FISI-Projekt Festplatten\Datenverschlüsselung

[ST002]

Hallo zusammen!

Auch von mir meine Vorabversion des Projektantrags mit der Bitte um Bewertung und viele ordentliche Verbesserungsvorschläge. Ich bin für jede Hilfe dankbar, denn die in der Firma ist leider sehr knapp gehalten... Vielen Dank im Voraus!

Thema: Firmenweite Implementierung eines Festplatten- und Datenverschlüsselungstools

Projektbeschreibung (Kurzform):

1. Problembeschreibung ( Ist-Zustand )

Die XX GmbH ist ein ständig wachsendes mittelständiges IT Unternehmen und Rechenzentrum für xx. Auf Grund von Kundenanforderungen entschied sich die Firma im Jahre 2005 eine IT Grundschutzzertifizierung in Zusammenarbeit mit dem BSI (Bundesamt für Sicherheit in der Informationstechnologie) vorzunehmen.

Diese Zertifizierung soll nun mit einigen Erweiterungen abgeschlossen werden.

Auf Grund der Tatsache dass leider immer mehr vertrauliche und wichtige Daten das Firmennetzwerk auf ungesicherten Notebooks verlassen, kann ein Datendiebstahl derzeit nicht ausgeschlossen werden.

Auch bei einem eventuellen Einbruch in die Firma und einem damit verbundenen Diebstahl wären vertrauliche und wichtige Daten in Gefahr. Derzeit erfolgt noch keine Festplatten- und Datenverschlüsselung.

2. Ziel des Projektes ( Soll-Zustand )

Ein wichtiger Punkt in diesem Großprojekt besteht darin eine Qualifizierte Datensicherheit auf mobilen und stationären Clients zu gewährleisten. Daher soll eine getrennte, jedoch herstellergleiche Festplatten- und Dateiverschlüsselungsmöglichkeit eingesetzt werden. An allen Geräten soll noch vor dem eigentlichen Systemboot ein Passwort abgefragt werden, welches die Systemverschlüsselung aufhebt und somit den Zugriff auf die Daten erlaubt. Natürlich soll diese Funktion unumgänglich und absolut sicher sein.

Außerdem sollen alle verschlüsselten Geräte zentral über eine Managementconsole verwaltet werden. Weiter soll die Möglichkeit bestehen E-Mails verschlüsselt zu versenden, sowie Dateien, Programmunabhängig, verschlüsselt (z.b. via USB-Stick) an dritte zu übergeben.

Auf Anraten des BSI entschied wir uns in einem speziellen Zertifizierungsausschuss das Produkt "Sxxxbxxx" einzusetzen. Bei einem firmeninternen Auswahlverfahren konnten wir diese Software ebenfalls eindeutig Favorisieren.

3. Beschreibung des technischen Umfeldes

An technischem Umfeld für die Installation steht ein Windows 2003 Server zur Verfügung. Die Clients werden derzeit mit Windows XP betrieben. Weiter soll es zukünftig auch möglich sein Geräte mit dem Betriebssystem Windows Mobile zu schützen.

4. Projektphasen mit Zeitplanung in Stunden:

Planungsphase: - Ist-Analyse 4 Std.

- Soll-Konzept 4 Std.

Installationsphase:

- Installation und Konfiguration der Sxxxbxxx Software 3 Std.

1. Testphase mit realen Maschinen 3 Std.

- Aufsetzen eines virtuellen Servers und eines virtuellen Clients 6Std.

2. Testphase mit virtuellen Maschinen 4 Std.

Fehlerkorrektur 1-3 Std.

Dokumentation 10 Std.

Projektabnahme 1 Std.

Gesamt: 35-38 Std.

5. Darstellung der eigenen Leistung und gegebenenfalls Einordnung in das Gesamtprojekt:

Das Gesamtprojekt wird in Eigenleistung ausgearbeitet. Dies beinhaltet:

- Mitentscheidung an der Produktauswahl

- Installation der Software

- Konfiguration der Software

- Test und Fehlerbehebung

- Produktpräsentation

- Produkteinführung und Support

[Nikomania]

Moin,

Auf Anraten des BSI entschied wir uns in einem speziellen Zertifizierungsausschuss das Produkt "Sxxxbxxx" einzusetzen. Bei einem firmeninternen Auswahlverfahren konnten wir diese Software ebenfalls eindeutig Favorisieren.

Diesen Punkt würde ich definitiv rauslassen. In einem Projekt ist es wichtig, dass man sich im Laufe des Projektes für Dinge entscheidet, also gehört das nicht in den Antrag.

