Übersicht

Die ISACA hat die neue Audit Guideline G37 “Configuration Management Process” veröffentlicht. Außerdem ist die neue Guideline IT Organisation als Diskussionsentwurf veröffentlicht. Kommentare können noch bis Mitte Oktober eingereicht werden.

Auf der Webseite der Computer Zeitung gibt es eine neue Rubrik “IT im Recht”. Hier sind Artikel aber auch Links und Downloads zu finden.

Der Bitkom hat den Leitfaden E-Mail und Internet im Unternehmen um aktuelle Entwicklungen in der Rechtsprechung und Gesetzgebung (TMG) ergänzt. Download beim BITKOM.

Die Secorvo Security Consulting GmbH hat eine Checkliste (pdf 77 kb) zur Forensik veröffentlicht.

Die ISACA hat zwei neue Entwürfe für IS Auditing Standards veröffentlicht und zwar: E-commerce und IT Controls. Außerdem gibt es Entwürfe der Überarbeitung von den folgenden Guidelines: G1 Using the Work of Other Experts, G2 Audit Evidence Requirement, G3 Use of Computer Assisted Audit Techniques (CAATs), G4 Outsourcing of IS Activities to Other Organisations, G5 Audit Charter. Auf deutsch sind jetzt folgende allgemeine Standards verfügbar: S12 Konzepte der Wesentlichkeit (Materiality) bei Prüfungen, S13 Hinzuziehung anderer Experten, S14 Prüfungsnachweise.

Die ISACA hat die zweite Ausgabe des COBIT Focus Newsletter veröffentlicht. Der Newsletter berichtet unter anderem über Fortbildung zu COBIT, COBIT-Aktivitäten aus einzelnen Chaptern sowie über COBIT-Conventions.

Durch eine Einstellung in der notes.ini kann der Notes-Client dazu gebracht werden bei einer Passwortänderung das neue Passwort im Klartext zu protokollieren, siehe diese ausführliche Meldung bei heise Security. Ein Angreifer benötigt dann aber immer noch die die Notes-ID-Datei des Benutzers. Da aus der ID-Datei das Passwort aber sowieso mittels Brute-Force (siehe ID Passwort Recovery) ermittelt werden kann ändert sich an der Bedrohungslage nicht wirklich viel.

Zweiter Teil des Artikels zur Sicherheitsarchitektur von Windows Vista bei Heise security. Dieser teil geht genauer auf die “Integrity Level” ein.

Nach einer Meldung bei Heise security hat NGSSoftware Informationen zu Sicherheitslücken in SAP veröffentlicht. Über die Schwachstellen könnten Angreifer die Kontrolle über Server und/oder Clients erhalten. NGSSoftware berichtet (englisch) über Lücken im SAP DB Webserver, SAP Message Server, Internet Communication Server, Enjoy SAP und SAP Internet Graphics Server.

Nach einem Gutachten des Unabhängigen Landeszentrums für Datenschutz Schleswig-Holstein (ULD) ist der Entwurf zu Vorratsdatenspeicherung, Telekommunikationsüberwachung und heimliche Ermittlungsmaßnahmen europarechts- und verfassungswidrig. Zur Pressemitteilung des ULD.

Viele Mitglieder des ISACA Germany Chapter werden sie schon erhalten haben: IT-Governance, das neue offizielle Organ des Chapters.
IT-Governance soll aktuelles Wissen für IT-Manager, Berater, Auditoren und Wissenschaftler bieten und erscheint zweimal jährlich beim
dpunkt.verlag.

Das Open Web Application Security Project (OWASP) hat die Aktualisierung der “Ten most critical web application security vulnerabilities” (pdf, englisch) veröffentlicht. An erster Stelle liegt cross site scripting (XSS).

Bei heise Security gibt es den ersten Teil eines Artikels zur Sicherheitsarchitektur von Windows Vista. Dieser Teil erklärt im wesentlichen die Discretionary Access Control List (DACL) und System Access Control List (SACL).