Nr. 8 / August 2007

PDF-Spam: Starker Anstieg

Auf der Suche nach immer neuen Methoden haben die Versender unerwünschter Massenmails das populäre PDF-Format für sich entdeckt. Diese neue Taktik, die noch vor wenigen Wochen lediglich als Randerscheinung zu beobachten war, wird mittlerweile von einer Mehrzahl der Cyber-Kriminellen als effizientes Instrument eingesetzt, um klassische Filtermechanismen zu unterwandern. Das Sicherheitsunternehmen G Data verzeichnete laut ihren Angaben in den letzten zwei Wochen eine deutliche Zunahme von Spam mit PDF-Anhängen. Die Masche scheint bei Sammern immer beliebter zu werden. Bisheriger Höhepunkt war der Mittwoch vergangener Woche als innerhalb von 24 Stunden der Anteil von PDF-Spam um fast 15 Prozent anstieg.


Quelle: de.internet.com, 17.07.2007

< zu den Themen

Stromausfall, Feuer im Rechenzentrum oder Hacker-Angriff: Jede zweite Firma ohne IT-Notfallplan

Die Ergebnisse einer Studie von Steria Mummert Consulting in Zusammenarbeit mit dem F.A.Z.-Institut, präsentierte erschreckende Ergebnisse: Deutsche Unternehmen sind organisatorisch häufig nicht auf Zwischenfälle dieser Art vorbereitet. Nur jedes zweite Unternehmen hat einen Notfallplan in der Schublade. Noch seltener sind darüber hinausgehende Vorkehrungen im Falle von Datendiebstahl, Systemabsturz, Einbruch oder Feuer. Rund jeder fünfte Entscheider räumt ein, dass in seinem Unternehmen noch grosse Sicherheitslücken vorhanden sind.

Kommt es beispielsweise zu einem Systemausfall durch einen Brand, können nur 28 Prozent der Unternehmen auf ein externes Ausweichsystem zurückgreifen. In vielen Unternehmen seien die Mitarbeitenden nicht ausreichend über vorhandene Notfallpläne informiert. In einem Fünftel der befragten Unternehmungen fehlen Informationen über mögliche Notfallvorkehrungen. Darüber hinaus mangelt es vielerorts an Service-Vereinbarungen mit IT-Dienstleistern, wann ein Störfall spätestens behoben sein muss. Nur knapp ein Viertel der befragten Unternehmen legt derartige Toleranzen für Ausfallzeiten vertraglich fest.


Quelle: de.internet.com, 12.07.2007

< zu den Themen

Informationssicherheit in der Bundesverwaltung: ISB beauftragte Durchführung einer Studie

Die beiden Firmen Treesolution Consulting, ein Spin-off des International Institute of Management in Technology der Universität Fribourg, und bw digitronik haben im Auftrag des Informatikstrategieorgans Bund (ISB) während rund drei Monaten die Informationssicherheit der Bundesverwaltung unter die Lupe genommen. Die Untersuchung erfolgte anhand der Web-basierten Management-Applikation Twisk und das ISB prüft zurzeit, welche empfohlenen Massnahmen zur Erhöhung der Informationssicherheit beitragen. Mittels Fragebogen wurden total 30'000 Anwender zum Thema Informationssicherheit befragt. Die beauftragten Firmen haben aufgrund der Ergebnisse gezielte Massnahmen zur Schliessung von Sicherheitslücken erarbeitet.


Quelle: computerworld.ch, isb.admin.ch, 19.07.2007

< zu den Themen

Mobilfunk durch Sonne gestört: Kanadische Untersuchung

Nach einer Untersuchung durch Wissenschaftler der kanadischen Queens University sorgen Sonneneruptionen für vermehrte Abbrüche bei Mobilfunkgesprächen. Sie haben herausgefunden, dass bei einer Sonneneruption bei Antennen die auf die Sonne ausgerichtet sind, bis zu 20 Prozent mehr Gespräche abgebrochen werden als bei Antennen mit anderem Ausrichtungspunkt. Bisher wurden atmosphärische Störungen, starke Vegetation oder hohe Luftfeuchtigkeit für Mobilfunkstörungen verantwortlich gemacht.


Quelle: computerworld.ch, 19.07.2007

< zu den Themen

Neue Modulationsmethode: Glasfaser-Backbones

Eine neue Modulationsmethode hat jetzt die Schranken der Web-Verbindungen im Consumer-Bereich weit nach oben gesetzt. Eine 75-jährige Schwedin surft mit 40 Gbit/s. Das ist keine theoretische, sondern eine tatsächlich erreichte Geschwindigkeit für die Seniorin. Damit surft sie etwa tausendmal schneller als es in den meisten Haushalten in Schweden heute üblich ist.

