Lieber Zuschauer, dieser Untertitel wurde automatisch generiert von Trint und dementsprechend (sehr) fehlerhaft. Wenn du kannst, hilf uns bitte gute Untertitel zu erstellen: https://c3subtitles.de/talk/1204 Danke!
Eine kurze Frage, bevor wir anfangen Wer
von euch streitet sich gerne?
Nicht so viele. Wer streitet sich nicht
gerne, hat aber trotzdem meistens recht.
Ja, ich würde sagen mindestens
50 prozent.
Und als jemand, der im Bereich
Datenschutz arbeitet, frage ich mich ja
warum? Es hat recht, streitet
sich aber nicht gerne.
Nicht Teil der Berufs Beschreibung ist
von allem, was man so im Bereich
Datenschutz Informationssicherheit macht.
Denn darauf läuft es ja meistens
so ein bisschen in der Praxis raus.
Und genau darum soll es in diesem Tarkin.
Es geht darum, wie Risikomanagement
und Informationssicherheit in der Praxis
aussehen. Am Beispiel der sogenannten
Bank bei uns
den Vortrag wird halten die ULA.
Sie weiß, wovon sie redet, denn sie ist
selbst in der Finanzbranche
tätig. Einen ganz herzlichen
Applaus für die Ulla.
Na dann schön, dass
sie so früh 12 Uhr schon
schon wach seid und da seid und euch für
so ein Thema begeistern könnt.
Und ist es tatsächlich so?
Ähm, ich streite mich gern und ich habe
immer recht. Ich bin also von der
Fraktion.
Ähm, ja.
Informationssicherheit und
Risikomanagement am Beispiel von Bank
B. Ich möchte so ein paar Sachen
vorausschicken.
Ich habe leicht juristischen Hintergrund.
Ich möchte tatsächlich nicht den
juristischen Hintergrund machen.
Ich liebe Auslegung, Diskussion, die
meisten Menschen Shantanu total
langweilig.
Deswegen mache ich das heute einfach mal
weg.
Die zweite Sache ist es ist Bank B
und ich bin mit einem Bild
einfach aus dem Grund.
Es ist ein Fakt. Fiktive Bank,
das sind fiktive Beispiele.
Jede Ähnlichkeit zu natürlichen
erfundenen Einhörnern, Aliens, Personen,
Menschen, was auch immer ist natürlich
rein fiktiv.
So.
Ich ähm,
mir wurde mal gesagt, so in jeder
Präsentation sollte zumindest ein Zitat
drin sein.
So irgendwas total tolles
und ich dachte mir so gut, was mag ich?
Dann war es so Ach, zwei Herzen schlagen
in meiner Brust.
Ich und auch ich.
Ihr werdet gleich sehen, warum
ich 29.
Nächstes Jahr werde ich 30.
Die magische Grenze mir egal.
Und der beste Primum.
Er war definitiv da.
In der zweiten Reihe. Extra für mich da.
Casdorff. Also wenn ihr mal in Düsseldorf
seid, geht vorbei.
Lohnt sich.
Ich bin leider nicht so oft da, wie ich
im Moment gerne möchte, weil ich derzeit
in Frankfurt wohne.
Auch sehr schön. Da gibt es die tollen
Äppler. Das ist so verlorener Apfel.
Okay.
Unverständnis kennt man hier nicht.
Ähm,
ich bin so ein oh, wie funktioniert das
denn?
Kann das kaputtgehen?
Was passiert, wenn ich auf den Knopf da
drücke?
Krach?
Oh, ich weiß nicht.
Ähm.
Nebenbei habe ich auch mal so ein
bisschen pfeifen gelernt.
Danke an den Pfeifen.
Fuhr auch auch in Düsseldorf.
Ich war auf dem Weg zu Die Treffen hat
ganz, ganz viel auf so kleine Kästchen
in Aida gestarrt und das war noch viel
großartiger.
War auch eine tolle Atmosphäre.
Aber hauptsächlich bin ich ein es könnte
kaputt gehen.
Ihr findet mich auch im sie eben
unter dem Hendel Jutesack oder unter
Jula. Da ist jemand aus
Gründen so ein kleines Schlösschen
an meinem Account. Ihr könnt aber
trotzdem gerne einfach mal entweder Hallo
sagen, eine Anfrage stellen, dann schalte
ich euch frei.
Jetzt kommt die erste Anekdote
was kann ich aber da ist aber ein ganz,
ganz lieber Freund von mir, sagte
irgendwann mal so Ja,
wenn ich dich manchmal sehe, dann muss
ich immer kurz überlegen,
was meint er denn jetzt?
Ja, du siehst, wenn du von der Arbeit
kommst, immer ganz anders aus.
Ja, ich bin hier heute privat noch,
aber wenn ich von der Arbeit kommen, dann
sehe ich ein bisschen anders aus.
Habe ich einen Anzug an und so Zeugs.
Auch ich.
Das ist dann die andere Seite von mir.
Ich bin gelernter Investment-Fonds
Kauffrau, so was ähnliches wie
Bank, nur mit Investmentfonds.
Habe dann auch nebenbei noch einen
Bachelor of Law gemacht.
So ein bisschen Wirtschaftsrecht und so
ein Hintergrund.
Und möglicherweise, wenn ich
irgendwann mal schaffe, habe ich auch
Master of Science, weil ich für
Wirtschaftsinformatik Studium angefangen
habe.
Wenn ich aber Zeit habe, komme
eigentlich so aus dem
Bereich von Himmelfahrt,
also Finanzbereich und das ist dann
ähm Verhinderung von Geldwäsche und
sonstigen strafbaren Handlungen
eröffnet ziemlich viel Platz für blöde
Witze. Besonders die Straf und sonstigen
Strafandrohungen bei meinen Kollegen.
Ist aber recht spannend, wenn man dann
überlegt, wo kommt eigentlich Geld von
nach und wer kriegt das
dann am Ende?
Komm daher, hab durch verschiedene
Zufälle jetzt einfach tatsächlich auf
einen Platz in einer der Burg vorgefunden
im Bereich Informationssicherheit.
Also offizielle Information Security
Consultant und
macht dann alles was so
Informationssicherheit at
Risikomanagement ist, es somit zu
tun hat.
Das ist dann so mein mein Bereich bei
Banken nicht
gut
genug für mich.
Was passiert hier heute?
Wie gesagt, es sind auch tatsächlich die
Grundlagen, damit ihr versteht im
Zweifelsfall.
Da sitzt ein Mensch vielleicht in einer
Bank oder so, Versicherungen sind
meistens ähnlich.
Der will irgendwas von mir. Was will er
jetzt eigentlich?
Wo kommt er her?
Weil ich gerade meine Arbeit sehr
oft merke, dass die
dieses Verständnis untereinander ein
bisschen schwierig ist, also so
technikaffinen Menschen und wissen,
dass Menschen
das ist mal so ein bisschen knifflig
und ich versuche da immer so zu
vermitteln und deswegen habe ich auch den
Tag eingereicht. Ich hätte nicht gedacht,
dass mir genommen wird, er wird genommen.
Ja, mein zweiter Kongress,
also das muss man dazu sagen.
Ich finde das großartig.
Genau so zwei Themenblöcke
Informationssicherheit.
Wo kommt das eigentlich her?
