BIM startet durch – es stellt sich aber die Frage nach der Sicherheit

Artikel in BauRUNDSCHAU Januar 2018:

bauRUNDSCHAU_2018_01_BIM-digitalisierung_sicherheit_regulationen

Advertisements

100% «sicher» ist: Die Digitalisierung ist durchgestartet und etabliert sich. Aber ist diese technologisch 99% «sicher» genug?

100% «sicher» ist: Die Digitalisierung ist durchgestartet und etabliert sich. Aber ist diese technologisch 99% «sicher» genug?

Beitrag Gewerbeverband ksgv.ch

ksgv.ch – Gewerbeverband – Ausgabe Januar 2017 – Fridels_BLOG_F@R

100% «sicher» ist: BIM ist durchgestartet und etabliert sich. Aber ist BIM technologisch 99% «sicher» genug?

„100% «sicher» ist: BIM ist durchgestartet und etabliert sich. Aber ist BIM technologisch 99% «sicher» genug?“

Fridel Rickenbacher
Unternehmer, geschäftsführender Partner, VR, Fachgruppen-/Verbands-Aktivist und Partner, Akteur und Projektleiter bauen-digital.ch für die These «BIM ICT-Architektur- / Security- / Audit-Framework > Security minded building information modelling».

Die Industrie 4.0 und die entsprechende Digitalisierung der Planungs- und Bau-Prozesse mittels BIM fordert integrierte und robuste Prozesse als Rückgrat der “massive interconnected”, integrierten Schnittstellen und Collaboration.

Dies sollte auch auf Basis von resilient orchestrierten ICT-Systemen / sicherem Coding mit dem Fokus auf maximales, auditierbares «Security by design» mit dem Ziel der bestmöglichen Angriffs- und Betriebs-Sicherheit bei maximalen Datenschutz- / Privacy-Aspekten unterstützt werden.

Ein solches denkbares «Security minded» Modell dient auch als Sensibilisierung / Mindset zur maximalen Sicherheits-Orientierung und Auditierbarkeit in Systemarchitekturen mit allen Akteuren. Entsprechende Akteure Mensch – Prozesse – Technologie sind gemäss deren Stärken und Schwächen zu befähigen und passend einzusetzen.

Jedes digital unterstützte ist bekanntlich nur so gut wie das schwächste Glied in der «massive interconnected» Kette. Ein einzelnes Ketten-Glied oder Zahnrad im Getriebe kann bei Problemen entsprechende vitale Verfügbarkeitsdefizite zur Folge haben mit leicht vorstellbaren, kostspieligen Auswirkungen auf die digitalen Planungs- und Bau-Prozesse.

Im Zeitalter der totalen Vernetzung (“massive interconnection”) nimmt ebenfalls der Bereich “Sicherheit von verteilten Systemen” einen sehr grossen und mitunter auch business kritischen Stellenwert ein.

Hierbei sind auch übergreifende Verwaltungs-Parameter wie Zugang / Identität / Rechte / Privacy / Verschlüsselung/ Klassifizierung einzubeziehen.

Mittels einem möglichst trenderkennenden, gar vorausschauendem Monitoring- und Reporting-System kann die Resilienz eines solchen Gesamtsystem zusätzlich unterstützt und optimiert werden.

Der Anspruch von möglichst «Open Systems / Standards» und auch «Datenhoheit der Datensubjekte» verlangt nach ebenso möglichst offener (cross-connect, transparency) aber zugleich möglichst sicherer Datenbehandlung / Collaboration der Akteure (Mensch und Prozesse). Dies leider als nicht überall vereinbarer Widerspruch zwischen Offenheit und jedoch möglichst isolierten, geschlossenen Systemen bei möglichst maximalen Sicherheits-Stufen.

Hierzu sollen möglichst produkte- und methoden-neutrale Ansätze / Fragestellungen zu nachhaltigen Lösungen führen zugunsten von optimierter Angriffs- und Betriebs-Sicherheit.