Gruß

Niko

[ST002]

Heißt also das ersichtbar sein muss das ich selbst die Entscheidung zur Auswahl der Software getroffen habe oder wie kann ich es besser umschreiben?

[charmanta]

das ganze Thema scheint mir so aus dem Bauch heraus ein wenig mager zu sein.

Aber mal der Reihe nach: mein Vorredner hat Recht: die Entscheidung MUSST DU treffen, und zwar begründet und möglichst auch unter kfm. Aspekten.

Die Zeitplanung MUSS in den mir bekannten IHK Bereichen EXAKT auf 35 Stunden kommen, nicht drüber ( und bei "meinen" IHKs auch nicht drunter. Wie die heilige Handgranate von Antiochia ... bis drei sollst Du zählen ).

Zur Einschätzung "Mager": ich habe das Thema nur überflogen, aber mein Eindruck ist, daß es "Out-Of-The-Box" Lösungen gibt, die man eigentlich nur grob vergleichen muss. Wenn ich mich hier täusche, dann versuch im Antrag die Komplexität Eurer Anforderung oder die besondere Tiefe zu betonen.

Aber vielleicht melden sich ja noch mehr Leute hierzu

[ST002]

Ok, hab die Zeiten etwas zusammengestaucht und kommen nun auf exakt 35 Stunden.

Könntest du "Out-Of-The-Box" näher definieren?

[charmanta]

Out-Of-The-Box: damit meine ich, daß bei Lektüre einer einzigen Zeitung a'la CT oder IX oder wass-auch-immer viele Produkte beworben werden, die sowas können.

Tante Google meldet bei einer Stichwortsuche alleine schon lustige 1.200.000 Treffer.

[ST002]

So, habe den beanstandeten Text mal ein wenig abgeändert. Was haltet Ihr davon:

2. Ziel des Projektes ( Soll-Zustand )

Ein wichtiger Punkt dieses Großprojekts besteht darin eine qualifizierte Datensicherheit auf mobilen und stationären Clients zu gewährleisten. Daher soll eine getrennte, jedoch herstellergleiche Festplatten- und Dateiverschlüsselungsmöglichkeit eingesetzt werden. An allen Geräten soll noch vor dem eigentlichen Systemboot ein Passwort abgefragt werden, welches die Systemverschlüsselung aufhebt und somit den Zugriff auf die Daten erlaubt. Natürlich soll diese Funktion unumgänglich und absolut sicher sein.

Außerdem sollen alle verschlüsselten Geräte zentral über einen Server verwaltet werden. Weiter soll die Möglichkeit bestehen E-Mails verschlüsselt zu versenden, sowie Dateien, Programmunabhängig, verschlüsselt (z.B. via USB-Stick) an dritte zu übergeben.

Weiter soll es zukünftig auch möglich sein Geräte mit dem Betriebssystem Windows Mobile zu schützen.

Nach einem mehrwöchigen Auswahlverfahren unter Zuhilfenahme ausgesuchter Kriterien konnte ich das Produkt Sxxxbxxx als eindeutigen Favoriten definieren. Es hatte deutliche Vorteile vor anderen getesteten Produkten. Unter Anderem steht in Sxxxbxxx ein spezielles serververwaltetes Administrationsinterface zur Verfügung über das sich alle Clients zentral ansteuern lassen. Weiter besteht die Möglichkeit eines erweiterten, deutschsprachigen First Level Supports durch ein einen speziell zertifizierten Vertriebspartner.

Was die Komplexibilität angeht fällt mir leider noch kein richtiger Ansatz ein...

[Thanks-and-Goodbye]

Nach einem mehrwöchigen Auswahlverfahren unter Zuhilfenahme ausgesuchter Kriterien konnte ich das Produkt Sxxxbxxx als eindeutigen Favoriten definieren.

Das herauszufinden wäre deine Aufgabe im Projekt gewesen. So wird das Projekt nur eine Installationsorgie.

[ST002]

Soll ich den Absatz denn wirklich komplett weglassen? Wie könnte ich es besser umschreiben Chief Wiggum?

[Thanks-and-Goodbye]

Deine Aufgabe ist es, die passende Lösung für die Aufgabe "HD Verschlüsselung" zu finden. Ob da nun Safeguard oder PGP Whole Disk Encryption oder sonstwas bei rauskommt, ist egal. Eine Vorgabe ist ja vielleicht ganz nett, verbaut dir aber jegliche Entscheidungsmöglichkeiten.