Ähm, dann die ganzen Sachen mit
Schutzbedarf, die Staatsziele,
Schutzbedarf, Analyse wie stellt man das
Ganze also fest?
Was kann man da machen? Und es geht um
Alkohol. Man kann ich schon sagen.
Und die Standards, die sind aber so ein
bisschen untergeordnet.
IT Risikomanagement.
Auf der anderen Seite ist dann sowas
wie Okay, wir haben Risiko,
wir mit Drogen. Was heißt das jetzt
eigentlich?
Wie stellen wir das fest? Der ganze
Risiko Kreislauf.
Und dann
fand ich diese Ansätze, dann wird es ein
bisschen bunt. Klingt nicht, aber so
bunt.
Und die Risikovermeidung dann
und jetzt, das macht nichts
damit. Ich versuche auf ganz, ganz viele
Beispiele einfach reinzubringen.
Dann bitte mal so ein bisschen Gefühl für
bekommen. Zudem sind die meistens relativ
lustig.
Informationssicherheit, Punkt eins,
Sicherheit, Datenschutz und Co.
Und ich will da auch gar nicht so viel zu
sagen, weil ich glaube, wir hatten
gerade in den letzten Tagen auch einen
ganz, ganz tollen Tag. Zum Beispiel eben
über Datenschutz.
Da geht es um nicht nur um
informationelle Selbstbestimmung, noch
ganz, ganz viel mehr.
Die kann man dann auch natürlich ganz
wunderbar auf dem Schirm. Danke noch mal
an die Technik Engelland und dann auf den
Seiten natürlich auch angucken
personenbezogene Daten.
Ja und dann stimmt meistens so, wenn man
in der Bank unterwegs ist, auch noch ganz
viel mehr auf ein ein Päckchen
Sicherheit.
Okay.
Und die meisten Leute verwechseln
das tatsächlich.
Wir haben Datenschutzbeauftragten, die
haben ein.
Wir haben Cybersicherheit und die sind.
Und dann ist es eben ganz vorbei.
Meistens sind das noch dieselben Personen
und dann sind sie endgültig verwirrt.
Aber genau IT-Sicherheit
sind die elektronisch gespeicherten
Informationen.
Und da geht es aber auch so was um.
Ist jetzt tatsächlich der
Rechner oder steht der Server irgendwo
und da tropft es durch die Decke und das
sieht nicht gut aus.
Auch schon vorgekommen.
Das kann man mit Baby Badewanne übrigens
sehr gut lösen, habe ich rausgefunden.
Ähm, ich weiß nicht, ob man sie
danach noch für Babys verwenden kann.
Und Informationssicherheit,
das ist dann ganz allgemein der
Schutz von Information, egal ob digital
oder analog. Das heißt nicht nur, wenn
ein Rechner hier stehen lasst und ich
lasse den offen und man könnte
reingucken, sondern theoretisch auch so
was wie ihr lasst euer Notizbuch hier
liegen.
Wer dann auch ein Thema von
Informationssicherheit.
Was ist Sicherheit?
Ja, ich finde die Definition so ein
bisschen langweilig.
Sicher sein, geschützt sein vor Gefahr
oder Schaden.
Ich weiß nicht, war jemand schon bestimmt
auf dem McD dieses Jahr?
Da gab es ein ganz, ganz neuen Tag von
von Michael
Wiesner, Michael und mit
dem T-Shirt das.
Daran kann ich mich erinnern.
Ich bin mit Namen nicht so gut mit
Tierschützern.
Und er sagte Das ist das Abwesenheit
sein. Sicher, das ist Abwesenheit von
nicht beherrschbaren Gefahren.
Fand ich großartig.
Nicht beherrschbar. Gefahren gibt es
nicht. Also wir haben uns danach drüber
unterhalten. Ist es tatsächlich so?
Ja, nicht.
Beherrschbare Gefahren.
Also immer. Es passiert immer was.
Schutzzölle.
Das ist das, womit ich mich den ganzen
Tag rum schlage und
auch die Wandern ärgere
Integrität, Verfügbarkeit,
Vertraulichkeit.
Ich erkläre gerade gleich auch noch,
warum das so ein bisschen abgesetzt ist.
Ähm Integrität.
Keine Bank will, dass die Daten verändert
wurden oder werden.
Ganz großartiges Beispiel.
Wie kriegen Modelle angeliefert, die den
Wert der Bank bestimmen?
Müssen wir die jetzt schützen?
Ja kann komme ja übermorgen berechnen,
aber wenn hier die Berechnung ist Partei
darunter falsch ist
schon ziemlich scheiße.
Oder wenn man einen Deal abwickeln will
und gibt die gibt die Daten ein und
merkt nachher so war was falsch.
Blöd.
Ähm.
Punkt 2 die Verfügbarkeit.
Es fallen halt die ganzen Sachen aus,
sind die Information nicht mehr
verfügbar, ist auch irgendwie doof.
Ich meine, dann sitzt man halt da
und sagt Ja, ich kann jetzt mein
Handelssystem gerade mal so nicht
starten.
Was mache ich denn jetzt? Ich kann mich
nicht am Client anmelden.
Auch blöd.
Dann schicken die Leute ganz wild auf die
Mäuse auf die
Vertraulichkeit.
Ja, wir wollen auch nicht, dass
Kundendaten veröffentlicht werden.
Ähm.
Die meisten Leute denken tatsächlich auch
immer so an diese Vertraulichkeit, wenn
sie an Informationssicherheit denken,
weil sie den o.g. Die Daten könnten
veröffentlicht werden.
Aber Informationssicherheit ist dann doch
so ein bisschen größer.
Einfach noch mal!
Wenn man dann doch sagen muss Was ist
denn, wenn die wegkommen, wenn die
geändert werden? Lauter solche Sachen.
Also nur der reine, reine Weg, um sie
werden veröffentlicht ist nun ganz, ganz
kleiner Teil davon.
Und so ein bisschen dazu kommt eben auch
die Authentizität,
dass man sagt Was ist denn jetzt
eigentlich inzwischen aus?
Wo kommen meine Daten her?
Ist das auch tatsächlich derjenige, der
sich dafür ausgibt, die jenige welche
zu sein?
Wenn man das nicht untereinander stapelt,
sondern in so einem Dreieck, dann hab ich
mal gehört, es ist eine soziale Triade
und ich fand es
ganz gut, weil also kann man sich das mal
vorstellen. Es gibt nicht nur einen Block
einfach und es ist ganz wichtig, dass
eine Information, auch wenn ich sie
bewerte, immer
von diesen drei Aspekten einfach
abgedeckt wird.
Sonst betrachte ich vielleicht sie fällt
aus, aber ich betrachte nicht, was
passiert eigentlich, wenn sie nicht das
hat, was sie eigentlich sagen sollte.
Ja, angeblich.
Am frühen Morgen Zwar ist dieser
Schutz Bedarfsanalyse und
gerüchteweise gucken auch meine Kollegen
auf dem Schild zu ich habe sie dazu
bekommen.
Sie haben gefragt, ob sie Fragen stellen
dürfen. Ich sagte jedes Mal, wenn sie
eine Frage stellen, werde ich
Details über sie erzählen.
Ähm oder so was.
Sie haben auch gefragt, ob Sie Tomaten
werfen, engagieren können.
Ich auch verneint.
