Security für Data-Warehouse- und Business-Intelligence-Systeme

Konzepte, Vorgehen und Praxis

Herbert Stauffer

• Éditeur: dpunkt.verlag
• Année: 2018
• ISBN:
  9783960885979
• Sujet: Computer Science
• Sous-sujet: Data Warehousing

Mit zunehmender Bedeutung der systematischen Datenanalyse – Stichwörter sind hier Big Data, Cloud-basierte Analysen, Mobile BI und Data Science – steigen auch die Sicherheitsanforderungen für BI-Systeme kontinuierlich.Der Autor beschreibt in seinem Buch praxisorientiert und systematisch die Grundlagen der Security und deren spezifische Ausprägungen in DWH- und BI-Systemen und analytischen Applikationen. Das Buch gliedert sich in fünf Teile: - Behandlung von externen Bedrohungen- Berechtigungsstrukturen, Prozesse und Systeme - Sicherstellung des operativen Betriebs- Standards, Methoden und Normen- Hilfsmittel und ChecklistenDer Leser erfährt, welche Anforderungen an die Schutzwürdigkeit von Systemen gestellt werden, welche Schutzziele verfolgt werden müssen, auf welchen Ebenen Security berücksichtigt werden muss, welche Typen von Maßnahmen es gegen interne und externe Bedrohungen gibt und welche Datenschutz- bzw. regulatorischen Anforderungen zu beachten sind. Auch auf die organisatorische Einbettung wird eingegangen: welche Einheiten im Unternehmen in die Security-Strategie einzubeziehen sind und wie sich die Security-Prozesse in gegebene IT- und BI-Serviceprozesse einordnen. Direkt anwendbare Checklisten ermöglichen einen schnellen Transfer in die eigene berufliche Praxis.Der Anhang des Buches enthält eine Übersicht über Security-Tools und -Kategorien sowie einen Exkurs in verwandte Themen wie Privacy und Lizenzmanagement.

1Einleitung

Der englische Begriff Security fasst üblicherweise die Themen Datenschutz und Datensicherheit zusammen. Damit wird eine Zugriffsbeschränkung der Daten im Rahmen der Autorisierung und ein Verhindern von Hackerangriffen definiert. Des Weiteren werden Anforderungen abgeleitet, die eine Zerstörung der Daten verhindern sollen, sei es durch unvorhergesehene Ereignisse oder durch bewusste Sabotage, wiederum durch Hacker. Dies schließt auch eine Betrachtung der Applikationen, Systemarchitektur und Rechenzentrumsinfrastruktur mit ein.

Dieses Buch will all diesen Aspekten Rechnung tragen und behandelt Security aus drei Sichten:

• Behandlung von Bedrohungen durch kriminelle Aktivitäten
• Ordnungsmäßigkeit des Betriebs, insbesondere Strukturierung von Berechtigungen und Autorisierungsprozessen
• Sicherstellung des Betriebs

Das Buch orientiert sich sowohl an einer klassischen BI-Architektur – mit oder ohne zentralem Data Warehouse (DWH) – als auch an einer explorativen Architektur für Data-Science-Aufgaben mit einem Data Lake. Soweit notwendig und möglich werden spezifische Exkurse in Spezialthemen, wie Cloud BI oder Big Data Analytics, in Unterabschnitten berücksichtigt und vertieft.

Die meisten Fachbücher werden nicht von vorne bis hinten durchgelesen wie ein Roman. Vielmehr sind sie praktische Arbeitshilfsmittel. Nur einzelne Abschnitte werden vollständig gelesen. Andere Teile werden nur benötigt, um schnell etwas nachzuschlagen, beispielsweise Checklisten, Begriffs- oder Methodenerklärungen. Und natürlich gibt es auch Teile, die gar nicht gelesen werden.

Ähnlich wird es sich auch beim Gebrauch dieses Buches verhalten, wobei ich als Autor natürlich hoffe, dass die ungelesenen Teile recht gering sind.

1.1Aufbau des Buches

Um eine schnelle Nutzung des Buches zu ermöglichen, will ich zuerst die Hauptteile des Buches erklären, die nach der allgemeinen Einführung in das Buch in diesem und in Kapitel 2 folgen:

Teil I – Behandlung von externen Bedrohungen

In diesem Teil des Buches liegt der Fokus in der Abwehr von Hackerangriffen auf die eigenen Systeme, Daten und Infrastruktur. Es werden alle Aspekte zur Entdeckung und Abwehr von kriminellen Aktivitäten behandelt. Das einleitend beschriebene Referenzmodell führt Schritt für Schritt durch die verschiedenen Aktivitäten, beginnend mit der Bedrohungsmodellierung bis hin zur Risikobeurteilung und Behandlung. In Kapitel 3 wird das Modell erklärt und die einzelnen Schritte werden in den nachfolgenden Kapiteln jeweils vertieft.