Basierend auf gängige Industriestandards (Stand der Technik) wäre es anzustreben, dass jede Firmen- / Projekt-Grösse solche entsprechende “best practices” adaptierbaren kann.

Durch das Inventarisieren und Klassifizieren von Systemen / Schnittstellen und Daten können rasch und effizient erste Grundlagen und Schritte vollzogen und erreicht werden auf dem Weg zum Ziel der für BIM nötigen integrierten, sicheren Collaboration. Je nach Vernetzung des Gesamtsytems sind möglichst auch firmen-, system- und organisations-übergreifende Aspekte zu bewerten.

Durch ein solches prozessuales und technisches Register sind auch erste unterstützende Grundlagen und erste Tätigkeitsnachweise geschaffen für kommende Regulationen rund um den Datenschutz (z.B. CH-DSG, EU-DSGVO/GDPR, ePrivacy). Deren immer weitergehenden Anforderungen für Auskunftspflichten, Auskunftsperson, Beweispflicht, Meldungsprozess, Datenschtzfolgeabschätzung, Audit von übergeordneten Rechten von Daten-Subjekten bedürfen entsprechend einer umfassenden Beurteilung und Nachweis.

Eine nachhaltige ICT-System- und Methoden-Entwicklung sollte möglichst offen formuliert gestaltet und ausgerichtet werden im Sinne der sich laufend dynamisch weiterentwickelndem «Stand der Technik / state of the art technology» und Datenschutz-Anforderungen. Solche «offenen» Formulierungen sind schon länger zu beobachten, auch in Bereich von Vernehmlassungen zu Normen und Gesetzen oder Vertragsbestimmungen.

Im Zuge der sich rasant weiterentwickelnden Technologien rund um auch Artificial Intelligence / Künstliche Intelligenz (AI / KI) oder dem Teilbereich “Machine Learning (ML)” liegt es in Zukunft auf der Hand, dass entsprechende Cyberattacken, Staats-/Industrie-Spionage oder weitere Innovationen und Hypes solche fortwährenden, offen formulierte Orientierungen an «Stand der Technik / state of the art technology» unumgänglich und matchentscheidend machen.

Themengezielte Orientierungen an aktuelle “Stand der Technik” / “best practices” Adaptionen wie die britische PAS 1192-5:2015 (derzeit als Beispiel einer der wenigen Orientierungspunkte im Bereich des BIM-Maturity-Levels für diesen Teilaspekt ICT / Security) sind weitere Hilfsmittel und Orientierungspunkte auf dem Weg einer nachhaltigen, aber möglichst offenen Gesamtsystem-Entwicklung. Ebenfalls unumgängliche Anlehnungen an Datenschutz Regulationen in der Schweiz und Europa zu Aspekten wie z.B. Datenschutz CH-DSG, EU-DSGVO / GDPR, e-Privacy, Elektronische Identität CH-e-ID, elektronische Identifizierung EU-eIDAS sind sehr relevant.

Eine entsprechend intelligent orchestrierte, vollintegrierte ICT-Gesamtarchitektur / Framework mit Maximierung von Angriffs- und Betriebs-Sicherheit wird zu einer mittragenden Säule in diesem Anwendungsfall für die interdisziplinäre Erreichung des möglichst höchsten BIM-Maturity Levels. Branchen- oder themenspezifische Audits oder gar Zertifizierungen dienen hierbei als weitergehende Qualitätsmerkmale und Differenzierungs-Elemente im dynamischen Marktumfeld.

100% sicher ist ebenfalls: Es gibt keine 100% Sicherheit – für nichts und niemanden.

Die Krux von BIM bzw. Digitalisierung: Neue Geschäftsmodelle im Digitalisierung Zeitalter mit zunehmendem Fokus auf «data monetization» und “business model maturity” basieren zunehmend jedoch zu 100% auf integrierte Akteure, Prozesse, Daten und Systeme und deren sicherzustellenden Verfügbarkeiten.