Möglich machte dies die Zusammenarbeit ihres Sohnes mit den Netzaufbau-Verantwortlichen ihrers Wohnortes. Ihr Sohn, Peter Lothberg, holte sich von den zuständigen Behörden die Genehmigung, die neue Technik, die der Netzwerker augenscheinlich mit entwickelt hatte, zu demonstrieren und gleichzeitig seine Mutter ans Internet anzubinden. Lothberg und sein Team verwendeten neuartige Modulationen, die die Datenverbindung über zwei Router schickt. Diese sind zwar mehr als 1995 Kilometer voneinander entfernt, kommen aber bei der Datenübertragung ohne Transponder dazwischen aus. Lothberg wollte damit zeigen, dass es bei der Erhöhung von Internet-Geschwindigkeiten keinerlei technische Beschränkung geben müsse.


Quelle: silicon.de, 19.07.2007

< zu den Themen

Handys als Wanzen: Polizei setzt Handys ein

Deutsche Ermittlungsbehörden setzen in einigen Bundesländern Mobiltelefone für Abhöraktionen ein. Die Polizei programmiert dazu die Handy-Software so um, dass die Freisprecheinrichtung per Funksignal aktiviert und Gespräche somit mitgehört werden können. Die Behörden versichern, dass man sich an die gesetzlichen Vorschriften halte und dass zudem die Technik bei ausgeschalteten Handys nicht funktioniere. Das Problem dabei ist allerdings, dass sich viele Mobiltelefone so umprogrammieren lassen, dass sie wie ausgeschaltet aussehen, in Wirklichkeit aber Umgebungsgeräusche übertragen. Während das Display und die Betriebsleuchte aus sind, kann sich der Fahnder mittels automatischer Rufannahme mit dem Gerät verbinden.


Quelle: spiegel.de, 16.07.2007

< zu den Themen

Trend zu CDP: Onlinestudie zum Thema

Eine Onlinestudie von CA zum Thema Recovery Management zeigt einen schnell wachsenden Bedarf nach einfachen Datensicherungsansätzen. 91 Prozent der Befragten gaben an, dass es vorteilhaft sei, Daten kontinuierlich zu sichern. Das unabhängige Beratungsinstitut Gyro International aus London hat die Studie durchgeführt.

Insgesamt wurden 367 IT-Manager befragt, die für Datenschutz und Datenwiederherstellung zuständig sind. Die Befragten kommen aus unterschiedlichen Branchen und sind in Grossunternehmen in Deutschland, Grossbritannien, Frankreich und Italien beschäftigt. Die Studie zeigt, dass 80 Prozent aller Befragten mit dem Konzept und der Thematik von CDP vertraut sind. Nur 50 Prozent würden jedoch die Vorteile kennen, die CDP für ein Unternehmen bringe. 40 Prozent nutzen CDP bereits im Unternehmen oder planen, CDP innerhalb des nächsten Jahres einzuführen.


Quelle: ca.com, computerzeitung.de, 23.07.2007

< zu den Themen

Sicherheitslöcher in iPhones: Fehler im Browser und WLAN-Funktion

Die Sicherheitsfirma Security Evaluators hat Sicherheitslöcher in Apples iPhone entdeckt, das von Angreifern dazu missbraucht werden kann, Daten auszuspionieren. Die Sicherheitsanfälligkeiten treten im iPhone-Browser und im Zusammenspiel mit der WLAN-Funktion des Apple-Handys auf.

Das iPhone merkt sich die SSID von WLAN-Access-Points und meldet sich automatisch wieder bei diesen an, wenn sie vom Nutzer als vertrauenswürdig eingestuft wurden. Wenn ein Angreifer einen WLAN-Access-Point aufbaut, der eine bereits im iPhone eingetragene SSID verwendet, meldet sich das iPhone ohne Rückfragen an diesem an. So kann ein Angreifer Schadcode einschleusen, der ausgeführt wird, sobald eine beliebige Webseite über diese WLAN-Verbindung aufgerufen wird. Ausserdem kann ein iPhone-Besitzer dazu verleitet werden, eine schadhafte Webseite zu öffnen, die etwa als E-Mail-Link auf das iPhone gelangen kann. Wird eine solche manipulierte Webseite aufgerufen, lässt sich Schadcode ausführen. Beide Sicherheitslecks kann ein Angreifer dazu missbrauchen, um etwa SMS-Daten, E-Mail-Kennwörter oder Adressbucheinträge auszuspähen, indem diese Daten an den Angreifer gesendet werden.


