Nach langer Auslese, Projektantrag 2008 - bitte kurzes Feedback

[DannyBoX]

Moin, Moin,

nach einem Gespräch mit meinem Ausbilder bin ich nunendlich auf folgendes Projekt gekommen. Es wäre klasse, wenn jemand ein kurzes Feedback gibt,

auch wenn das die 1000te Anfrage diesbezüglich ist.

Schonmal Danke

Projektbezeichnung:

Planung einer Verschlüsselungssoftware für Notebooks im Außeneinsatz

Kurze Projektbeschreibung:

Ist-Zustand:

„XY & Partner“ ist eine Kanzlei bestehend aus Wirtschaftsprüfern, Steuerberatern und Anwälten. Der Standort Hamburg umfasst mehr als 150 Clients, wobei die Hälfte der Clients Notebooks sind.

Die Notebooks werden den Mitarbeitern zur Arbeit beim Mandanten zur Verfügung gestellt und müssen vor Datendiebstahl geschützt werden.

Momentan wir dieses durch eine Verschlüsselungssoftware aus dem Hause CeInfosys gewährleistet.

Da eine Neuanschaffung der Server-Hardware und ein Update der Software anliegt, wird aufgrund aufwändiger Administration und Laufzeitproblemen auf den Clients über einen Anbieterwechsel nachgedacht.

Soll-Zustand:

Im Zuge meiner Projektarbeit erhielt ich den Auftrag, eine interne und zentrale Lösung für die Verschlüsselung von Notebooks zu finden, zu installieren und zu konfigurieren, zu testen und gegebenenfalls zu warten.

Die Laufzeit der Notebooks soll deutlich verbessert werden, die Administration soll vereinfacht bzw. standardisiert werden und die Ausfallszeit bei verloren gegangenen Token verkürzt werden. Hierbei sind mehrere Alternativen zu vergleichen und eine Kosten-Nutzen-Analyse zu erstellen.

Verschiedene Produkte werden in Vergleich gegenüber der alten Lösung gestellt.

Das Projekt wird firmenintern durchgeführt.

Durchführungszeitraum: XX.XX.XXXX XX.XX.XXXX

Zeitplanung:

Planungsphase

- Problembeschreibung 1h

- Erstellen einer Ist-Analyse 1h

- Erstellen eines Soll-Konzeptes 1h

- Evaluierung der Hard-/Software 1h

- Mögliche Lösungen recherchieren 2h

- Kosten-Nutzen-Analyse 2h

- Finden und Bewertung einer Lösung 2h

Durchführung

- Beschaffung/Bestellung der Hard-/Software 1h

- Installation und Konfiguration der erforderlichen Komponenten 9 h

- Testlauf 4h

Abschluss

- Vergleich des IST- und Sollzustandes 1h

- Projektabnahme 1h

- Erstellen einer Dokumentation 9h

- Geplanter Zeitaufwand: 35h

[MartinSt]

Hallo Herr Kollege aus der Stb/WP-Ecke,

für meinen Geschmack gehts im Antrag etwas quer durcheinander :confused:

Also:

Du hast aufgrund der Branche und der sensiblen Daten eine hohe Sicherheitsanforderung; beschreibe die bitte näher und definiere die Anforderungen an die auszuwählende Software.

Frage an dich: Welche gesetzlichen / berufsspezifischen Anforderungen (Kammer, GoB usw.) gibt es hierzu ?

Durch die Verschlüsselungssoftware kannst Du (im gewissen Umfang) sicherstellen, dass bei Diebstahl oder Verlust die Daten der Notebooks für Fremde nicht lesbar sind, vor einem Diebstahl schützt die Softwarelösung nicht.

Du kannst vielleicht das Laufzeitverhalten der Notebooks durch eine geschickte Softwareauswahl positiv beeinflussen, aber nicht die Laufzeit. ;-)

Die geplante Stundenzahl zur Recherche, Evaluierung und Praxistest der in Frage kommenden Lösungen ist IMHO viel zu knapp.