Ich hoffe, es ist keiner da.
Es geht um Alkohol und
ich weiß auch nicht, ob euch das
aufgefallen ist.
Aber Chunk hat hier echt
die Eigenschaft, ziemlich schnell aus
den Gläsern zu verschwinden.
Also kaum hatte ich irgendwie so ein
Schwung in der Hand, war das Glas schon
wieder leer.
Deswegen ist da kein Bild von dem Jungen.
Eigentlich sollte da sein.
Was habe ich gefunden?
Martini.
Ich habe zum Ersten Mal dieses Jahr
Martini getrunken und das ist noch nicht
mal richtiger. Martini. Das ist so mit
Gin drin und für mich wichtig
an diesem Martini Glas.
Also außer dass es drei gibt.
Es musste auch sein, die Olive.
Ich liebe Oliven.
Ich weiß nicht, ob irgendjemand von euch
Oliven mag.
Ha, ha!
Oliven. Großartig.
Wir sind hier, glaube ich, ein bisschen
jetzt auf dem schlechten schlechten Fuß,
weil ihm das
deswegen ist. Bedarfsanalyse.
Wie mache ich das? Ich mache das eben
jetzt ein Beispiel von einem Supermarkt.
Ich muss wissen, was habe ich eigentlich
in dem Fall ist es Martini, denn
Olive kann ich.
So und jetzt bin ich also dieser
Supermarkt Besitzer.
Was kommt jetzt am ehesten weg?
Was ist jetzt das Wichtigste für mich?
Womit kriege ich am meisten Geld?
Ja, dann ist es wahrscheinlich leider
nicht die Olive, sondern
sagen wir mal, der ist mir
einfach sympathischer als der Martini.
Ähm, was mache ich dann als
Besitzer? Ne, ich sichere mich mein
Obst und Gemüse regal ja nicht.
Sicher nicht die Süßigkeiten.
Wobei die sind auch sehr interessant,
sondern ich nehme meinen ganzen Alkohol.
Steckte den Glasschrank, schließe am
besten noch ab. Stell dir nahe der
der Kasse auf und
gibt den Kassierer deine Schlüssel.
Und die sagen Okay, wenn jemand den denn
haben möchte, dann gehst du mit dem
anderen, egal wo es geht schon raus und
Schlüssel aufschließen, Auto
abschließen.
So, der Supermarkt
hat also erkannt was ist schützenswert?
Nicht die Oliven, sondern der Gin.
In dem Fall Martina.
Das Glas Narayen in das Glas Regal
und schützt diese Information
entsprechend und sagt Okay, ich stell
das in Sichtweite auf, ich schließe
das ab, da kann ich hier daran nicht.
Jeder hat einen Schlüssel, nicht jeder
kann das einfach so in die Hosentasche
stecken, wenn die Hosentasche groß genug
ist, um Schutz
Bedarfsanalyse.
Ja,
ganz einfach und kurz das Ding ist.
Vielleicht wird der Gini ja auch
vorher irgendwo in einem Lager gelagert.
Wer kann denn jetzt zu dem Lager?
Kann da einfach jeder rein?
Wird die Tür abends abgeschlossen,
dann fällt auf Wasser oder wenn ich den
Gin kaufe und ich
legt ihn dann irgendwo draußen einfach
erstmal ins Auto, lasse das Auto offen
oder stehen draußen vor die Tür, weil ich
muss noch irgendwie was aus meiner Tasche
holen.
Hm. Aber das ist dann weiterführen.
So ein bisschen erstmal Schutz
Bedarfsanalyse, Supermarkt
ging bei der Kasse Typekit.
Die drei Schritte jetzt sozusagen
tatsächlich auf den die Bedarfsanalyse
Objekt Beurteilung nach einem Objekt
ist in dem Fall eigentlich unser Yin und
der Martini.
Und dann ist es die Information,
die wir schützen wollen bei der
Informationssicherheit.
Das heißt, man überlegt sich Welche
Information habe ich eigentlich?
Ja, was ist für mich als
Bank besonders wichtig?
Mitarbeiter, Daten, Kundendaten,
Gehalt, Daten?
Was ist das Objekt gerade wert?
Was ist der Vorwärts?
Hat er so Sachen?
Wann wird vielleicht auch irgendwie was
abgeschaltet gearbeitet?
Hat es denn überhaupt das neueste Update
auch? Ganz großartig.
Passiert auch nie.
Update Nicht da.
Hm. Verschwunden.
Vergessen, verloren.
Das andere ist wir haben Prozesse
wie Lager, Strecke, Liefer, Strecke.
Wenn ich jetzt zum Beispiel Bilanz
Daten von der Bank nehme die meisten
Banken müssen Bilanz Daten
veröffentlichen.
Ach, großartig.
Ähm, dann passiert folgendes
bevor das veröffentlicht wird
Es ist erst noch sehr schutzbedürftig,
weil ist ja noch nicht fertig.
Soll ja noch keiner wissen.
Da geht es dann auch so was um
Insiderhandel zum Beispiel.
Also weil solche Informationen können ja
zum Beispiel Sarrazin mutierte Bank ist
den Wert der Aktie beeinflussen, dann ist
es wichtig, das vorher vielleicht zu
wissen, was da passiert war.
Da kann man verkaufen und kaufen,
soll also vorher niemand wissen.
Sehr schutzbedürftig.
Wenn dann der Bericht raus ist,
dann ist diese diese Information
wir der Informationsfluss da nicht mehr
so schutzbedürftig.
Aus dem einfachen Grund,
weil dann ist es ja veröffentlicht dieser
Bericht, dann weiß es ja jeder, was da
drin steht.
Dann hat sich der Markt der Aktien
einfach schon bewegt.
Dann ist es eine ganz andere
Bewertung für dieses Informations Cluster
als der Bericht ist noch nicht
veröffentlicht, also muss man auch auf
die Prozesse gucken und dann kann
man auch gucken die Anwendungen.
Also wenn Information in verschiedenen
Anwendungen drin ist
und ich meine eine ganz ganz sicher,
sowie vielleicht den Laden, den
Supermarkt.
Mich interessiert nicht, dass das Lager
hinten eigentlich nur so eine Holzhütte
ist und die steht offen und da kann jeder
rein, weil da guckt auch niemand drauf.
Ja, dann ist halt wahrscheinlich, dass da
irgendwo er meine Informationen wegkommen
als in dem gesicherten Supermarkt.
Also man guckt sich dann tatsächlich den
ganzen Prozess an, die ganzen
Anwendungen, wo steckt die Information
drin? Das heißt dann eben
Informationsfluss in verschiedenen
Situationen und sagt dann
Was ist jetzt wichtig und wie
wichtig? Wie sehr muss ich jetzt
irgendwas davon schützen?
Und das ist manchmal
so ein bisschen schwierig, weil
man dann unterschiedliche Verständnisse
hat. Wo hört jetzt auf,
wo fängt der andere an?
Ähm, wo ist jetzt der Schutzbedarf
tatsächlich drin? Brauche ich jetzt
diese Information?
Einmal veröffentlicht, zum Beispiel eine
nicht veröffentlicht und das zu
synchronisieren? Gerade wenn man jetzt
bei einer Bank zum Beispiel man öfters
mal verschiedene,
also nicht nur eine große Bank, sondern
auch Tochterunternehmen, die da mit
drin sind, die dasselbe System verwenden
wollen, weil ja toll.
