Hintergrund neuer Techniken zur Abwehr von Angriffen und neuer Prüfverfahren vollständig überarbeitet und aktualisiert. Auch aktuelle Beratungsprojekte des Autors haben Eingang in die Neuauflage gefunden – insbesondere dort, wo es um organisatorische Aspekte von Webanwendungssicherheit geht.Der Band richtet sich an Entwickler von Webanwendungen, IT-Security- und Qualitätsmanager genauso wie an Leser, die sich in das Thema Webanwendungssicherheit einarbeiten wollen.

Kein Unternehmen kann heute noch komplexe IT-Services marktgerecht aus eigener Kraft bereitstellen. Anwenderunternehmen bedienen sich spezialisierter IT-Dienstleister und letztere greifen auf Komponenten und Dienste aus einem weit gefächerten Zuliefernetzwerk zurück. Dies ist Folge einer zunehmenden Industrialisierung der IT-Produktion, die durch eine starke Arbeitsteilung gekennzeichnet ist. Damit dabei die Sicherheit nicht auf der Strecke bleibt, wird ein unternehmensübergreifendes Sicherheitsmanagement benötigt. Das Buch zeigt, wie Anwenderunternehmen und Lieferanten in einem solchen „Joint Security Management“ organisationsübergreifend kompetent zusammenarbeiten, um sicherzustellen, dass die mit der Nutzung von IT verbundenen Geschäftsrisiken beherrschbar bleiben. Die Autoren erläutern an einem durchgängigen Konzept und einer konkreten, direkt umsetzbaren Gebrauchsanweisung nicht nur das „Was“, sondern auch das „Wie“.

This book describes new methods and measures which enable ICT service providers and large IT departments to provide secure ICT services in an industrialized IT production environment characterized by rigorous specialization, standardization and division of labor along the complete supply chain. This book is also for suppliers playing their role in this industry. Even more important, user organizations are given deep insight in secure IT production which allows them to make the best out of cloud, mobile and beyond. This book presents a new organization and classification scheme being thoroughly modular and hierarchical. It contains a security taxonomy that organizes all aspects of modern industrialized IT production. The approach takes operational requirements into account and focuses on user requirements, thus facing the reality in the market economy. Despite cost pressure, providers must ensure security by exploiting economies of scale to raise the efficiency also with respect tosecurity. Furthermore, this book describes a wealth of security measures derived from real-world challenges in IT production and IT service management.

Dieses Buch behandelt das Management der Informationssicherheit auf der Basis der Norm ISO/IEC 27001. Mit der 2. Auflage wurden die Inhalte des Fachbuches umfassend aktualisiert und den Neuerungen der Norm angepasst. Die Autoren erläutern kompetent den Standard und seine organisatorisch-technische Umsetzung. Dies betrifft die Anforderungen an das Informationssicherheits-Managementsystem (ISMS) genauso wie die 114 Controls aus dem Anhang der Norm. Die ausführlich kommentierten Controls unterstützen Sicherheitsverantwortliche bei der Auswahl geeigneter Sicherheitsmaßnahmen in allen Bereichen.Die Normenreihe ISO 27000 ist ein wichtiges Hilfsmittel für Unternehmen und Behörden, die ein IT-Sicherheitsmanagement in ihrer Organisation einführen und betreiben wollen. Im internationalen Kontext ist die Anwendung der ISO 27001 für viele Organisationen nahezu unverzichtbar. Nicht zuletzt mit dem deutschen IT-Sicherheitsgesetz erhält dieser Standard auch national eine hohe Bedeutung. Seit der Neufassung der Norm im Jahr 2015 (deutsche Version) und Änderungen in 2017 müssen sich alle Organisationen entsprechend umstellen und ihr ISMS anpassen. Hierfür enthält das Buch entsprechende „Fahrpläne“.

Ob Datenschützer oder IT-Sicherheitsbeauftragte – Sicherheitsprofis sind allzu oft in der Situation, schlechte Nachrichten überbringen und Maßnahmen durchzusetzen zu müssen, die auf wenig Gegenliebe stoßen. Wer in der Security-Branche arbeitet, gilt als Bedenkenträger und landet schnell in der Buhmann-Falle. Starke kommunikative Fähigkeiten sind der Schlüssel, die fachlichen Anforderungen mit der menschlichen Komponente in Einklang zu bringen. Auf anschauliche Art stellt der Autor die typischen Kommunikationssituationen dar, in denen es für Sicherheitsprofis kritisch wird. Er zeigt auf, mit welchen Mitteln man Entscheidungsträger und Mitarbeiter gleichermaßen für Security-Themen motiviert und so mögliche Konflikte von Anfang an vermeidet. Ein eigener Abschnitt wendet sich der Frage zu, wie man bereits bestehende Konflikte und Krisen übersteht und gestärkt aus ihnen hervorgeht.