Quelle: golem.de, 23.07.2007

< zu den Themen

Neuster Trendbericht: Anti-Phishing Working Group

Die Anti-Phishing Working Group hat ihren neuesten Bericht zu den Trends bei Phishing und damit zusammenhängender Malware veröffentlicht. Die Zahl dieser Malware-Sites hat sich demnach innerhalb eines Monats nahezu verdoppelt. Der aktuelle Trendbericht basiert auf Daten bis einschliesslich Mai 2007. Im Vergleich zum April ist die Zahl der Malware-Sites im Mai um etwa 95 Prozent gestiegen. Das ist gegenüber dem bisherigen Spitzenmonat Februar immer noch ein Zuwachs von mehr als sieben Prozent. Ursache für den steilen Anstieg sind nach Ansicht von Dan Hubbard, Vizepräsident von Websense, einerseits der Einsatz von Exploits für die im April entdeckte ANI-Sicherheitslücke, andererseits die zunehmende Nutzung kompromittierter Web-Server.
Die Zahl der Phishing-Sites ist um etwa ein Drittel zurück gegangen, blieb jedoch auf dem hohen Niveau, das bereits im Herbst 2006 beobachtet wurde. Eine neue Rekordmarke wurde bei Websites erreicht, die Key-Logger beherbergten. Im Mai waren es mehr 3'300 Websites.


Quelle: antiphishing.org; pcwelt.de, 19.07.2007

< zu den Themen

RFID im Gepäckmanagement: Flughafen Heathrow testet

Der Londoner Flughafen Heathrow startet im September 2007 einen gross angelegten RFID-Test. Die Gepäckstücke werden mit den funkenden Chips versehen und somit auf ihrem Weg zum richtigen Flugzeug verfolgt. Der Test soll Daten über Zuverlässigkeit und Leseraten liefern, um sie mit dem aktuell verwendeten Barcodesystem zu vergleichen. Die International Air Transportation Association rechnet damit, dass der Einsatz von RFID den Fluggesellschaften eine Einsparung von 600 Mio. Euro jährlich bringen könnte.


Quelle: tecchannel.de, 09.07.207

< zu den Themen

Analyse der Bot-Netz-Bedrohung: Arbeitsgruppe des BSI

Bot-Netze sind in aller Munde. Sie stellen eine aktuelle Bedrohung im Internet dar. Doch wie lässt sich die Gefahr in der Praxis einschätzen? Welche Abwehrmassnahmen gibt es und wie lassen sie sich umsetzen? Mit diesen Fragen befasst sich die Bot-Netz-Arbeitsgruppe des Bundesamt für Sicherheit in der Informationstechnik, kurz BSI in Bonn. Sportliche Grossereignisse wie letztes Jahr die Fussball-Weltmeisterschaft bauen auf eine funktionierende IT-Infrastruktur. Stadionkarten werden über das Internet bestellt, Spielstände müssen online abrufbar sein. Mit Angriffen auf beteiligte Systeme ist zu rechnen, denn erfolgreiche Attacken können weltweit Aufmerksamkeit finden. Deshalb gilt es bestmöglich gewappnet zu sein, um Opfer mit Gegenmassnahmen schützen zu können und Angriffe schon im Vorfeld zu erschweren. Mit der Technik hinter Bot-Netzen sowie der Entwicklung von Präventivstrategien und Abwehrmechanismen befasst sich im BSI seit Sommer 2005 eine Arbeitsgruppe.


Quelle: kes.info, techhannel.de, 19.07.2007

< zu den Themen

Schlag gegen chinesische Raubkopierer: Software im Milliardenwert

Amerikanischen und chinesischen Behörden ist ein Schlag gegen Raubkopierer gelungen. In der südchinesischen Stadt Guangdong nahmen Ermittler in den vergangenen zwei Wochen Mitglieder eines Fälscherrings fest. Sie sollen Microsoft-Produkte im Wert von zwei Milliarden US-Dollar kopiert und verkauft haben. Die Razzien und Festnahmen in China markierten den Höhepunkt mehrjähriger Ermittlungen, berichtete Microsoft. Die US-Ermittlungsbehörde FBI hatte den Angaben zufolge mit dem chinesischen Public Security Bureau (PSB) zusammengearbeitet. Das Aufkommen von Raubkopien werde in zahlreichen Ländern als direktes Resultat der Ermittlungen "signifikant" abnehmen, erklärte Microsoft weiter. Die illegalen Kopien sind in 27 Ländern aufgetaucht. Es handelt sich um verschiedene Versionen des Betriebssystems Windows und der Büro-Software Office. Neben zahlreichen anderen Sprachen gab es auch Kopien für deutsche Nutzer.