Ähm.
Dann wird es ein bisschen knifflig.
Die zweite Sache ist die Beurteilung und
dann wird es wirklich.
Schutz, Ziele.
Das ist das, was wir eben gesehen haben
mit den drei Zielen Vertraulichkeit,
Integrität, Verfügbarkeit.
Guckt man sich dann also für die
Information an
und sagt dann Was für ein Schutzbedarf
hat dieses Informations Cluster?
Da gibt es ein Klassen dafür, die sind
tatsächlich standardisiert.
Also gibt einen Vorschlag vom BSI
toll. So gering, mittel hoch oder
sehr hoch.
Man kann natürlich auch andere nehmen.
Ja, man kann auch mehr nehmen.
Weniger in der Regel sind dann irgendwie
so. Beispiel Man hätte so eins zwei drei
vier vier ist es höchste.
Jedes Problem ist Sie haben Schutz Ziele.
Wir haben Schutzbedarf Klassen.
Was passiert jetzt? Das ist wichtig.
Wahnsinnig wichtig.
Na ja, also es gibt zwei Fraktionen,
um genau zu sein. Jeder ist echt
wahnsinnig wichtig.
Und ne, ich
bin gar nicht wichtig. Ich habe
eigentlich gar keinen Bock auf den Scheiß.
Yolo Ähm.
Und das hat dann zwei Auswirkungen.
Auf der einen Seite haben wir die Leute,
die sagen Ich bin so wahnsinnig wichtig,
die haben dann irgendwie so eine, so eine
Excel Makro Datei rumfliegen.
Da werden Zeugnisse mitgeschrieben, also
so Textbausteine.
So Hey, da war gut eins zwei drei
vier fünf sechs neun Noten mäßig und
dann klicken die irgendwie schon an, dann
kriegen sie diese Textbausteine
zusammengeworfen und schreiben da aber
noch mal so ein bisschen Persönlichkeit
rein und sagen
Aber ist voll wichtig, was
passiert, dass wir so eine popelige Excel
haben, die sagt, sie ist voll wichtig
und deswegen muss sie ganz, ganz viele
Schutzmaßnahmen haben, weil sie ist ja so
wichtig. Ja, also die tut
sozusagen
so,
als wäre sie ein Yin und eine Olive
und eine Kiwi oder Brokkoli.
Ja, und eine Banane.
Aber ich mag Bananen, keine Bananen.
Und das andere ist
eigentlich habe ich keinen Bock auf den
Scheiß, weil dann muss ich ja Sachen
machen.
Also hat irgendjemand was?
Ein System, das schon ziemlich wichtig
ist, vielleicht Zahlungsarten
rum schubst oder Rechnungen freigibt
und sagt Ja, aber eigentlich
habe ich da vielleicht auch gar nicht so
viel mit zu tun, weil die Anwendung
liegt ja bei dem Dienstleister
und er macht ja auch Updates.
Ist auch gar nicht so wichtig. Wenn das
ausfällt, ja, dann fällt halt aus.
Meine Güte, interessiert mich doch nicht.
Und dann bewerten die das ganz, ganz
niedrig. Was heißt, es gibt nicht so
viele Schutzmaßnahmen, weil sie tun so,
als hätten sie Brokkoli oder ein
Kohl. Weiß ich nicht.
Aber Berlin ist, glaube ich, ein Gemüse,
das geht nicht so essen.
Und dann liegen diese Information da
vielleicht irgendwo rum
und man merkt nachher so, es fängt nicht
so gut, weil die Ware vielleicht auch
wichtig.
Und dann kann aber irgendjemand, weil
versteckt sich dann so Pooling Tasche
unwahrscheinlich, habe ich noch nie
gesehen. Aber könnte ja
sein, dass jemand sagt Geil, cool.
Deswegen ist es wichtig, diesen diesen
Schutzbedarf und die Schutzbedarf
Klassenerhalt aufrichtig von
Informationen einzuschätzen.
Und meine Erfahrung ist einfach.
Also gibt es eben diese zwei Arten
von Herangehensweisen in Banken.
Eine gibt es halt einfach beide davon.
Und das ist aber ganz, ganz oft auch ein
sehr großer Widerstand, weil entweder man
ist sehr wichtig, wenn man sagt Ja, du
bist gar nicht so wichtig,
Egos ein bisschen angekratzt und auf der
anderen Seite ist es halt so..
Ja, aber du bist schon wichtig.
Ja, ich hab kein Bock was zu machen.
Ich kriege meistens so ein paar Dokumente
hin.
Hmm.
Hingelegt, Sachen hingelegt,
Maßnahmen lasse ich mal hier.
So ein paar Pünktchen weiter kommt jetzt
drauf und das wird wirklich spannend,
weil ähm
Maßnahmen. Was kann man eigentlich jetzt
tun, wenn ich Information habe und die
möchte ich schützen, was mache ich damit?
Identity und Exzess Management.
Da hätte ich tatsächlich irgendwie so
eine englische Präsentation fast
draus machen können bei der vorher haha.
Also alle, die den Text des Management
wer darf ja eigentlich rein
oder wer darf überhaupt in die Bank rein?
Darf da jeder rein?
Kann dir mal ausprobieren.
Nehmt euch eine große Kiste,
die schwer aussieht
und versucht mal durch Lieferanten
reinzukommen. Funktioniert ja.
Andernfalls könnt ihr euch auch einfach
einen Anzug anziehen.
Funktioniert auch und versucht mal durch
den Fahrer Eingang für die
Dienstfahrzeuge der Vorstände
reinzukommen.
Funktioniert auch.
Besonders die Rolltreppe, die
elektronisch sind,
hat funktioniert.
Habe ich schon ausprobiert. Macht Spaß
und ich habe gerade irgendwie zwei Becher
Kaffee. Könnten Sie mir mal die Drehtür
aufmachen?
Ja, genau.
Na also, wer darf rein?
Wer ist das eigentlich?
Ja, interessanterweise.
Ich hatte tatsächlich mal einen Fall
einer Bank. Nein, es gibt einen
potenziellen Bankberater
und wenn man da versucht reinzukommen.
Habe ich gehört, dass der einzige Fall,
wo man aufgehalten wurde, tatsächlich
der Feuerwehr Aufzug war,
der illegalerweise von den Händlern
benutzt wurde, in dem Fall, die aber
gefragt haben Was machen Sie denn hier?
Ja, weil die die anderen nicht, also wird
die Person dann nicht kannten.
War auch lustig, als man gesagt sagt
was macht ihr eigentlich hier, weil ihr
dürftet hier nicht sein
muss, oder?
Also die Geschichte gehört habe, so eine
Kollegin, die machte tatsächlich auch
Zutritt. Sicherheit prüfte die,
was passierte.
Sie kommt morgens zur Arbeit, nur total
entspannt. Eigentlich lief alles relativ
gut. Sie hatte das gar nicht erwartet bei
dieser Bank B und erzählte
mir dann so sie fuhr einfach
mal aus Versehen der Aufzug.
Sie kann sich nicht erklären, fuhr in den
Keller, wo die ganzen Server
stehen.
Sie hat da auf zwei gedrückt und er fuhr
dann runter.
Auch nicht in die Minus 2, sondern
war lustig.
