Managing security policies

Abstract

There are always news about worms, virus and hacker that made damage on IT systems. This results in the feeling that there are no mechanism to protect the digital infrastructure. This diploma thesis tries to figure out if security policies can help to make a protection against these threats.<br />Policies can be created in different ways with different methods. Two possible ways are chosen for a closer look. Formal Language and Guidelines and References are these two. To do the better support of the whole security circle the Guidelines and References were chosen for the major part of the thesis. After theoretical work on the different steps of the policies creation process, the theory is tested in a case study.<br />The result shows that the whole process needs much support from the management of the organisation and takes time. In some cases the internal knowledge of an organisation does not suffice for the whole process to be successful.<br />The Guidelines and References in this case the "IT Grundschutz Manual" is an auxiliary but not so easy way to create a policy and to get a secure system.<br />

In den Nachrichten hört man immer über Würmer, Viren und Hacker, die einem IT-System geschadet haben. Dies führt zu dem Gefühl das es keinen Mechanismus gibt um die digitale Infrasturktur zu schützen. Diese Diplomarbeit versucht zu eruieren ob es möglich ist mit Hilfe von Security Policies sich vor solchen Gefahren zu schützen.<br />Policies können mittels unterschiedlichster Methoden erstellt werden. Es wurden für die engere Begutachtung zwei davon ausgewählt. Formale Sprachen und Richtlinien und Referenzen sind diese zwei. Durch die bessere Unterstützung des gesamten Sicherheitsprozesses wurden die Richtlinien und Referenzen für die Case-Study ausgewählt. Nach einem theoretischen Überblick über die verschieden Schritte des Policy-Erstellungszyklus wurde die Theorie anhand einer Fallstudie evaluiert.<br />Das Resultat des ganzen Prozesses zeigt, dass es die Unterstützung durch das Management der Organisation und vor allen Zeit braucht um eine funktionierende Security Policy zu erstellen und erhalten. In machen Fällen reicht das interne Wissen der Organisation nicht für den gesamten Prozess.<br />Die Richtlinien und Referenzen in diesem Fall das "IT Grundschutzhandbuch" ist ein unterstützender aber nicht einfacher Weg eine Policy zu erstellen un ein sicheres System zu erhalten.