Quelle: techhannel.de, 24.07.2007

< zu den Themen

Virenrisiko: Viele Angestellte sind schlecht informiert

Bei Angriffen auf den Firmencomputer wissen viele Angestellte nicht über die richtigen Gegenmassnahmen Bescheid, wie eine aktuelle Umfrage von Training Camp, einem Anbieter für IT-Intensivkurse, zeigt. Dieses Unwissen erhöhe das Risiko einer Infizierung mit Viren oder des Verlusts von Daten beträchtlich, meinen Experten. Oft werden scheinbar harmlose Zwischenfälle unterschätzt, was verheerende Folgen haben kann. Wenn Pop-Ups den Bildschirm verstopfen, Programme nicht mehr reagieren und eine Sicherheitslücke im Firmennetzwerk ausgenützt wird, ist es für viele Angestellte offensichtlich keine Selbstverständlichkeit, die verwendeten Programme zu schliessen, den Computer herunterzufahren und Experten zurate zu ziehen. Die Online-Umfrage wurde in vier europäischen Ländern durchgeführt und zeigt, dass nur die wenigsten Büroangestellten von ihrem Unternehmen darüber informiert werden, wie man sich gegenüber einer Sicherheitslücke im Unternehmensnetzwerk verhalten soll. Den Negativrekord hält hier Österreich mit 71 Prozent der Befragten, die angeben, nicht ausreichend informiert zu sein. Am besten schneidet Deutschland ab, doch auch hier wissen 36 Prozent der 726 befragten Nutzer von Firmencomputern nicht, wie sie angemessen auf eine Sicherheitslücke reagieren sollen. Im Mittelfeld liegen die Schweiz und Grossbritannien, wo sich 57 bzw. 53 Prozent der Befragten uninformiert fühlen.


Quelle: financialtimes.de, 25.07.2007

< zu den Themen

	ISMS Tool Box Roadshow Informationsveranstaltung Möchten auch Sie Ihr ISMS (Information Security Management System) vollumfänglich intranetbasiert und toolgestützt aufbauen und verwalten? Lernen Sie den unentbehrlichen Werkzeugkasten an der diesjährigen ISMS Tool Box Roadshow kennen. Wir stellen Ihnen im Rahmen der neusten Version der ISMS Tool Box erweiterte und neue Funktionalitäten vor. 6. September 2007 Mehr Informationen
	SWISS INFOSEC 2007 Fachtagung Die Swiss Infosec AG lädt wieder zu ihrer traditionellen, jährlichen Fachtagung ein. Die SWISS INFOSEC 2007 bietet den Teilnehmenden die Möglichkeit, neue Trends und Tendenzen kennen zu lernen und ist immer auch ein Anlass, neue Kontakte zu knüpfen und Erfahrungen auszutauschen. Informationen zum Programm. 24.-26. Oktober 2007 Mehr Informationen
	Meet Swiss Infosec! Workshop Mit unseren halbjährlichen Workshops "Meet Swiss Infosec!" wollen wir Ihnen die Möglichkeit bieten, sich über aktuelle Tendenzen und Lösungen im Bereich der Informations- und IT-Sicherheit umfassend und aus erster Hand zu informieren. Daneben können Sie mit Referenten und anderen Teilnehmenden Lösungsstrategien erörtern und sowohl uns, die Swiss Infosec AG, wie auch unsere Partner besser kennen lernen. 24. Januar 2008

Einladung zur ISMS Tool Box Roadshow vom 6. September 2007



Sie sind herzlich eingeladen an der diesjährigen ISMS Tool Box Roadshow erweiterte, praxisorientierte und neue Funktionalitäten für den Aufbau, Betrieb und Unterhalt eines erfolgreichen ISMS (Information Security Management System) gemäss ISO 27001 oder eines integralen Sicherheitsmanagementsystems kennen zu lernen.

Gerne treffen wir Sie am Donnerstag, 6. September 2007 von 13.30 – 16.30 Uhr in den beliebten Räumlichkeiten des Airport Conference Centers, Zürich Flughafen. Ihre Teilnahme ist kostenlos.

Möchten auch Sie Regelwerke effizient und effektiv erarbeiten und diese mehrsprachig intranetbasiert kommunizieren, sowie Regelwerke in einer Arbeitsgruppe elektronisch reviewen und validieren und die Umsetzung planen und laufend überprüfen können?

Das und vieles weitere mehr bietet Ihnen die ISMS Tool Box – oder „Der unentbehrliche Werkzeugkasten für Sicherheitsbeauftragte“ wie das Tool auch genannt wird: Möglichkeit der Durchführung von Risikoanalysen, Audits, Inventarisierung und Klassifizierung von Schutzobjekten, dezentrale Durchführung von Audits und Erledigungskontrollen, Verwaltung von Dokumenten und Erstellung von Reportings sowie die Unterstützung für Awareness-Kampagnen und Incident Management – basierend auf ISO 27001/27002, dem Grundschutz, u.v.a.m.

Wir freuen uns über Ihre Anmeldung.