Genau so erdachte sie echtes Management.
Wer ist, wer darf eigentlich ran?
Wer ist derjenige?
Hat der vielleicht was für Rechte hat?
Da ist der Admin.
Ist das ein normaler User?
Was kann alles kaputt machen?
Na dann
andersrum auch. Zum Beispiel hat er sich
mehrere Accounts.
Dann sind so Sachen wie
er könnte etwas kaputt machen oder ist in
Sachen aber hauptsächlich wenn
Protokolle verändert werden,
wo man dann sieht was ist passiert,
was sind irgendwelche Daten verändert
worden usw. Das wird ja alles wird
protokolliert, ist eine Anforderung.
Und wenn man diese Protokolle verändern
kann, löschen kann, so Wasseradern ist
das immer so ein HP.
Du hast High Privileg User
und die sind immer ganz gefährlich
rausgucken.
Dann gibt es Verfahren für so wie in
es gibt einen Notfall,
egal welcher Art.
Und dann geht man hin und sagt Hey, ich
brauch jetzt den User und dann geht man
also praktisch definiert definierte
Person, geht dann zu
definierter anderer Person, sagt jetzt
ist es so weiter. Geht jetzt zusammen zum
Tresor der Einheit, den ein Teil des
Codes, andere den anderen und guckt die
zusammen. So ah, da ist das Login
für den Harpo und dann können wir
vielleicht irgendwas machen.
Ja, nein, weil
Aufzugs. Ich mag Aufzugs Situation
offensichtlich ja und hört
man so einen Kaffee trinken und ein Uhr
und dann ja, ich habe den Zugriff.
Ich habe normalerweise normalen
verwaltenden Zugriff auf System X.
Darf ich jetzt nicht mehr, weil irgendwie
komisch. Neue Regel jedes mal wenn ich
was ändere, nehme ich dann den
Sonderfall, den Admin Account für den
Super User, den beantrage ich alt
nur jeden Tag im Notfall.
Ja und dann habe ich den
Account und dann mache ich meine Sachen
im Notfall vorbei.
Naja, morgen das gleiche Spiel wieder
fand ich super im Aufzug.
Also pass auf, was im Aufzug alles hört
ist fast so wie Bahnfahren.
Funktioniert auch super. Erste Klasse
kriegt alles mit, was ich schon an
Pitches gemacht haben könnte.
Ähm, Sicherheitskonzept
ist ein Lieblingsthema von mir.
Ja, wir haben eine Anwendung und wir
haben Anforderungen an die Anwendung.
Ich schreib noch mal runter, wie diese
Anforderungen eingehalten werden.
Tolle Idee. Eine Dokumentation
übrigens. Tatsächlich Dokumentation habe
ich gerade auch noch mal kurz diskutiert.
Ähm, wenn ihr
in so einer Situation seid und sie haben
kann.
Und wenn eure Dokumentation, eure
Anweisungen und so weiter schlecht ist,
ist es schlecht.
Auch doof.
Ja, aber wenn sie nachvollziehbar ist und
sich zumindest mal da und nicht von vor 5
Jahren war, dann habt ihr schon
mal zumindest mal Zeit.
Es zumindest nicht gleich mal irgendwie
so durchgefallen. Nicht ganz zumindest.
Ähm ja, Sicherheitskonzepte werde ich.
Nachher noch was zu sagen ist ein ganz
spannendes Thema.
Das es Continuity
Standort fällt auf.
Können alle nicht mehr arbeiten.
Dummerweise muss das dann aber trotzdem.
Da hat man dann tatsächlich so was wie
Hey, wir fahren alle in einem großen Bus
zum anderen Standort oder den Arbeiten
von zu Hause aus usw.
Da gibt es auch Notfallmaßnahmen.
Das macht man dann, damit die Verfügbarkeit
von Informationen gewährleistet ist.
Ja, Pausen, Klassenfahrt,
richtig Bus belegte Brötchen gibt
es tatsächlich.
Wenn man diese Dinger testet, diese
Notfall Standorte, ja dann
werden tatsächlich User ausgesucht, da
dann jeder so von verschieden Standorten
und so gerne wenn die anderen Bus gesetzt
ja dahin gefallen.
Guck mal wie lang braucht der Bus und
dann gibt es da belegte Brötchen und
Kaffee.
Und da testet man, so fährt man Rechner
hoch, da blinkt alles
funktioniert. Leitung A Kaffeefahrt
macht Spaß, hab ich gesagt.
Ähm und auch so ein bisschen Provider
Management. Hey, so ne Bank macht
so Sachen nicht alleine der Provider,
die sagt dann Hey, ich habe hier
die
Provider P Ach
und der Provider P, der macht mich
BCD.
Also weiß ich die Großen kennt man
vielleicht in die USA.
Ach so was kennt
man immer mal wieder in und
die machen halt Sachen für die Bank und
dann muss man regeln.
Die andere war da.
Ähm, was machen die eigentlich für uns?
Haben Sie das gesichert?
Wissen Sie, was Sie da tun?
Ja, geben Sie uns Berichte darüber.
Ist es toll. Berichte, Berichte sind gut,
aber weiß man, was passiert da eigentlich
mit? Und gute Berichte sind
immer gut.
Also es gibt so viele verschiedene
Maßnahmen man tun kann und
die Kontrahenten Standards.
Und ich bin mir sicher, ihr habt sie
schon irgendwo gehört gelesen.
Und ganz ganz ganz weit weggeschoben.
Ähm na ISO sieben
tausend eins BSI Mundschutz.
Das sind schon alles.
Sie sind auch relativ umfangreich.
Ja und die tauchen auch immer wieder auf.
Also hey, wenn jemand eine STANDARD
Auslegung Diskussion mit mir starten
möchte, ich bin heute noch da, morgen
auch. Wir haben also noch genug Zeit,
wahrscheinlich auch Montag. Mehr aber
kann man ganz einfach machen.
Ähm, bei einer Bank ist auch immer so
ein bisschen KWG Gehwege immer.
Und ich habe das mit Absicht da drauf
getan.
Da sind auch so ein paar Sachen drin wie
Hey, wir haben schon kurz
Trennung.
Das ist der Punkt. Benutzer
Berechtigungen wer darf eigentlich was
sehen?
Darf die Mac Folge auch das was
der Handel da oder der Markt tut?
Darf der Rechnungs, also,
dass die Rechnungs Abteilung darf
die das eigentlich?
Und wenn der Benutzer Admin, obgleich der
Admin von dem Fach System ist,
ja was könnte denn da eigentlich
anstinken?
Also sind so ein paar Sachen drin, die
man einfach im Privatbereich benutzt,
weil man zum Beispiel beachtet er
ähm. Wirklich interessant ist dann aber
auch tatsächlich die Bit oder Bit
und dann
ja das.
Das ist dann so der Punkt, wo man sagt
Hey, das ist die Anwendung
von diesen ganzen Papierkram.
Also wenn ihr euch auf eine Diskussion
einlässt, fand am besten damit an.
Das sind so 10 Seiten,
die sind aufgeteilt in Kapitel
mit Überschriften.
Das kriegt man hin.
Und zweifelsfrei jeden
Berater, wann sie.
Können Sie mir sagen, wo es steht,
funktioniert immer?