Verloren im Dschungel der vielen Begriffe und Modewörter in der IT und der IT-Sicherheit? Genervt von ausschweifenden Internet-Texten, unverständlichen Insider-Beiträgen und fragwürdigen Darstellungen? Dieses Kompendium informiert zweckdienlich, präzise und objektiv. Die Begriffe werden leicht verständlich erklärt. Die thematische Sortierung lädt zum Weiterlesen ein, sodass Sie sich mühelos ein kleines oder größeres Teilgebiet erschließen können. Mit Hilfe alphabetischer Verzeichnisse für Fachbegriffe und kommentierte Abkürzungen finden Sie schnell den gesuchten Begriff. Die Texte versuchen niemals zu überzeugen oder gar etwas anzubieten oder zu verkaufen, wie man es häufig im Internet findet. Das Buch ist ein Kompendium, das Sie nicht komplett lesen müssen und doch alles bietet.Umfang und Themenwahl sind einzigartig: IT-Sicherheit, Informationstechnik und Netze, marktgängige IT-Services, Produktionsprozesse, Sicherheitsprodukte, etwas Kryptografie sowie vieles über Verträge und Geschäfte.

Anhand von mehr als 50 bearbeiteten Angriffen auf deutsche Firmen erörtern die Autoren das technische Vorgehen von Ransomwaregruppen, die richtige Reaktion im Krisenfall und die Möglichkeiten zur Prävention. Illustriert durch zahlreiche Screenshots von Erpresserschreiben, Darknetseiten & Verhandlungschats. Mit Gastbeiträgen von N. Weyerstall, Dr. Malek und C. Kurtz sowie von betroffenen Unternehmen.Dieses Buch ist mehr als nur eine Notfallanleitung für den eingetretenen Krisenfall. Um die eigene Verteidigung zu planen, lohnt es sich, den Ernstfall gedanklich durchzuspielen.

Für die IT- oder Cybersecurity von IT-Dienstleistungen (IT-Services) zu sorgen, kann ein komplexes Unterfangen sein. Als Anwender das erreichte Maß an IT-Sicherheit adäquat einzuschätzen nicht minder.Dieses Buch bringt Ordnung in das Dickicht von Prozessen, Aktivitäten und Informationen, indem neue Begriffe eingeführt sowie existierende geschärft und in den Zusammenhang gesetzt werden. Es liefert konkrete Anleitungen und ein Gesamtkonzept für das Management der IT-Service-Sicherheit im Sinne von Organisieren, Orchestrieren und Optimieren. Es zeigt, wie man die vielen Themen gleichzeitig bearbeiten und erfolgreich am internen oder externen Markt bestehen kann. Die Methoden und Konzeptionen sind die Essenz aus mehr als fünfzehn Jahren Forschung und Lehre und aus mehr als zwölf Jahren in zentraler Verantwortlichkeit in einem der großen international tätigen IT-Dienstleister. Die Aufteilung der an sich komplexen Materie in einzelne Begriffe ermöglicht es dem Leser, sich jeweils auf eine Fragestellung zu konzentrieren. Das Buch richtet sich an Anwender (Anwenderorganisationen) und an IT-Dienstleister (IT-Abteilungen und Firmen in der IT-Industrie) und ist hilfreich für Hersteller, die beide Parteien zufriedenstellen müssen.

Ein qualifiziertes Management der Informationssicherheit ist heutzutage für jede Organisation unverzichtbar. Die Normenreihe ISO 27000 ist dabei ein anerkannter „Wegweiser“ zu diesem Ziel. Im internationalen Kontext ist ihre Erfüllung für viele Organisationen ein wichtiger Wettbewerbsfaktor. Auch in Deutschland hat diese Normenreihe Eingang in Vorgaben, Regelungen und Gesetze zum Thema Informationssicherheit gefunden.Das vorliegende Buch kommentiert vor diesem Hintergrund die aktuellen Normen ISO 27001 und ISO 27002 (Ausgabe 2022/2023): Nach einer Einführung in die Normenreihe und ihren Fachbegriffen werden die Anforderungen an das Managementsystem für Informationssicherheit (ISMS) detailliert erklärt und mit zahlreichen Hinweise zur Umsetzung versehen. Im Anhang der ISO 27001 sind die sog. Controls aufgeführt, die in der neuen Normfassung komplett umstrukturiert und an vielen Stellen geändert wurden. Das Buch behandelt ausführlich alle Controls und gibt viele Beispiele für ihre Anwendung.Mit dem Erscheinen der neuen Normfassungen müssen sich viele Organisationen entsprechend umstellen – nicht zuletzt auch im Zusammenhang mit Zertifizierungen. Das Buch bietet hier einen ausführlichen Fahrplan zur Migration auf die neuen Normen.

