8.2 Organisatorisches IT-Security-Management

...Analyse- & Consulting-Services für die IT-Security...

Servicebeschreibung

IT-Sicherheit ist ein lebendiger Prozess. Deshalb überwacht, analysiert und verbessert der Service die sicherheitsrelevanten Prozesse und Komponenten kontinuierlich.

Das Ziel der organisatorischen IT-Security ist es, Sicherheitsregeln und Maßnahmen zu treffen und zu etablieren, um wertvolle Daten und Informationen der Goethe-Universität zu schützen. Dabei analysiert das HRZ die eingesetzten Systeme, um sicherzustellen, dass digitale Gefahren wie Viren, Schadsoftware, Cyberangriffe und Cybervandalismus, also dem Löschen oder Verändern von Daten (Integrität, Vertraulichkeit und Verfügbarkeit der Informationen), sowie ein Ausspionieren ausgeschlossen sind.

In Zeiten, in denen die Universität mobile Endgeräte und Cloud-Lösungen intensiv nutzt, wird das Schützen großer Datenmengen, die jederzeit abgerufen werden können und müssen, immer komplexer und kritischer.

Zur stetigen Kontrolle wird gemeinsam mit dem Sicherheitsmanagement-Team (SMT) eine universitätsweite umfassende Sicherheitsstrategie entwickelt. Einerseits hat der Service die Aufgabe, die IT-Systeme auf technischem Wege vor Angriffen zu schützen. Andererseits ist er dafür verantwortlich, das Sicherheitsbewusstsein der Universität zu schärfen, indem beispielsweise Mitarbeiter*innen der Universität in den Bereichen Informationssicherheit und Datenschutz geschult werden.

In Zusammenarbeit mit der operativen IT-Security erstellt das HRZ Bedarfsanalysen, führt Tests zur Überprüfung der Sicherheit durch und unterstützt bei der Auswahl und Implementierung neuer IT-Security-Lösungen.

Um diesen Service bereitzustellen, analysiert das HRZ Informationen über mögliche Sicherheitsprobleme und prüft die IT-Infrastruktur auf ihre Aktualität. Jede Einrichtung der Goethe-Universität wurde damit beauftragt, eine solche Analyse ebenfalls für den eigenen Bereich durchzuführen (gemäß der IT-Sicherheitsrichtlinie der Goethe-Universität).

Diese Methodik zeigt auf, welche Lücken es hinsichtlich Standards, wie dem BSI-IT-Grundschutz (auf Basis der Norm ISO/IEC 27001) oder auch der Mindestanforderungen an das Risikomanagement gibt. Anschließend identifiziert und bewertet das HRZ in Kooperation mit dem SMT bzw. dem ihn angegliederten GU-CERT die Risiken und macht Vorschläge, wie sich diese Risiken reduzieren und Lücken gegenüber den Standards schließen lassen.

Dieser Service beinhaltet:

• Beratung der Rechenzentrumsleitung zum Thema IT-Security
• IT-Security-Consulting-Dienstleistungen für die IT
• Erhöhung des Sicherheitsniveaus und Verringerung des Ausfallrisikos sowie der Angriffswahrscheinlichkeiten (oder -möglichkeiten)
• Einhaltung der rechtlichen Vorgaben sowie unserer Governance-, Risk- und Compliance-Regeln (GRC)
• Koordination und Unterstützung des Datenschutzes im HRZ

www.rz.uni-frankfurt.de/it-sicherheit

Zuständigkeitsmatrix