 

swissICT – swiss IT Magazine – Digitalisierung und Automatisierung sind keine Schreckgespenster

Publizierter Artikel bei swissICT / Swiss IT Magazine im Rahmen der Digitalisierungs-Serie von swissICT Redaktions-Mitglied Fridel Rickenbacher.

„Digitalisierung und Automatisierung sind keine Schreckgespenster“ Susanne Ruoff, Konzernleiterin der Schweizerischen Post

Staatsnahe Betriebe sind im Zeitalter von Digitalisierung und Industrie 4.0 mit ganz spezifischen Interessensansprüchen konfrontiert. Susanne Ruoff, Konzernleiterin der Schweizerischen Post, sagt im Interview, wie sie die Herausforderungen in den neuen internationalen, digitalen Märkten meistern will. Fridel Rickenbacher hat nachgefragt und hatte da noch „ein paar Fragen“ 😉

ITM2017_12_SwissICT_Magazin-Digitalisierung-POST-CEO-Ruoff_Interview

 

CyberSecurity und Sicherheit ist eine gemeinsam geteilte Verantwortung – Security Awareness #7

CyberSecurity und Sicherheit ist eine gemeinsam geteilte Verantwortung 

Publizierter Artikel bei ksgv: ksgv.ch – Gewerbeverband – Ausgabe November 2017 – Fridels_BLOG_sh@re-to-evolve – CyberSecurity geteilte Verantwortung

Rund 90% der erfolgreichen und schädigenden  Hacker-Attacken bzw. CyberSecurity-Vorfällen basieren auf sogenannten Phishing-Mail-Angriffen oder Social Engineering (Clevere Manipulation der menschlichen Tendenz zum Vertrauen und dem darauf basierten (falschen) Verhalten).

Noch besorgniserregender ist der Fakt, dass die durchschnittliche Erkennungszeit eines solchen gezielten Angriffs mitunter mehrere Monate dauern kann. Die entsprechende, dadurch zusätzlich entstehende Gefahr des weiteren indirekten Schadens oder unerwünschten Nebeneffekten sind je nach Branche oder Ausmass gar existenzbedrohend.

Im Zuge der restriktiver werdenden Regulationen und Compliance-Anforderungen rund um z.B. Datenschutz-Gesetz DSG, Datenschutzgrundverordnung DSGVO / GDPR, Privacy Shield, FINMA können weitere Klagen oder Bussen erwachsen aus solchen erkannten oder unerkannten Gesamt-Sicherheits-Defiziten.

Obwohl die Digitalisierungs- und ICT-Strategie (und integriert die ICT-Sicherheit) – angelehnt an die Firmenstrategie – in der Verantwortung und letztlich auch Haftung der Führungs-Ebene steht, sollten auch die betroffenen Mitarbeiter beteiligt und sensibiliert / wachsam gemacht werden für den Umgang, Mithilfe und Massnahmen in der dynamischen Bedrohungslage.

Hierzu eignen sich – nebst technischen und organisatorischen Massnahmen – unterstützend auch stufengerecht verständliche Sensibilisierungs-Workshops mit aktuellen Beispielen, Visualisierungen und Erklärungen zur Anatomie von CyberSecurity-Attacken, bewusst wiederkehrende Newsletters oder E-Learning Modulen mit Tests.

Mittels Weisungen und speziell abgestimmten ICT-Sicherheits-Richtlinien – bei Bedarf als integrierter Bestandteil des Arbeitsvertrages – kann die angestrebt gemeinsam geteilte Verantwortung zur besseren Gesamt-Sicherheit unterstützt werden. Darin sollte auch geachtet werden auf den Schutz des Mitarbeiters durch z.B. klar verständliche Regeln und Abgrenzungen.