Das Anliegen des Buches ist es, das Wechselspiel zwischen geschäftlichen Anforderungen, geschäftlichen IT-Systemen und notwendigen Sicherheitsfunktionen strukturierter und methodischer zu erfassen. Hierzu wird die Herangehensweise verfolgt, etablierte System-Engineering Ansätze - wie etwa der ISO 15288 - auf das Ökosystem der Informationssicherheit zu übertragen.

Das Buch behandelt die in der Praxis relevanten Rechtsfragen der Internetnutzung und IT-Sicherheit. Welche Filtermaßnahmen sind rechtswidrig? Wann hafte ich für illegale Inhalte oder Viren? Wie muss ich die E-Mails archivieren? Aus dem Erfahrungsschatz der täglichen Anwaltspraxis erfährt der Leser in verständlicher Form alles, was er wissen muss. Fragen des Datenschutzes und der Mitarbeiterkontrolle, des rechtssicheren E-Commerce oder der IT-Verträge, insbesondere ASP und Outsourcing. Die zweite, aktualisierte und erweiterte Auflage wurde ergänzt durch das Hackerstrafrecht und aktuelle Probleme wie Phishing oder das Risikomanagement nach Basel II und SOX. Das Buch gibt dem Leser Musterbeispiele und praktische Orientierungshilfe. Neu aufgenommen wurde ein Leitfaden IT-Recht für den Schnellüberblick.

IT-Systeme müssen zum einen "verlässlich" sein, d. h. sich an den klassischen Sicherheitszielen Verfügbarkeit, Integrität und Vertraulichkeit orientieren. Zum anderen müssen sie "beherrschbar" sein und bleiben. In diesem Sinne vermittelt "IT-Sicherheit kompakt und verständlich" das umfassende Basiswissen zur Realisierung mehrseitiger IT-Sicherheit. Als Einführung eignet es sich für die Lehre und zum Selbststudium. Als Lern- und Nachschlagewerk empfiehlt es sich direkt für die Verwendung in der beruflichen Praxis. Der Leser profitiert von der Anschaulichkeit und Verständlichkeit der dargestellten Begriffe und Methoden. Grafiken und Zusammenfassungen erleichtern den Ein- und Überblick und unterstützen so den Lernerfolg. "IT-Sicherheit kompakt und verständlich" - Basiswissen für Lehre und Berufspraxis gleichermaßen.

Security Awareness – was ist das eigentlich und brauche ich das überhaupt? Von der OLDSCHOOL in die NEXT GENERATION: Welche Methode ist erfolgversprechend? Welche Rolle spielen Unternehmens- und Sicherheitskultur? Wie hilft das Wissen um weiche Faktoren wie z.B. Didaktik oder Tiefenpsychologie? Warum ist die eine Kampagne ein Erfolg, eine andere womöglich ein Flop? Was kann man aus erfolgreichen und eher weniger erfolgreichen Awareness-Maßnahmen lernen?Erstmals bietet ein deutschsprachiges Buch einen ganzheitlichen, systemischen Überblick über die methodischen Grundlagen der Security Awareness Kommunikation. Darüber hinaus bietet das Buch fundiertes, anwenderbezogenes Wissen durch die Vorstellung von Tools, generischen Kommunikationsmodulen und Fallbeispielen aus großen und mittelständischen Unternehmen.

Das Thema "Datenschutz" geht jeden an, der an verantwortlicher Stelle mit IT zu tun hat, d. h. nicht nur den Datenschutzbeauftragten. Es geht um die Verarbeitung personenbezogener Daten und die Gewährleistung des informationellen Selbstbestimmungsrechtes der betroffenen Individuen. Daran kommt heute kein Informatiker oder Marketingverantwortlicher mehr vorbei. "Datenschutz kompakt und verständlich" vermittelt fundiertes Basis- und Praxiswissen. Die BDSG-Novellen 2009 werden ebenso wie z. B. das neue IT-Grundrecht auf die betriebliche und behördliche Praxis angewendet. Dieses Buch eignet sich sowohl für Lehrveranstaltungen als auch für die berufliche Weiterbildung. Der Leser profitiert von der Kompaktheit und Anschaulichkeit der Darstellung. Die Verständlichkeit der notwendigen begrifflichen Zusammenhänge und prägnante Zusammenfassungen und Grafiken unterstützen den Lernerfolg. "Datenschutz kompakt und verständlich": Die Basis für Lernen, Prüfungen und beruflichen Erfolg gleichermaßen.