Ja, weil die meisten haben dann doch so
ein bisschen Ego und sagen so
Ja, ich kann dir ganz genau sagen, wo das
steht.
Und dann kann man die Diskussion anfangen
an und
das ist dann die Ausgangsfrage,
aber die mich jetzt hier auch schon
Schilder gezeigt bekommen haben Wir haben
noch Zeit.
Hmmm.
Die Standards sind dann gar nicht mal so,
dass man weiß, was man ist.
Ja, was geht, was passiert danach mit
Risiko und Bedrohung?
Geil.
Risikomanagement
kann man irgendwie so Information ja
Wissen schützen würde ich nicht
so schutzbedürftig.
Wir machen Maßnahmen, aber irgendwie
können wir uns halt auch nicht gegen alles
schützen. Sich am Risiko übrig.
Was ist Risiko, was ist Betrug?
Ausgeschwärmt finde ich super.
Ja ähm Bedrohung.
Also da könnte ein Schaden entstehen
durch irgend was.
Super.
Ja, richtig interessant ist es dann,
wenn wir sagen eine Gefährdung.
Also gibt es eine Schwachstelle dazu?
Ja.
Und das Lustige ist jetzt überlegt mal
Ärzte Shantanu sagt Ich bin voll wichtig,
meine Informationen sind vorsichtig
an alle sagen aber die Informationen, die
interessieren mich doch gar nicht.
Was willst du denn eigentlich Narayen?
Ja, weil bist halt nicht die Deutsche
Bank, sondern
jemand anders.
Ja, ganz einfach gesagt
Risiko.
Das ist das wirklich Wichtige.
Hier ist die Eintrittswahrscheinlichkeit
mal Schadenshöhe. Ganz einfach gesagt
Was machen wir damit?
Identifizieren wir Vertrauen?
Wir haben ein Risiko.
Geil. Unser Alkohol könnte geklaut
werden.
Es gibt auch noch andere Methoden,
die keinen Alkohol involvieren.
Analyse und da bewerten wir das
Ganze. Na, das ist das
Eintrittswahrscheinlichkeit Schadenshöhe.
Was macht man damit?
Toll. Was machen jetzt mein Lieblingsteil
und berichten als Ganzes auch ziemlich
lustig und im Rachen.
Da wird es bunt.
Ja, das wird dann tatsächlich
ein bisschen bunter.
Und dann fangen wir von vorne an.
Dann guck mal, was mein berichtet, was
man eigentlich?
Haben wir irgendwo was vergessen?
Und ganz ehrlich, da wird viel vergessen,
damit verloren.
Oh huch, wir haben da ein Risiko.
Ein Super, ihr habt ein Risiko.
Zeig mir das mal
das verschwunden aus dem System
verschwunden. Ja, er hat das Risiko
für Verrat von Rang an BH
verschwunden. Man kann also
bis heute nicht aufgetaucht haben.
Neues eingestellt.
Ha!
Ich habe nicht so viel Zeit deswegen
quantifiziert und qualifiziert
ist ein bisschen zählen müssen
liegen ja, sag ich jetzt, so viel Schaden
könnte entstehen, einfach nur her, oder
wie oft tritt das jetzt wahrscheinlich
auf?
Vertragsstrafen, Kosten für Maßnahmen,
ja, die ganzen Brötchen für die Fahrt.
Na, wenn die da anders
und das extra rechnen sie noch haben
und dann eben so was wie Oh, die mögen
uns nicht mehr. Ich meine es ziemlich
unwahrscheinlich, weil wir machen eine
Bank vorher, nachher.
Aber
deswegen kann der Papa
Gott.
Das hatten wir auch immer gesagt.
Kein Weiß ja, aber das beruht auf so
grässlich aussieht. Scheiße.
Ähm, also ist aber tatsächlich so,
weil die Wahrscheinlichkeit
extrem schnell vorbei ist.
Lügen Schaden.
Wie wahrscheinlich ist das ihm was
passiert? Ferner überlege ich mir, wo
steht ich da drin?
Und dann überlege ich mir, wie
wahrscheinlich was?
Was könnte denn passieren?
Und je nachdem welche Farbe ich hab,
mache ich dann was anderes.
Ja, grün ist nicht so schlimm,
gelb schon doof.
Dann sollte vielleicht auch der Vorstand
irgendwann bei Orange Bescheid wissen und
bei Rot. Oh oh, da muss man was tun.
Wie gesagt, ich habe auch schon gehört
nee, wir machen einfach nix, weil wir
haben kein Geld für Job.
Könnte machen, es ist dann halt kacke.
Ähm, genau
dann so was wie Hey,
die Aufsicht findet es scheiße, wenn wir
das nicht machen oder
die Leute mögen uns nicht mehr auf
ein Argument, gerade wenn Kunden dann
einfach liefern oder die Verluste
schreiben. Wir wissen nicht was wir tun.
Als ob er das sonst wüsste.
Aber hey, okay, wir wissen nicht
was wir tun und
dann kommt die richtige Behandlung.
Sie haben festgestellt, was haben wir von
Risiko? Grün, gelb, ein bisschen
orange. Das ist das, was Augenkrebs
verursacht. Es ist neben dem Roten das
auch Augenkrebs haben.
Ich finde ihn großartig.
Na, per Anhalter durch die Galaxis?
Ja, gut.
Hmm.
Und wenn ihr das gelesen habt, einen Film
gesehen habe, wisst ihr, dass es ein ganz
ganz nettes Kerlchen es
mag. Bürokratie Markt Regeln
ist nicht stur.
Und ich habe das Gefühl,
so werde ich gesehen von so einer Bank B
Und meine Kolleginnen und Kollegen
manchmal auch, weil gerade
wenn es um Risiko Verhandlungen geht.
So ne das müsst ihr jetzt aber
reinschreiben, ihr müsst das dokumentieren
und so das es auch Leute verstehen.
Ja ich habe manchmal
echt so Erklärungen wo drinsteht ja
wir machen Pizza oder wir machen was.
Aber was hat das denn jetzt damit zu tun?
Können sie mir auch nicht erklären, aber
sie haben dann was gemacht.
Und deswegen was
kann man machen, kann das Risiko
vermeiden? Geile Idee
Wir haben Risiko und Informationen, wir
lassen es einfach.
Haha. Deswegen ist so Risikominimierung
ein bisschen schwierig, weil
Risikominimierung heißt, ich mache das
Risiko irgendwie weg und
dann mache ich auch kein Geschäft mehr,
weil dann habe ich
die Sache, die das Risiko auslöst.
Mache ich nicht mehr.
War blöd bei einer Bank.
Na ja, gut, vielleicht manchmal auch
nicht, aber im
Risiko vermeiden.
Wir könnten sagen, wir machen Maßnahmen
toll.
Wir machen irgendwas. Das Risiko.
Geringer wird es dann auch noch.
Das ist es meistens ziemlich vernünftig,
wenn ihr Sachen macht, die dann auch
darauf einwirken.
Also wenn ihr die Glasflasche dann
irgendwie pink macht. Meine denkbar pink
mag keiner anderen
von dem von dem Gin und dann supergeil
pink ist ja egal auf es Patriotin
drin.
Ja, dann ist halt die Maske nicht
wirklich geeignet Leute abzuschrecken.
Wir können es abgeben. Das ist das Thema
Versicherung. Das kommt gerade bei
Risiken die Bereiche relativ neu
jetzt auch auf.