Quelle: Swiss Infosec AG

< zu den Themen

Vorschau: Fachtagung SWISS INFOSEC 2007: 24. - 26. Oktober 2007



Sie sind herzlich eingeladen zur traditionellen, jährlichen Fachtagung im Airport Conference Center, Zürich Flughafen!

Die SWISS INFOSEC 2007 befasst sich mit "Governance, Risk und Compliance als treibende Kräfte der Informations- und IT-Sicherheit" und bietet Ihnen die Möglichkeit, neue Trends und Tendenzen kennen zu lernen und ist immer auch ein Anlass, neue Kontakte zu knüpfen und Erfahrungen auszutauschen.

Mittwoch, 24.10.2007
Governance, Risk und Compliance (GRC) treiben die Informations- und IT-Sicherheit an: wie setzen Sie das strategisch und konzeptionell um?
Governance, Risk und Compliance (GRC) fordern zum Umdenken: Wie finden Sie den “richtigen“ Umgang mit der IT für Ihr spezifisches Unternehmen? Wie identifizieren Sie Ihre Risiken und vermindern diese aktiv in einem sich rasch wandelnden Umfeld? Wie erfüllen Sie Compliance-Anforderungen durch ständig neue Normen und Regulatorien wie BS/ISO, SoX, ITIL etc.? Haben Sie schon ein Information Management System (ISMS) oder steht Ihre Security still? Holen Sie sich hier alle Antworten auf Ihre Fragen!

Donnerstag, 25.10.2007
Sicherheit im Alltag praxisgerecht umsetzen: wie reagieren Sie auf die neuen Herausforderungen?
Profitieren Sie von den Erfahrungen aus der Praxis. Namhafte Unternehmen berichten über Herausforderungen und kritische Erfolgsfaktoren. Wie etablieren Sie Sicherheitskultur und –Politik? Welche Rolle hat die Schweiz in Bezug auf rechtliche Aspekte? Sind Datenschutz und Sicherheit unvereinbar? Welches sind die Anforderungen an den Sicherheitsverantwortlichen von morgen? Welche Methoden, Mittel und Ressourcen helfen Ihnen, Sicherheit umzusetzen und zu managen? Hier erfahren Sie die Erfolgsfaktoren 1:1!

Freitag, 26.10.2007
IT-Security ist weniger Technologie denn je – und mehr Technologie als irgendwann zuvor: wie unterstützen Sie Ihre Prozesse ideal?
Die technischen Mittel haben einen ausgezeichneten Stand erreicht. Wie behalten Sie noch den Überblick? Kennen Sie die wichtigsten Produkte auf dem Markt, von kleinen und von grossen Herstellern? Haben Sie schon ein brauchbares Identity- und Access Management-Konzept – in Planung oder bereits umgesetzt? Wie begegnen Sie den aktuellen Gefahren wie Erpressung mit DDoS-Attacken oderauf kriminelle Weise verschlüsselten Daten? Schützen Sie Ihr Unternehmen heute umfassend!

Weitere Details zur Anmeldung, den Themenpunkten sowie den Referenten finden Sie auf www.infosec.ch/tagung oder rufen Sie uns an, Telefon +41 (0)41 984 12 12.