Die Mitarbeiter sollten dabei auch technisch unterstützt werden im gemeinsamen Kampf zugunsten des Datenschutzes und Kennwortsicherheit mittels integrierten Lösungen in Bereichen wie z.B. Daten-Verschlüsselung, Email-Verschlüsselung, Multi-Factor Authentication MFA, Information Rights Management IRM / Information Protection oder auch griffigen Kennwort-Richtlinien. Erst dann kann man von Datenschutz sprechen wenn auch effektiv die eigentliche Datensicherheit maximiert hat.

Je nach Branche / Funktion und damit allenfalls verbundener, erhöhter Sicherheits-Relevanz können auch bereits bei der Rekrutierung oder im Rahmen der Compliance und Regulation weitergehende Integritäts- oder Sensibilisierungs-Tests gemacht werden zur Erkennung und Beurteilung von firmen- oder projekt-relevanten Defiziten oder personenbezogenen Risiken.

Spezielles Augenmerk sollte auf die mobilen / externen Arbeitsplätze, Anwendungen und Geräte im z.B. Aussendienst, Niederlassungen oder HomeOffices gelegt werden mit geeigneten, proaktiven und monitored Services (z.B. vollautomatisierte, regelbasierte Verschlüsselung oder Datenklassifizierung) im Fokus einer integrierten Gesamt-Sicherheits-Lösung.

Zunehmend entstehen auch unterstützende Technologien auf Basis von künstlicher Intelligenz KI / artificial intelligence AI oder machine learning ML – dieses auch nötige „human-machine teaming“ (infolge bald erreichten Grenzen von „nur“ Technologie) eröffnet völlig neue Komplexitäts-Stufen und Sicherheits-Evolution im CyberSecurity-Bereich – aber leider auch auf Seite der Angreifer.

Die 100% Sicherheit wird es nie geben.
Jedoch kann die Technologie + die Prozesse + der Faktor Mensch (human-machine teaming) ein angemessenes Sicherheits-Schutz-Niveau von rund 99% in gemeinsamer Orchestrierung erreichen. Der restliche, nicht erreichbare Anteil ist und bleibt Bestandteil des (Rest)-Risiko-Managements.

+++

«Phishing Mail»
Unter dem Begriff Phishing versteht man Versuche, über gefälschte Webseiten, E-Mails oder Kurznachrichten an persönliche Daten eines Internet-Benutzers zu gelangen und damit Identitätsdiebstahl zu begehen. Ziel des Betrugs ist es, mit den erhaltenen Daten den entsprechenden Personen oder Firmen zu schaden. Es handelt sich dabei um eine Form des Social Engineering, bei dem die Gutgläubigkeit des Opfers ausgenutzt wird

«Social Engineering»
Clevere Manipulation der menschlichen Tendenz zum Vertrauen und dem darauf basierten (falschen) Verhalten). Beispiele: Telefonanrufe mit Vortäuschen und Erfragen von Kennwörtern / Bankkonten / sensitive Daten, Phishing Mail

“Multi-Factor Authentication”
Die Multi-Faktor-Authentifizierung (MFA) ist eine Methode der Computerzugriffskontrolle, bei der ein Benutzer nur dann Zugriff erhält, wenn mehrere Authentifizierungsmechanismen erfolgreich einem bestimmten Authentifizierungsmechanismus präsentiert werden – typischerweise mindestens zwei der folgenden Kategorien: Wissen (etwas, das sie kennen z.B. Kennwort) , Besitz (etwas, das sie haben z.B. Smartphone) und Inhärenz (etwas, das sie sind z.B. Emailidentität).

«CyberSecurity»
Cyber Security ist eine Sammlung von Richtlinien, Konzepten und Maßnahmen, um persönliche oder firmensensitive Daten zu schützen. „Cyber Security verbindet technische und organisatorische Aspekte, zum Beispiel Sicherheitssysteme, Prozessdefinitionen, Leitlinien oder Pflichtenhefte. Auch Schulungen zur Sensibilisierung von Mitarbeitern spielen eine wichtige Rolle.