Ich könnte also schauen Hey, ich habe
Risiko, vielleicht mit ein Versicherer
könnte auch machen versucht es mal
und dann akzeptieren.
Ja und das ist das Ziel und ich habe es
leider nicht geschafft.
Ich hätte so gern ein Fußten unbedingt
gucken lassen und das ist dann der Punkt,
wo es heißt Ja okay, wir nehmen das
Risiko toll machen, aber dann
brauche ich halt mehr Risiko, Akzeptanz,
ein Risiko, Übernahme.
Dann gibt's einen Zettel, da steht drauf
Hey, das ist Risiko, du weißt, was
passieren könnte.
Also nehme
ich, mache ich nix mehr.
Egal, super funktioniert
ja. Das Ding ist die meisten hat nicht
verstehen, dass sie das Risiko trotzdem
haben. Und das dritte, was passieren kann
und das ist das.
Ich habe kein Bild gefunden,
wahrscheinlich weil hier Shantanu voraus
hat, da der Papa clever frontal
total dummes Tierchen
glaubt. Wenn man sich die oder wenn wenn
man es nicht sieht, dann kann es einen
auch nicht sehen.
Und das Gefühl habe ich manchmal erst die
Banken dann und ich sage das
werde ich stellt sich so hin und sagt
Sehe ich nicht, sehe ich nicht, sehe ich
und denkt so Hey, die Prüfer sehen auch
nicht. Die Berater sind auch nicht geil.
Funktioniert nicht, kann ich sagen.
Egal was für flauschige Handtücher sind,
funktioniert nicht.
Was kommt danach?
Kann man jetzt wissen.
Meine Informationen sind schützenswert,
was mache ich damit?
Wir wissen, es bleibt immer Risiko übrig.
Wie behandele ich das?
Was kommt dann? Adressaten gerichtet
Reporting Reporting heißt auch, es ist
meistens bunt.
Es ist, was dann passiert
und wir haben noch kein laufen lassen.
Ja, wir haben die Sicherheitsmaßnahmen
validiert. Wir haben elf tausend
neue Risiken identifiziert.
Davon sind neun tausend neun hundert
Gründen geil.
Das schreiben wir gleich mal im Bericht
an Vorstand.
Ja, der freut sich, wenn er ganz viele
Zahlen liest, die einfach so rumfliegen.
Ha! Ja.
Dann weiter bis an dem Moment war da das
nicht wie vorher war, also gleich das
Reporting, heißt
es jeder sieht, wie schlimm es ist, umso
schlimmer es ist. Wahrscheinlich müssen
umso mehr Leute, die umso wichtiger sind,
ja Bescheid wissen.
Und dann sollten die auch wissen was war
denn vorher? Wo kommt das her?
Was ist danach?
Was macht man dagegen, wenn ihr den
einfach nur elftausend Risiken
offensichtlich sagen?
Geh noch mal, mach noch mal!
Ja, und dann bleibt das Wochenende dafür
da, weil
was sagt mir das denn jetzt?
Abgesehen davon, dass wahrscheinlich ein
Problem mit der Einstellung von einem
System das kann,
aber rationales Risiko.
Was machen übrigens die Richtigen?
Was macht eine Bank mit den ganzen
Risiken?
Eine Bank hat ein Risiko operationelle
das Risiko. Das ist dann alles alles.
Alles andere sind rumfliegt.
A und kann dann sagen Hey,
wir machen Szenarien, was könnte
passieren?
Da sollten die Atreus gar nicht rein.
Ich sage eigentlich, weil ja
sind veraltet.
Denn vergessen Sie nicht, investiert
ist eine Lieblingswort der Experten
schätzen.
Ja, die genauen
Funktionen auch.
Hallo Implementierung.
Geil.
Ja, das ist so.
dieses. Dieses.
Frage. Wo man denkt.
Du hast. Der. Wurde. Scheisse gebaut.
Man. Links und rechts.
Kommst du jetzt einfach vorbeifahren?
Ja, wir haben Sicherheitskonzepte
geschrieben. Zum Beispiel hier
und jetzt haben wir ein Sicherheitskonzept
für die Anwendung.
Aber das brauche ich nicht machen in der
Anwendung, weil macht ja auch
die das Demokratiepaket, der Server
oder so drunter und in dem
Technology Paket oder den Server sie
den die Frage und dann heißt es ja,
aber das war, das ist ja keine
Anwendung, da muss die Frage doch gar
nicht beantworten.
Das hat sowieso
oder man es kennt nur einen
Unterschied, Unterschied, Anwendung
und die darunterliegende Technik
auch manchmal schwierig, weil dann sagt
man nur Hey, was das für Anwendungen
alle vergessen, die was alles drunter
legt. Na was noch alles dranhängt.
Ganz oft erstellt von
Dokumenten, Sicherheitskonzepte.
Da steht nur, dass wir sie erstellen
müssen. Ja, das heißt aber nicht,
dass wir damit arbeiten, oder da.
Ach ja, tatsächlich.
Ja, ähm.
Das heißt tatsächlich, dass sie so
schreiben muss, dass da auch Sinn drin
steht, dass man die verstehen kann,
dass da drin steht Wir halten die
Anforderung ein, und zwar so und so, und
wir hatten sie nicht. Wir haben da das
Risiko passiert auch.
Ja, das ist ja gut.
Das heißt, wir müssen 500 Stück von den
Dingern erstellen.
Mach ma ja 500 mal die
gleiche exe Datei, nur den Namen
geändert.
Völkischem also nur stellen
zeigt dann auch, dass es auch tun.
Zeitplan Zeitplan.
Ich bin auch gut im Zeitplan. Offensichtlich.
Ähm.
Na, es heißt Hey,
liefert uns das mal ein.
Das muss aktualisiert werden, also
liefert uns die aktualisierte Version.
Okay, mach mal so drei
Monate bevor es irgendwie passieren
sollte und bevor das ganze zugemacht
wird.
3 Monate später. So hey, immer noch
nichts. Wir kratzen schon so an den
Türen.
Wieso? Wo ist es?
Und so eine Woche bevor der Cut off ist.
Ja, da hat ihr was.
Ja, wir sind immer noch veralteter.
Der Shantanu Ausfall it Schaden bei Bank
B Die IT fällt aus einem Standort,
die Software wird aus 130
Euro Ausfall schaden, der entsteht.
Ich habe mich gefragt Was sind das für
Brötchen? Was serviert dir was?
Was passiert da, dass die 130 Euro
Schaden haben?
Nein, es die ganze Zeit am Standort aus.
Hm.
Ja.
Ähm.
Was ist denn so? Der Zeitplan?
Haben gesagt Nee, aber wir haben jetzt in
der Woche vor Weihnachten keine Zeit
mehr. Was sagt für Sie sind hier seit
ein paar Monaten.
Jetzt haben wir keine Zeit. Ich gehe da
mal und in die Ferien.
Ja nicht durch die Tür gekommen.
Passiert auch.
Ja, also das sind so ganz, ganz viele
kleine Sachen und
es macht manchmal echt ein Heidenspaß, wo
die kleinen Fehler dann doch zu finden,
weil sie denken sie ganz normal ist.