Quelle: Swiss Infosec AG

< zu den Themen

	IT-SIBE Intensivlehrgang für Informations- und IT-Sicherheitsbeauftragte Aus der Praxis für die Praxis! Wir führen Sie umfassend ein in die Grundlagen der Informations- und IT-Sicherheit. Diesen Lehrgang führen wir seit über 10 Jahren erfolgreich durch – profitieren auch Sie vom geballten Wissen aus mehr als 18 Jahren Erfahrung. 15. – 19. Oktober 2007 Weitere Informationen
	IT-SIBE VERTIEFUNG Intensivlehrgang für Informations- und IT-Sicherheitsbeauftragte Sichern und erweitern Sie sich Ihr Fachwissen! In praktischen Arbeiten und Diskussionen erarbeiten Sie gemeinsam unter fachkundiger Anleitung u.a. eine Sicherheitspolitik, Sicherheitskonzepte und exemplarische Weisungen und Konzepte eines Unternehmens in den verschiedenen Bereichen der Integralen Sicherheit. Die Vielzahl praktischer Umsetzungshinweise ist eine echte Überlebenshilfe für jeden IT-SIBE. 12. – 16. November 2007 Weitere Informationen
	INTEGRALE SICHERHEIT Intensivlehrgang für Beauftragte der Integralen Sicherheit Sicherheit ganzheitlich betrachtet! Lernen Sie alles über die organisatorischen, rechtlichen, versicherungstechnischen, physischen, umweltspezifischen, IT-technischen, psychologischen, arbeitssicherheits- und gesundheitstechnischen Aspekte der Integralen Sicherheit. Umfassendes und praxisorientiertes Rüstzeug als Grundlage oder Repetition für einen Sicherheitsbeauftragten. 3. – 7. September 2007 Weitere Informationen
	TECHNISCHE SICHERHEIT Intensivlehrgang Mehr Sicherheit dank sicherer Technik! Die Teilnehmenden erlernen die Grundlagen der Datenkommunikation und verstehen, wie die einzelnen Netzwerkdienste aus dem Blickwinkel der Sicherheit funktionieren und welche Risiken sie bergen. Durch das Ausführen von Attacken gegen Testsysteme lernen Sie auch die Vorgehensweise eines Angreifers und die notwendigen technischen Schutzmassnahmen praktisch kennen und verstehen. 24. – 27. September 2007 Weitere Informationen
	VORBEREITUNG CISSP Intensivlehrgang CISSP-Zertifizierung erfolgreich erlangen dank seriöser Vorbereitung! Die Certified Information Systems Security Professional (CISSP)-Zertifizierung ist weltweit anerkannt. Dieser Lehrgang bereitet die Teilnehmenden auf die CISSP-Prüfung vor und deckt den gesamten Prüfungsumfang ab. 6. – 12. September 2007 Weitere Informationen
	EINFÜHRUNG ISO/IEC 27001/27002 Einführung und Überblick über die Normen ISO/IEC 27001 und ISO/IEC 27002 Wir geben Ihnen einen fundierten, aktuellen und praxisorientierten Überblick über die Bedeutung und den Inhalt dieser beiden Standards. Wir zeigen Ihnen die Schritte zu deren erfolgreicher Umsetzung auf. Lernen Sie die Voraussetzungen eines funktionierenden ISMS (Information Security Management System) kennen. 28. August 2007 Weitere Informationen
	VERTIEFUNG ISO/IEC 27001/27002 Anwendung und Nutzung der Normen im Hinblick auf eine Zertifizierung Dieser Kurs vermittelt Ihnen praxisorientiert das Grundwissen zur erfolgreichen Zertifizierung Ihres Unternehmens gemäss ISO 27001. Die einzelnen Teilschritte der Einführung eines gelebten und normkonformen Information Security Management Systemes werden u.a. im Rahmen von Gruppenarbeiten gemeinsam erarbeitet und vertieft. Eine fundierte Einführung für den Praktiker! 29. – 30. August 2007 Weitere Informationen
	ISO/IEC 27001 LEAD AUDITOR-LEHRGANG MIT OFFIZIELLER ZERTIFIZIERUNG Intensivlehrgang Wissen und Know-how zu ISO/IEC 27001 Dieser Lehrgang führt Sie umfassend in das Auditing bezüglich ISO/IEC 27001 und ISO/IEC 27002 ein. Am Ende des Kurses erfolgt die Zertifizierung als ISO/IEC 27001 Lead Auditor. Dies ist ein IRCA-akkreditierter Lehrgang. 26. – 30. November 2007 Weitere Informationen
	UPGRADE BS 7799 LEAD AUDITOR ZU ISO/IEC 27001 LEAD AUDITOR Wenn Sie den Lehrgang «BS 7799 Lead Auditor» besucht und erfolgreich bestanden haben, haben Sie die Möglichkeit, Ihren Titel neu in «ISO/IEC 27001 Lead Auditor» umzuwandeln. Dieser Konvertierungskurs informiert Sie über die wichtigsten Änderungen und Neuerungen des ISO/IEC 27001. 1. Dezember 2007 Weitere Informationen
	MANAGEMENT-EINFÜHRUNG INFORMATIONS- UND IT-SICHERHEIT Themenkurs Verantwortung im Sicherheitsbereich unternehmensweit wahrnehmen! Mitglieder der Geschäftsleitung oder Verantwortliche für die Unternehmenssicherheit lernen die Bedeutung, den Aufbau, den Umfang und die verschiedenen Integrationsmöglichkeiten der Informations- und Informatiksicherheit für ihr Unternehmen kennen. Anhand von zahlreichen Praxisbeispielen erhalten die Teilnehmenden in kurzer Zeit einen umfassenden Einblick in diesen unternehmenswichtigen Bereich. 2. November 2007 Weitere Informationen
	ELEKTRONISCHE ARCHIVIERUNG Intensivkurs Elektronische Archivierung, eine wichtige und komplexe Materie Dieser Kurs vermittelt umfassend die rechtlichen, konzeptionellen und technischen Grundlagen im Hinblick auf die erfolgreiche Durchführung eines Projektes Elektronische Archivierung. Die vermittelte fachliche Kompetenz erlaubt es Ihnen, Fragen und Problemstellungen im Zusammenhang mit der elektronischen Archivierung zu identifizieren und Lösungsvorschläge darzustellen. 17. – 18. September 2007 Weitere Informationen
	ITIL SECURITY MANAGEMENT Intensivkurs Security Management in einer ITIL-orientierten IT-Organisation Sie erhalten Kenntnis von den Inhalten und Strukturen einer "Best Practice"-Informationssicherheit, und praktische Hilfsmittel zur qualitativen und quantitativen Einordnung des Themas Sicherheit in anderen ITIL- Disziplinen. 17. – 18. September 2007 Weitere Informationen
	DATENSCHUTZGESETZ UND DESSEN UMSETZUNG Intensivkurs Datenschutz und rechtliche Aspekte Wir vermitteln Ihnen die datenschutzrechtlichen Grundlagen praxisorientiert und zeigen Vor- und Nachteile der möglichen Umsetzungsmassnahmen auf. Praktische Beispiele runden jeweils die Grundlagenvermittlung ab und ermöglichen den Teilnehmern, Fragen aus dem Alltag zu diskutieren und zu beantworten. 10. September 2007 Weitere Informationen
	KRIMINALITÄT/PROTOKOLLIERUNG/ERMITTLUNG/MONITORING AUF DEM INTERNET Themenkurs Wann sprechen wir von Internet-Kriminalität? Sie können in einem Verdachtsfall richtig vorgehen und kennen die Grenzen und rechtlichen Grundlagen im Zusammenhang mit Protokollierungen, Auswertung und den Zugriff auf übrige "persönliche" Daten. 5. – 6. November 2007 Weitere Informationen
	WINDOWS VISTA Intensivkurs Lücken oder Tücken? Lernen Sie die Sicherheitsaspekte des neusten Windows-Betriebssystems kennen und damit umzugehen. In Form von ausführlich dokumentierten und erklärten Demo-Sessions lernen die Teilnehmenden Vista und die Konfigurationsmöglichkeiten der neuen Funktionen kennen. Erfahren Sie unter anderem, wie „Windows Vista“ auf Angriffe wie z.B. Viren und Spyware reagiert und welche neuen Schutzmechanismen generell zur Verfügung stehen. 27. – 28. August 2007 Weitere Informationen

