# **Rollen und Verantwortlichkeiten** Der Informationssicherheitsbeauftragte ist verantwortlich für die Beaufsichtigung der Bearbeitung von Sicherheitsvorfällen, sowie für die Berichterstattung an die relevanten Stakeholder oder Behörden. # Meldungseingang ## **Interne Vorfallsmeldung** Meldungen durch Mitarbeiter oder Personen mit Zugang zu internen Meldewegen, erfolgen gemäß der Vorgaben in [Meldung von Sicherheitsvorfällen](https://osen.apps.wodanio.com/policies/2425439d-0231-4aca-9abf-e45bfae66cab). ## **Kundenmeldung oder externer Bericht** Wenn ein Kunde oder eine externe Partei einen Sicherheitsvorfall meldet, muss der folgende Prozess befolgt werden: 1. Der Kunde sendet eine Mail an support@wodanio.de oder kontaktiert den Supportchat und schildert den Vorfall. Diese Anfrage landet automatisch in Zammad. 2. Der zuständige Kundenbetreuer, der die Anfrage mit dem Vorfall erhält, bestätigt dem Meldenden den Empfang. 3. Der zuständige Kundenbetreuer bewertet den Vorfall und startet den Prozess der internen Vorfallsmeldung. 4. Abschließend schließt der Kundensupport-Manager das Support-Ticket für den Vorfall in Zammad und meldet das Ergebnis an die ursprünglich meldende Partei zurück. # Bearbeitung von Sicherheitsvorfällen ## **Vorfallbearbeitung & Dokumentation** Es gelten folgende Prozessschritte: 1. Vorfallsmeldungen müssen in Tickets mit dem Label "Incident" überführt werden. 2. Vorfälle müssen gemäß der unten stehenden Klassifizierungsvorgaben bewertet werden durch den CTO/Incident Response Team. 3. Basierend auf der Klassifizierung muss eine Schadensbegrenzungsstrategie umgesetzt werden. Dies umfasst die Eindämmung von Schäden und bestehenden Risiken durch: 1. Maßnahmen zur sofortigen Eindämmung 2. strategische Maßnahmen zur Verhinderung einer Wiederholung des Vorfalls 4. Für Vorfälle mit Schadenseintritt muss eine Ursachenanalyse durchgeführt werden. 5. Auf Basis der Ergebnisse muss entschieden werden, 1. ob Kommunikation an relevante interne und/oder externe Stakeholder erfolgen muss 2. Schritte zur Wiederherstellung von Daten eingeleitet werden müssen 3. ob ein Cybercrime-Angriff strafrechtlich verfolgt werden soll 6. Die Bearbeitung von Vorfällen muss dokumentiert werden. Diese Dokumentation muss Folgendes enthalten: 1. Klassifizierungen 2. Maßnahmen zur Eindämmung und Prävention 3. Ergebnisse der Ursachenanalyse ## **Eskalation** Werden Sicherheitsvorfälle der Priorität “hoch” und “kritisch” nicht gemäß dieser Vorgaben und entsprechend der Reaktionszeiten bearbeitet, so sind diese direkt an die Geschäftsführung zu eskalieren. Hierfür ist eine direkte Kontaktaufnahme zu wählen, wie eine Direktnachricht über Elements/Teams o.ä. oder ein Anruf. ## **Überprüfung eines Sicherheitsvorfalls** Ein Sicherheitsvorfall muss überprüft werden, nachdem er behoben oder entschärft wurde, wobei eine Reihe von Schritten zu unternehmen ist. Diese umfassen: - Überprüfung der getroffenen Maßnahmen - Überprüfung der sichergestellten Prävention - Dokumentation der gewonnenen Erkenntnisse - Kommunikation an relevante Stakeholder # **Klassifizierung von Vorfällen** ## **Kategorisierung (TISAX)** Der ISB ist verantwortlich für die Koordination der Bearbeitung von Vorfällen über mehrere Kategorien hinweg (z.B. Vorfälle, die sowohl die IT-Sicherheit als auch die Personalsicherheit betreffen). | Kategorie | Beispiel | Kontaktaufnahme | | --------------------- | ----------------------------------------------------------------------------------------------------------------------------------------------- | ---------------------------------------------------------------------------------------------------------------------- | | Physische Sicherheit | • Einbruch
• Diebstahl
• Unberechtigter Zugang zu Sicherheitszonen | Nicht zeitkritisch: Ticketzuweisung
Zeitkritisch: Ticketzuweisung + Teams-/Element-Nachricht
Notfall: Telefonnr. | | IT-Sicherheit | • Schwachstellen in IT-Systemen
• Erfolgreiche oder erfolglose Cyber-Angriffe
• Malware
• Datenlecks
• Vorfälle durch Fehlbedienung | Nicht zeitkritisch: Ticketzuweisung
Zeitkritisch: Ticketzuweisung + Teams-/Element-Nachricht
Notfall: Telefonnr. | | Lieferantensicherheit | • Sicherheitslücken bei Lieferanten
• Fehlverhalten von Fremdpersonal | Nicht zeitkritisch: Ticketzuweisung
Zeitkritisch: Ticketzuweisung + Teams-/Element-Nachricht
Notfall: Telefonnr. | | Personalsicherheit | • Verstöße gegen interne Verhaltensrichtlinien
• Missachtung rechtlicher Vorschriften | Nicht zeitkritisch: Ticketzuweisung
Zeitkritisch: Ticketzuweisung + Teams-/Element-Nachricht