Wie willst du überhaupt die Widerstandsfähigkeit der evaluierten Lösungen gegen eine Entschlüsselung testen und bewerten ?

Gruß Martin

[DannyBoX]

Hallo Herr Kollege aus der Stb/WP-Ecke,

für meinen Geschmack gehts im Antrag etwas quer durcheinander :confused:

Also:

Du hast aufgrund der Branche und der sensiblen Daten eine hohe Sicherheitsanforderung; beschreibe die bitte näher und definiere die Anforderungen an die auszuwählende Software.

Frage an dich: Welche gesetzlichen / berufsspezifischen Anforderungen (Kammer, GoB usw.) gibt es hierzu ?

Durch die Verschlüsselungssoftware kannst Du (im gewissen Umfang) sicherstellen, dass bei Diebstahl oder Verlust die Daten der Notebooks für Fremde nicht lesbar sind, vor einem Diebstahl schützt die Softwarelösung nicht.

Du kannst vielleicht das Laufzeitverhalten der Notebooks durch eine geschickte Softwareauswahl positiv beeinflussen, aber nicht die Laufzeit. ;-)

Die geplante Stundenzahl zur Recherche, Evaluierung und Praxistest der in Frage kommenden Lösungen ist IMHO viel zu knapp.

Wie willst du überhaupt die Widerstandsfähigkeit der evaluierten Lösungen gegen eine Entschlüsselung testen und bewerten ?

Gruß Martin

Moin Martin,

natürlich hast Du Recht bezüglich der Fromulierung "Laufzeit" und mit den berufspezifischen Anforderungen.

Ich habe den Antrag diesbezüglich überarbeitet.

Die Stundenanzahl zur Recherche und Evaluierung ist zu knapp, ich weiß,

hier ist aber generell das Problem mit der Stundenvorgabe und ich denke den Aufwand, den ich habe sprengt nicht die Anforderungen der IHK.

Das Testen und bewerten wird nicht durch einen Hack-Versuch oder Ähnliches stattfinden, sondern durch beurteilen der Verschlüsselungsalgorithmen und Art der Implementierung der Verschlüsselung.

Gruß

Dennis

[DannyBoX]

Projektbezeichnung:

Planung einer Verschlüsselungssoftware für Notebooks im Außeneinsatz

Kurze Projektbeschreibung:

Ist-Zustand:

„XY & Partner“ ist eine Kanzlei bestehend aus Wirtschaftsprüfern, Steuerberatern und Anwälten. Der Standort Hamburg umfasst mehr als 150 Clients, wobei die Hälfte der Clients Notebooks sind.

Die Notebooks werden den Mitarbeitern zur Arbeit beim Mandanten zur Verfügung gestellt und müssen im Falle eines Diebstahls vor Datendiebstahl geschützt werden.

Nach den Grundsätzen ordnungsmäßiger DV-gestützter Buchführungssysteme

(GoBS) müssen Daten vor Diebstahl geschützt werden.

Momentan wir dieses durch eine Verschlüsselungssoftware aus dem Hause CeInfosys gewährleistet.

Da eine Neuanschaffung der Server-Hardware und ein Update der Software anliegt, wird aufgrund aufwändiger Administration und Probleme des Laufzeitverhaltens auf den Clients über einen Anbieterwechsel nachgedacht.

Soll-Zustand:

Im Zuge meiner Projektarbeit erhielt ich den Auftrag, eine interne und zentrale Lösung für die Verschlüsselung von Notebooks zu finden, zu installieren und zu konfigurieren, zu testen und gegebenenfalls zu warten.

Die Software soll den Standard Artikel 5 des GoBS erfüllen.

Die Laufzeit der Notebooks soll deutlich verbessert werden, die Administration soll vereinfacht bzw. standardisiert werden und die Ausfallszeit bei verloren gegangenen Token verkürzt werden. Hierbei sind mehrere Alternativen zu vergleichen und eine Kosten-Nutzen-Analyse zu erstellen.