Artikel der Neuen Luzerner Zeitung anlässlich der Geschäftsstelleneröffnung in Sursee: Spione im Dienst der Sicherheit

Sie dringen unerkannt in Büros ein und decken Sicherheitslücken auf: In Sursee haben Spezialisten gegen Datenklau Quartier bezogen.

Sie beraten und schulen mittlere und grössere Unternehmen. Sie trainieren Krisenstäbe, überprüfen Firewalls und bringen Mitarbeitern den sicheren Umgang mit E-Mails bei. Sie versuchen auf Antrag von Firmen unerkannt in deren Büros einzudringen, lesen vertrauliche Mails und kopieren heimlich Daten.
Was stellenweise an einen Spionage-Thriller erinnert, ist nichts anderes als das Tätigkeitsfeld der Swiss Infosec AG. Die unkonventionellen Methoden haben immer dasselbe Ziel: Lücken in der Informations- und IT-Sicherheit von Firmen zu schliessen. «Es ist mitunter tatsächlich sehr spannend, was wir machen», bestätigt Geschäftsführer Reto Zbinden.

20 neue Arbeitsplätze für Sursee
Der gebürtige Luzerner gründete das Unternehmen vor knapp 20 Jahren in Bern. Seit zehn Jahren lebt Zbinden mit seiner Familie in Eich. Dieser Tage hat er den Sitz seiner Firma von Bern nach Sursee verlegt. «Von der Erschliessung her ist Sursee phänomenal», sagt er. Das und die spürbare IT-Aufbruchstimmung im Computer Valley Sursee hätten den Ausschlag für den Umzug gegeben. Dieser beschert dem prosperierenden Landstädtchen 20 neue Arbeitsplätze. Die Mitarbeitenden seien ohne Murren mit nach Sursee gezogen und hätten sogar Freude am neuen Arbeitsplatz im attraktiven Snozzibau, so Zbinden. In Zürich und Bern bleibt je ein kleineres Büro bestehen. Insgesamt beschäftigt die Firma 30 Leute.

Der Mensch als Schwachstelle
Geschäftspartner Cornel Furrer, auch er Luzerner, mit Wohnsitz in Baldegg, verweist auf die zunehmende Bedeutung des so genannten Social Engineerings. «Hier geht es darum, die Schwachstelle Mensch auszuleuchten.» Viele Firmen würden viel Geld in die technische Sicherheit investieren, gleichzeitig aber die Mitarbeiterschulung vernachlässigen. «Unsere Erfahrungen zeigen, dass es für Mitkonkurrenten trotz technischem Sicherheitsnetz oft einfach ist, wegen Schwachstellen beim Personal, an vertrauliche Informationen heran zukommen», sagt Furrer. Im schlimmsten Fall kommt die Konkurrenz so zu Datenmaterial, das sie zum eigenen Vorteil nutzen kann. Als Beispiele nennt Furrer das Offertwesen, Neuentwicklungen und Forschungsergebnisse.
Um solche menschlichen Schwachstellen aufzudecken, wird im Auftrag der Firma mit verdeckten Sicherheitschecks operiert. Furrer: «Bisher sind wir noch überall reingekommen.»