Teil II – Berechtigungsstrukturen, Prozesse und Systeme

Im zweiten Hauptteil werden ab Kapitel 7 alle Aspekte der Autorisierung betrachtet. Zuerst werden die Anforderungen an Berechtigungsmodelle und unterschiedliche Implementierungsarten behandelt. Anschließend werden alle Prozesse zur Erteilung, Überprüfung und zum Entziehen von Rechten erklärt. Abschließend erfolgt noch eine Beschreibung der organisatorischen Verantwortlichkeiten und Herausforderungen bei komplexen Berechtigungsanforderungen.

Teil III – Sicherstellen des operativen Betriebs

Es nützt wenig, wenn wir zweckmäßige Berechtigungssysteme implementieren und unsere Systeme perfekt gegen jede Art von kriminellen Bedrohungen schützen, wenn der Server »abraucht«. Das bedeutet, dass wir uns auch Gedanken zur betrieblichen Sicherheit machen müssen, wozu auch Backup- und Restore- oder Disaster-Recovery-Konzepte gehören (siehe Kap. 10). Dazu muss zuerst die betriebliche Kritikalität des Systems bekannt sein. Das heißt, wir müssen wissen, welcher Schaden, abhängig von der Systemausfalldauer, entstehen kann.

Das Vorgehensmodell aus Teil I dieses Buches eignet sich zwar auch zur Erhebung und Implementierung der Verfügbarkeitsanforderungen, ähnlich wie verschiedene Normen und Standards im Sicherheitsbereich. Allerdings geht das Vorgehensmodell eher auf die Behandlung und das Verhindern von kriminellen Aktivitäten ein und weniger auf die Behandlung von operativen Risiken der eigenen Systemlandschaft, beispielsweise ISO 27000 ff. oder BSI¹. Deshalb habe ich mich entschlossen, einen weiteren Hauptteil einzufügen, rein aus der Sicht von IT-Operations und deren Anforderungen.

Teil IV – Standards, Methoden und Normen

Viele Unternehmen orientieren sich bereits ganz oder teilweise an der einen oder anderen Norm oder sind sogar danach zertifiziert. Weitere Firmen nutzen zumindest Teile von bestehenden Sicherheitsstandards, -methoden und -normen sowie Modelle für Business Intelligence und Data Warehousing. Bei der Beschreibung der verschiedenen Schritte des Vorgehensmodells aus Teil I wird regelmäßig auf die entsprechenden Normen referenziert. Dadurch bietet dieser Teil mit Kapitel 11 eine Orientierung über die bestehenden Normen in Form einer Kurzbeschreibung, wie sich diese für Data-Warehouse- oder Business-Intelligence-Systeme eignen.

Es ist nicht Ziel des Buches, komplett neue Konzepte zu erfinden und zu beschreiben, sondern die vorhandenen Konzepte möglichst zweckmäßig für analytische Systeme zu adaptieren und nur, wenn notwendig, durch neue Elemente zu ergänzen. Daher werden die wichtigsten Frameworks kurz beschrieben, sodass deren Grundkonzept ganzheitlich verstanden wird.

Teil V – Hilfsmittel und Checklisten

Dieser Teil enthält in Kapitel 12 eine Sammlung von Checklisten, Kurzbeschreibungen oder Arbeitsanweisungen. Er bietet somit einen Werkzeugkasten, aus dem Sie sich bedienen können.

Zusätzlich enthält dieser Teil auch Abschnitte zu Aspekten der Security, die in kein vorheriges Kapitel gepasst haben und mir trotzdem wichtig sind.

Durch die wachsenden und sich schnell verändernden Bedrohungssituationen ist es schwierig, abzuschätzen, wie sich das Thema Security verändern wird. Einige Trends sind in Kapitel 14 aufgeführt.

Anhang

Der Anhang dieses Buches enthält eine Beschreibung der wichtigsten Werkzeugkategorien und jeweils eine Auflistung verschiedener Tools sowie einen Exkurs in die verwandten Themen Privacy und Lizenzmanagement. Den Abschluss bilden ein Glossar, ein Literaturverzeichnis und eine Linkliste sowie ein Stichwortverzeichnis.

1.2Grundkonzept

Zweck eines Security-Konzepts ist es, alle fachlichen, technischen und organisatorischen Anforderungen aufzuzeigen und einzuordnen, Lösungsmöglichkeiten zu erklären und vorzuschlagen sowie geeignete Maßnahmen umzusetzen. Nicht Teil des hier vorgestellten Konzepts sind Konfigurationseinstellungen in einzelnen Technologien, wie beispielsweise Active Directory, oder Tools für Reporting und Analyse. Ziel dieses Buches ist es, Security-Aspekte aufzuzeigen, die während des Anforderungsmanagements, der Projektumsetzung und des IT-Betriebs relevant sind.

Das Buch enthält konkrete Lösungsvorschläge, Handlungsempfehlungen und Checklisten. Dadurch wird eine einfache und schnelle Umsetzung ermöglicht, ohne sich zuerst über Wochen oder Monate zum Security-Experten ausbilden lassen zu müssen. Trotz aller Tipps sollte frühzeitig mit der Berücksichtigung von Security-Aspekten in den Projekten begonnen werden, da besonders organisatorische Regelungen manchmal recht zeitraubende Abstimmungsprozesse nach sich ziehen. Idealerweise werden bereits alle Anforderungen auf Auswirkungen bezüglich Siche...