Security Management System SMS

摘要

The initial step for the protection of distributed systems and applications of a large enterprise consists in drawing up an application and network-specific security concept. This concept contains threat analyses and risk assessments. Finally security measures are defined with respect to their effectiveness and costs. The succuss of the measure is supported by a management decision which is required for each single application-specific case. In this way the management is not informed and asked about the security behaviour of a system (e. g. weaknesses, efficiency) when security incidents have occurred, but already at the stage of system specification. Security cannot simply be "procured" by the purchase of special equipment and systems. It ist rather necessary for each application-specific case to find an overall approach in connection with the formulation of a security concept. Security concepts comprise danger analyses, risk assessments and specifications of the security and safety measures to be taken, both from the technical and organizational points of view. Each security concept must be backed by a management decision prior to ist realization because of the significant costs involved. The great number of applications necessitates the creation of numerous security concepts. This situation calls also for a uniform security strategy in the Telekom enterprise. Within the scope of its security concept, universal basic components are provided which will enable Telekom as an enterprise to formulate the safety of its systems according to its own requirements. Since these components do not have to be made by certain manufacturers, their universal, efficient and low-cost use is possible in all Telekom sectors. Thus, a Telekom-specific added value "security" with a positive influence on the competitiveness of Telekom's basis products will be created.%Die wachsende Verflechtung von Datenverarbeitung und Telekommunikation stellt das Unternehmen Telekom als einen der größten Betreiber von verteilten Systemen und Anwendungen vor eine Vielzahl neuartiger Sicherheitsprobleme. Klassische Sicherheitsverfahren, wie Paßwort-Zugang oder herstellerspezifische Lösungen helfen dabei jedoch nur wenig. Geeignete neue Sicherheitsmechanismen werden dem Markt voraussichtlich erst in einigen Jahren zur Verfügung stehen. Der erste Teil des Beitrages erläutert die Methodik bei der Erstellung eines Sicherheitskonzeptes und seine wesentlichen Kernelemente. Hierzu gehören auch der Datenschutz und die Qualitätssicherung. Die Umsetzung von Sicherheitsvorgaben läßt sich durch die im Rahmen des Siko Telekom entwickelten universellen Sicherheits-Basiskomponenten effizient und kostengünstig gestalten. Diese Komponenten schaffen zudem einen Telekom-spezifischen Mehrwert und erhöhen damit die Wettbewerbsfähigkeit der Telekom-Basisprodukte. In einem weiteren Beitragsteil werden die Sicherheits-Basiskomponenten des Siko Telekom erläutert. Für den Bereich des Keymanagement sind dies die Chipkarte, das PCMCIA-Sicherheitsmodul und das Telekom Trustcenter. Als Zugangskontrollsysteme sind die sog. STE (Security Terminal Equipment) und die SBase vorgesehen. Schwerpunkt des Beitrages ist jedoch die Beschreibung eines Management Systems zur Verwaltung der Zugangskontrollsysteme STE und SBase. Dieses Security Management System (SMS) beinhaltet u.a. neue Lösungsansätze für eine betriebsneutrale („Third Party Auditing"), aber datenschutzgerechte Zugangskontrolle.