Bei dem Thema Sicherheit in EDV geht es mir in erster Linie um die Datensicherheit. Ich betrachte die Datensicherheit hauptsächlich in vier Aspekten:
Sicherheit im
Netzwerk gegen Angriffe von innen und außen, gegen Datenklau und Datenmanipulation durchs Abgreifen von Daten übers Netzwerk. Dazu gehören z.B.: FireWall-Lösungen (Paketenfilter, Proxy, NAT), IDS (Intrusion Detection System), Kontroll- und Validierungslösungen (Tripwire, MD5), etc.
mehr dazu hier Verschlüsselung von Daten, verschlüsselte Übertragung (z.B. übers Netzwerk, WLAN). Dadurch soll verhindert werden, daß unbefugte Personen/Prozesse mit einem vertretbaren Aufwand auf die Originaldaten ran kommen. Zum Beispiel: Krypto-Filesystem (TrueCrypt), Datenübertragung mittels SSH, SSL, VPN, etc.
mehr dazu hier
Backups. Die wichtigen Daten sollen unbedingt
redundant und sicher aufbewahrt werden. Die Wichtigkeit der Backups wird oft (insbesondere im privaten Bereich) unterschätzt und ignoriert. Unter
sicher aufbewahrt verstehe ich nicht nur, daß das Backup am sicheren Ort (räumlich getrennt) gelagert werden soll, sondern auch die
Validierungsmechnismen (z.B. MD5-Summen), die die
Integrität des Backups sicherstellen.
mehr dazu hier
Stabilität bzw.
Verfügbarkeit von Diensten und Resourcen. Was nutzt einem das sichere Netzwerk und stark verslüsselte Daten (z.B. ein Backup, das dringend eingespielt werden muß), wenn sie wegen z.B. eines abgestürzten Dienstes nicht verfügbar sind? Dazu gehören auch die
Überwachungsmechanismen, die solche Dienste und Resourcen überwachen und bei einem Ausfall zumindest den Admin rechtzeitig informieren.
mehr dazu hier
Diese Aspekte möchte ich hier näher angehen.
Es gibt allerdings noch (mindestens) ein Risikofaktor - der vor dem Bildschirm. Gegen Fahrlässigkeit dessen sind die anderen Maßnahmen manchmal machtlos. Zum Beispiel Passwörter, die auf der Rückseite der Tastatur notiert werden. Oder streng geheime Daten, die per FTP (unverschlüsselt) über das Netz übertragen oder per eMail verschickt werden. Oder, oder, oder… Auch das Social Engineering spielt nicht die letzte Rolle beim Versuch auf die geheimen Daten ran zu kommen.
Alle diese Aspekte betrachten die Datensicherheit aus der Sicht des Nutzers. Eine andere Sicht auf die Problematik ist die des Programmierers. Schließlich wurden Schwachstellen, die von den Angreifern so gern ausgenutzt werden, nicht von Angreifern implementiert, sondern von Herstellern der Anwendungen - Programmierer. Die meisten Schwachstellen in Anwendungen sind also Folgen schlampiger Programmierung. Daher ist das Thema Sichere Programmierung von erheblicher Bedeutung.