Die denkt immer so,
sie können uns irgendwie austricksen
und ich finde es trotzdem, weil es
einfach ganz viel Logik ist und ähm
ja, ich komme zum Ende,
sonst erkläre ich euch noch zig
Beispiele, was irgendwie so passieren
könnte. Alles und es ist alles ganz
schrecklich.
Ähm, aber
damit dann auch die Karten hier gleich
ganz wild nicht mehr hochgehalten
werden. Wer ich jetzt durch
Fragen.
Also das macht mal, mach mal hier genau
erst einmal einen herzlichen Applaus.
Vielen Dank für diesen spannenden
Vortrag. Wir haben jetzt noch ein wenig
Zeit für Fragen und ich sehe dort schon
einen ersten Fragesteller ähnliche
Fragen.
Ja, erstmal herzlichen Dank für diesen
wichtigen Talk, auch wenn er immer auf
den Brötchen rum gereihte besteht.
Die Praxis hat bei mir auch gezeigt, dass
es manchmal voll gut ist, wenn wenigstens
ein paar Brötchen und man einmal dieses
Desaster Recovery Plan durchgespielt
hat, weil es ja auch bestimmt genug
Firmen gibt, die mal was auf dem Papier
geschrieben haben, was dann eben leider
nie getestet wurde.
Darum gibt es dort auch Geschichten.
Aus der Erfahrung wurde Satz hätte man
mal ein Brötchen bestellt.
Nur zur Ehrenrettung aller Brötchen
dieser Konferenzräume hier in unserer
Szene
ist ja tatsächlich.
Also es gibt recht
häufig tatsächlich, ihr hättet
euch nicht Brötchen,
also hättet ihr euch nicht früher drum
kümmern können. Und denkt ihr mal nicht
weiter. Das ist so ein bisschen dieses
Sinnbild dafür.
Ganz, ganz viele Banken einfach sagen So
haben wir uns einige Gedanken gemacht und
dann machen sie es auf den letzten
Drücker und dann kann man weder er noch
sonst irgendwas tun.
Ja, ich saß auch schon um 23 Uhr
30 da und wollte was abmelden und dachte
mir so!
Jetzt hätte ich echt gern so ne Pizza,
aber vor allem manchmal auch toll, weil
ich nur Brötchen.
Aber ja, ja, tatsächlich
vergessen sie auch manchmal.
Aber hey, es ist nicht
überlebensnotwendig. Hauptsache der
Kaffee.
Hauptsache man hat Kaffee.
Eine Frage Gibt es eine Frage
noch aus dem Internet?
Das Netz würde sicher gerne weitere
Details von deinen Kollegen erfahren,
aber es ist noch zu verpennt und hat
deswegen keine tollen Fragen.
Alles da geht es hier weiter aus einer
mit einer Frage aus dem Saal.
Ja, und zwar die Frage nach dem
finanziellen Risiko.
Die beispielhaft genannten 130
Euro.
Knapp vor knapp 20 Jahren gab es große
Angriffe auf Ebay, Amazon und andere.
Bill Clinton war noch Präsident, es gab
eine Katastrophen
Sitzung im Weißen Haus und die
Unternehmen hatten eben auch
argumentiert, dass sie wahnsinnig hohe
Umsatz Ausfälle hatten.
Die haben aber erst als Verlust praktisch
gemeldet aufgrund of Service Angriffe
und andere Leute meinten auch Amazon
macht aktuell mit jedem Dollar Umsatz.
Ich glaube zwei Cent Verlust.
Das heißt, wenn die Stunden keine
Verluste machen an die so viel gespart.
Die Argumentation ist nicht von mir,
deshalb die gesamte
Frage nach einer finanziellen
Schadenshöhe ist extrem
abhängig vom Standpunkt und die kann eben
komplett voneinander abweichen.
Und ja, was für eine
Lösung mag es da geben?
Dokumentation?
Ja, weil das Ding ist ja.
Man kann nur sagen, ich habe ein 130 Euro
Schaden, weil ich habe.
In dem Fall ist es, wenn man
sich jetzt überlegt, dieser Standort
fällt aus. Die Leute müssen entweder
woanders hin oder man kann es
geschäftlich machen.
Das kann keiner sagen.
Man weiß ja nicht, was kommt einem Tag
zum Geschäft, also wie viel Schaden habe
ich da? Aber das Ding ist ja, dass bei
solchen Sachen auch immer die
Dokumentation wichtig ist.
Tatsächlich ist es nachvollziehbar,
wenn jetzt geschrieben hätten Hey, wir
haben nur 130 Euro Schaden, weil
die Leute kommen von zu Hause aus
arbeiten. Wir fahren ja auch nicht
irgendwo hin oder wir haben sonst
was, dann wäre das eine ganz andere
Sache. Aber das schien mit der
Dokumentation und der Begründung,
die dazu kam, einfach so völlig
unrealistisch.
Und wenn dann halt irgendwie ein System
ausfällt, dass tatsächlich Gewinne
einfährt.
Wo? Wo ist dann die Argumentation zu
sagen Hey, ich habe 130 Euro zum
Beispiel.
Weiter mit der nächsten Frage hier am
Mikro
Was möchtest du denn dann gerne bei Band
C im nächsten Projekt sehen, wie
sie dann agieren sollte, gerade
im Hinblick auf die Ressourcen, die es so
gibt im Markt, um IT-Sicherheit besser
zu machen und den gestiegenen
Anforderungen, die die Banken bei
gleichen Personal das gleichen
Personal zurzeit abdecken
würden.
Ja, ich glaube bei Banken ist im
Moment ein ganz, ganz großes Problem da
ich sage mal so, die Schattenhaushalt
überhaupt gerade zu ziehen.
Ja, also da sind ganz viele
Insellösungen.
Und wenn es tatsächlich die Möglichkeit
gibt, irgendwo her, also Idealbild.
Diese ganzen Daten, Haushalt, tatsächlich
diese ganzen Anwendungen und alles, was
irgendwie so passiert, auf eine Basis zu
kriegen, das wäre so richtig toll.
Da wird dann Anschlussfrage stellen dazu.
Ausnahmsweise.
Ähm.
Aber dieses Problem nicht eigentlich noch
auch woanders, nämlich dass es ja nicht
nur ein Problem des Sicherheits
Managements in der Bank, sondern der
generellen Ressourcen Allokation
in Banken haben.
So ein bisschen Schweinezyklus ja gerade
auch mit
mit Ressourcen.
Zum einen mit Regularien und zwar dass es
geht. Da muss ganz viel los und
dann hat man immer so zu sparen, ist
wieder runter und wieder hoch oder
runter. Ja und man hat auch
dann eben die die Regelung, die da rein
müssen. Also es ist nicht nur
IT-Sicherheit. Tatsächlich ja,
also gerade Daten ist ja nicht nur die
Sicherheit, sondern auch noch mehr.
Ähm, muss ich halt
anfangen. Ja und dann ist IT-Sicherheit
glaube ich ein Punkt, wo man anfangen
kann.
Alle Fragen, alle Klarheiten beseitigt
offensichtlich.
Liebe Julia, vielen herzlichen Dank
für diesen ganz tollen Vortrag.
Ich werde jetzt für immer Assoziation mit
Rinks haben, wenn ich mit
Informationssicherheit denke.
Das ist großartig.
Einen herzlichen Applaus noch mal!
Die.