IT-Security Status Evaluation

Im Rahmen dieser Arbeit wird ein Modell entwickelt, das den IT-Sicherheitsstatus eines Systems bewertet. Dabei werden Sicherheitskennzahlen basierend auf ISO-Standards entwickelt. Im Verlauf der Arbeit wird ein Überblick über das ISO Messmodell und über die Balanced Scorecard gegeben und für die Durchführung der Bewertung entsprechend modelliert. Abschließend runden die prototypische Implementierung und dessen Test die Arbeit ab. Die Bewertung des IT-Sicherheitsstatus von Systemen ist ein wichtiger Punkt in einem Unternehmen. Daher investieren diese immer mehr in die Sicherheit, um den Schutz vor Angriffen durch Hacker oder durch Schadprogramme zu gewährleisten. Aus diesem Grund ist eine regelmäßige Durchführung von Sicherheitsanalysen und Sicherheitsbewertungen von großer Bedeutung. In diesem Zusammenhang ist für die Bewertung der Sicherheitslage eines Unternehmens ein Framework erforderlich, das auf Best Practices und auf Standards basiert. Besonders hervorzuheben ist in diesem Kontext die Definition von Sicherheitskennzahlen. In der vorliegenden Arbeit wird zunächst ein Überblick über das Information Security Management System und über den Plan-Do-Act-Check Zyklus gegeben. Des Weiteren werden die Security Metrics und die Balanced Scorecard detailliert beschrieben. Die Zielsetzung dieser Arbeit ist es, mit Hilfe der definierten Sicherheitskennzahlen, den IT-Sicherheitsstatus eines Unternehmens zu messen und zu bewerten. Anhand von Sicherheitskennzahlen wird der Status der IT-Sicherheit im Unternehmen ermittelt. In dieser Arbeit werden Kennzahlen entwickelt, um die Zugriffskontrolle und die Sucheingaben im System zu bewerten. Dazu wird ein Plugin entwickelt und implementiert, das die Sicherheitsbewertung eines Systems automatisch durchführt. Dabei werden alle Login-Daten und Sucheingaben in einem bestimmten Zeitraum analysiert und bewertet. Um die IT-Sicherheitsbewertung durchführen zu können, ist auch ein Indikator erforderlich. Dieser wird vom Unternehmen bestimmt. Anhand der Bewertungsergebnisse wird ein Überblick über den IT-Sicherheitsstatus des Systems gegeben. Aufgrund dieser Ergebnisse kann das Unternehmen entscheiden, welche Maßnahmen bezüglich der Sicherheit im System getroffen werden müssen. Außerdem kann das Unternehmen detaillierte Informationen über Benutzernamen, Zeitpunkt und IP-Adresse aufrufen. Im Rahmen dieser Arbeit wird die Modellentwicklung, die Prototyp-Implementierung und die Testdurchführung ausführlich erklärt. Abschließend werden die Testergebnisse diskutiert.As part of this work, a model has been developed that evaluates the IT security status of a system. Security metrics are developed based on ISO standards. In the course of this work, an overview of the ISO measurement model and of the balanced scorecard is given and modeled accordingly for the performance of the evaluation. Finally, the prototype implementation and its test complete the work. Evaluating the security status of systems is an important issue in organizations. As a result, organizations are investing more and more in security to protect themselves against attacks by hackers or malware. For this reason, regular security analyses and security evaluations are important. In this context, assessing a company's security level requires a framework based on best practices and on standards. In this context the definition of security metrics is particularly highlighted. In the present work, an overview of the Information Security Management System and the Plan-Do-Act-Check cycle is given. There will also be a detailed description of the Security Metrics and the Balanced Scorecard. The objective of this thesis is to measure and evaluate the IT security status of a company with the aid of the defined security key figures. Security metrics are used to determine the status of IT security in the enterprise. In this work, metrics are developed to assess access control and search input in the system. For this purpose, a plugin is developed and implemented, which carries out the safety assessment of a system automatically. All login data and search entries are analyzed and evaluated within a certain period of time. To perform the IT security assessment, an indicator is also required. This is determined by the company. The evaluation results provide an overview of the IT security status of the system. Based on these findings, the company can decide what security measures to take to improve the system. In addition, the company can call up detailed information about user name, time and IP address. In the context of this work the model development, the prototype implementation and the test execution are explained in detail. Finally, the test results are discussed