Verschiedene Produkte werden in Vergleich gegenüber der alten Lösung gestellt.

Das Projekt wird firmenintern durchgeführt.

Durchführungszeitraum: XX.XX.XXXX XX.XX.XXXX

Zeitplanung:

Planungsphase

- Problembeschreibung 1h

- Erstellen einer Ist-Analyse 1h

- Erstellen eines Soll-Konzeptes 1h

- Evaluierung der Hard-/Software 1h

- Mögliche Lösungen recherchieren 2h

- Kosten-Nutzen-Analyse 2h

- Finden und Bewertung einer Lösung 2h

Durchführung

- Beschaffung/Bestellung der Hard-/Software 1h

- Installation und Konfiguration der erforderlichen Komponenten 9 h

- Testlauf 4h

Abschluss

- Vergleich des IST- und Sollzustandes 1h

- Projektabnahme 1h

- Erstellen einer Dokumentation 9h

- Geplanter Zeitaufwand: 35h

[PCIe]

Die Zeitplanung ist genau wie diese:

überarbeitete Version:

...

Zeitplanung:

Planungsphase

- Problembeschreibung 1h

- Erstellen einer Ist-Analyse 1h

- Erstellen eines Soll-Konzeptes 1h

- Evaluierung der Hard-/Software 1h

- Mögliche Lösungen recherchieren 2,5h

- Kosten-Nutzen-Analyse 2h

- Finden und Bewertung einer Lösung 1h

Durchführung

- Beschaffung/Bestellung der Hard-/Software 1,5h

- Aufbau der gesamten Umgebung 1h

- Installation und Konfiguration der erforderlichen Komponenten 6h

- Umsetzung der optimalsten Lösung für dieses Projekt 5h

- Testlauf 4h

Abschluss

- Vergleich des IST- und Sollzustandes 1,5h

- Projektabnahme 0,5h

- Erstellen einer Dokumentation 6h

- Geplanter Zeitaufwand: 35h

...

[MartinSt]

Hallo Danny

nach wie vor habe ich mit dem Nachvollziehen deiner Zeitplanung große Schwierigkeiten.

Du kalkulierst 13 h (9h Installation/Konfiguration + 4h Testlauf) für die eigentliche praktische Prüfung der in Frage kommenden Softwarelösungen.

Wenn Du nur 3 mögliche Kandidaten hast, die du praktisch testest, bedeutet das, dass du pro Softwarelösung nur gut 3h für deren Installation, Test und Deinstallation/Herstellen des Ursprungszustandes hast - das scheint mir zu knapp.

Weiterhin mußt du damit rechnen, dass im Projektgespräch massiv Fragen zu Verschlüsselungsverfahren (Grundlagen/Stärken/Schwächen/Algorithmen) und zu den rechtlichen Anforderungen kommen.

Gruß Martin

[DannyBoX]

Moin Martin,

laufen soll es folgendermaßen, als Erstes wird eine Auswahl getroffen eines alternativen Produkts und dann exakt unter die Lupe genommen, ob es nun das alternative Produkt sein wird oder ob ein Update gemacht wird.

Die Auswahl ist schnell gemacht, ein paar Datenblätter durchlesen, grob die

Frunktionen überschauen. Die genaue Untersuchung folgt ja erst in dem Hauptteil.

Außerdem ist das Testen der Software nicht so zeitaufwendig. Ich mache mir Virtuelle Maschinen als Server und habe ein Testnotebook, welches durch ein Image auch wieder schnell jungfräulich gemacht wird, genau wie bei der vm einfach zum letzten Snapshot gewechselt wird.

Von daher sehe ich den Zeitaufwand als nicht so kritisch an.

Die Fragen zur PKI, Algorithmen etc... machen mir eigentlich keine Kopfschmerzen . . . es ist wie jedes Thema, man muss sich reinknien :-)