Das heisst laut Reto Zbinden aber nicht, dass punkto Datensicherheit bei den Schweizer Unternehmen Notstand herrscht. «Eine absolute Sicherheit können auch wir nicht garantieren.» Letztlich sei es immer eine Frage des Aufwandes. Zbinden: «Wir empfehlen unseren Kunden keine überdimensionierten, sondern vernünftige, den Verhältnissen angepasste Lösungen.»
Die Swiss Infosec AG gehört heute nach eigenen Angaben zu den führenden unabhängigen Beratungs- und Ausbildungsunternehmen der Schweiz im Bereich der Informations- und IT-Sicherheit sowie der Integralen Sicherheit. Zu den Kunden gehören alle grossen Schweizer Telekommunikationsanbieter, verschiedene Versicherungen und Banken sowie weitere Unternehmen im In- und Ausland. Am Standort Sursee rechnet sich die Firma gute Wachstumschancen aus: «Hier liegen wir zentral im Hauptkundenstrom zwischen Bern und Zürich», sagt Reto Zbinden.


Quelle: neue-lz.ch, Hans R. Wüst, 10.07.2007

< zu den Themen

Informationssicherheit, dank der ISMS Tool Box: Das unentbehrliche Werkzeug für Sicherheitsbeauftragte!

Quelle: Swiss Infosec AG

< zu den Themen

Mitarbeitende nachhaltig sensibilisieren, dank Blended Learning!: Workshops und eLearning

«Unsere Geschäftsleitung möchte alle unsere Mitarbeitenden möglichst umfassend in Fragen der Informations- und IT-Sicherheit sensibilisieren und ausbilden. Was ist dabei zu beachten?»

Der Schlüssel für eine erfolgreiche Sensibilisierung in Ihrem Unternehmen liegt in der Nachhaltigkeit mittels vermischtem Lernen. Bei diesem Ansatz von Blended Learning werden die Vorteile verschiedenster Methoden miteinander verbunden. Nebst den bisherigen mehr oder weniger bewährten und meist isoliert eingesetzten Formen wie Informationsbroschüren, Weisungen, Plakate, Intranet usw. werden die sich ergänzenden und aufeinander abgestimmten Lehrformen «Workshop» und «eLearning» eingesetzt.

Ziel ist es, dass Lerninhalte dauerhafter präsent bleiben und selbstverständlich angewendet werden, so zu einem Bestandteil der Sicherheitskultur werden und somit nicht mehr wiederkehrend geschult werden müssen.

Mit der Kombination der beiden Lehrformen «Workshop» und «eLearning» kann eine Grosszahl von Mitarbeitenden mit einem relativ geringen Aufwand sinnvoll und nachhaltig in Ihrem Unternehmen vor Ort sensibilisiert werden. Jede Lehrform für sich alleine weist einen ungleich geringeren Lernerfolg auf. In 1 bis 2 Stunden dauernden Workshops werden Szenen dargestellt, welche die wesentlichen Sicherheitsanforderungen Ihres Unternehmens an Ihre Mitarbeitenden beinhalten. Die Form des «Edutainments» bewährt sich dabei besonders: was mit Freude, unterhaltsam und anschaulich gelernt werden kann, hinterlässt einen grösseren Eindruck und motiviert Ihre Mitarbeitenden, die Inhalte näher kennen und verstehen zu lernen! Der praxisnahe Workshop kann beispielsweise als «Lunch & Learn» über den Mittag in einer relativ lockeren Atmosphäre stattfinden. Die Teilnehmerzahl kann 10 bis 80 Personen betragen. Die relativ grosse Gruppe wird von einem Team, bestehend aus einem Moderator, einem Techniker und einem Muster-Mitarbeiter, durch den Workshop geführt. Dabei kann der Technik-Crack beispielsweise verschiedene Situationen auf dem Bildschirm des gespielten Mitarbeiters provozieren – der Bildschirm wird für alle Teilnehmenden sichtbar projiziert. Der Mustermitarbeiter reagiert mehr oder weniger richtig auf die Situation, der Moderator kommentiert entsprechend das Verhalten. Einfache Merksätze, welche den Teilnehmenden abgegeben werden können, runden die einzelnen Sicherheitsthemen ab.

Mehr zu diesem Thema


Quelle: Swiss Infosec AG

< zu den Themen

Laufbahnberatung



Für unsere vie