Notfall: Telefonnr. | ## **Klassifizierung/Qualifizierung und Priorisierung** | Klassifizierung / Qualifizierung | Priorität | Beschreibung für Software | Beschreibung für Dienstleister | Maximale Reaktionszeit | Beispiele | | ------------------------------------------------------------------- | --------- | ----------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------- | ---------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------- | ---------------------- | ------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------ | | Nicht sicherheitsrelevant | niedrig | Ereignis, welches weder eine Auswirkung auf die Verfügbarkeit des Dienstes noch auf jegliche Kundendaten oder Personaldaten hatte. | Ereignis, welches weder eine Auswirkung auf die Verfügbarkeit unserer Dienstleistung noch auf jegliche Kundendaten oder Personaldaten hatte. | 1 Woche | Fälschlicherweise wurde ein Problem am Laptop als Hackangriff eingestuft. Es konnte jedoch festgestellt werden, dass es sich lediglich um eine Fehlbedienung gehandelt hat. | | Beobachtung / Verbesserungsvorschlag (nicht zeitkritischer Vorfall) | mittel | Ereignis/Situation mit dem Potenzial zu negativen Auswirkungen auf die Verfügbarkeit des Dienstes (z. B. beschränkt auf wenige Minuten oder eine bestimmte Teilmenge der Anwendung oder Benutzer). Es werden keine Kundendaten oder Personaldaten kompromittiert. | Ereignis/Situation mit dem Potenzial zu negativen Auswirkungen auf die Verfügbarkeit unserer Dienstleistung oder auf sensible Informationen. Es werden keine Kundendaten oder Personaldaten kompromittiert. | 3 Arbeitstage | Feststellung über Monitoring, dass die gebuchte Infrastruktur an ihre Grenzen stößt (z. B. erhöhter Traffic an bestimmten Tagen). | | Schwachstelle (zeitkritischer Vorfall) | hoch | Ereignis mit Auswirkungen auf die Verfügbarkeit oder Sicherheit des Dienstes oder dem Potenzial dazu, z. B. akuter Ausfall der Anwendung oder Verlust von Kundendaten oder Personaldaten. Es werden keine Kundendaten an Dritte offengelegt. | Ereignis mit Auswirkungen auf die Verfügbarkeit oder Sicherheit unserer Dienstleistung, z. B. akuter Ausfall von kritischen Systemen oder Verlust von Kundendaten oder Personaldaten. Es werden keine Kundendaten an Dritte offengelegt. | 4 h zu Geschäftszeiten | • SLAs können aufgrund von Störungen nicht eingehalten werden.
• Bei der Ausführung von Updates sind Kundendaten aufgrund nicht ordnungsgemäß durchgeführter Backups verloren gegangen. | | Sicherheitsvorfall (Notfall) | kritisch | Ereignis mit substanzieller geschäftsschädigender Wirkung oder dem Potenzial dazu, z. B. Offenlegung von Kundendaten oder Personaldaten an unbefugte Dritte oder mehrstündiger, großflächiger Ausfall der Anwendung. | Ereignis mit substanzieller geschäftsschädigender Wirkung oder dem Potenzial dazu, z. B. Offenlegung von Kundendaten an unbefugte Dritte oder anhaltender Ausfall der Dienstleistungserbringung. | 1 h | Durch einen Cyberangriff wurden sensible Kundendaten bzw. sensible Geschäftsdaten veröffentlicht. | ## Sicherheitsvorfälle bei Lieferanten Mögliche Sicherheitsereignisse bei Lieferanten sind genauso zu behandeln wie interne Vorfälle. Für weitere Informationen siehe auch Schwachstellenmanagement (Betriebssicherheit). ## Beweissicherung bei Vorfällen Bei Verdacht auf eine Schwachstelle oder einen Sicherheitsvorfall müssen sofort Maßnahmen ergriffen werden, um potenzielle Beweise zu sichern, um sie vor Verlust oder Manipulation zu schützen. Je nach Art des Vorfalls kann die Sicherung beinhalten: - Log-Dateien (z. B. System-, Netzwerk-, Applikationsprotokolle) - Snapshots von virtuellen Maschinen oder betroffenen Systemen - Metadaten und Zeitstempel - Arbeitsspeicherinhalte - Kommunikationsverläufe (z. B. E-Mails, Chat-Protokolle) - Bild-/Videoaufnahmen ==# Testen der Prozesse (nur sehr hoher Schutzbedarf, AL3) Das Melden von Sicherheitsvorfällen, sowie deren Bearbeitung ist regelmäßig auf Funktionalität, Wirksamkeit und Angemessenheit zu testen. Hierfür wird durch den ISB alle drei Monate die Meldung eines fingierten Sicherheitsvorfalls durchgeführt. Dabei sind folgende Aspekte zu prüfen: - Funktionalität der Meldewege - Handhabung von Sicherheitsvorfällen in selten auftretenden Kategorien und Prioritätsstufen - Eskalationsmechanismen Zusätzlich kann der ISB das Melden von Vorfällen durch Mitarbeiter testen, indem zum Beispiel falsche Phishing-Mails an Mitarbeiter versendet werden.== ==SOLL DAS HIER REIN???==

FON	+49 (0)9366 / 59 64 90 0
MAIL	contact@wodanio.com
ADR	Leightonstraße 3 97074 Würzburg Deutschland

Incident Management