Richtlinie zur Nutzung des Remote Access Services

Transkript

1 Richtlinie zur Nutzung des Remote Access Services vom Als Bestandteil zum Antrag für den Remote Access, werden die Einsatzmöglichkeiten, die Richtlinien und Verantwortlichkeiten für die Zugriffe auf Daten, Applikationen und Server festgehalten. Die generellen Richtlinien werden ergänzt mit spezifischen Informationen für Kunden und Benutzer die einen SecurID Token zur Authentisierung nutzen oder via SMS authentisieren. Ein ausführliches FAQ ist ebenfalls enthalten. Einsatzmöglichkeiten Der Abraxas Remote Access Service kann folgendermassen eingesetzt werden. Zugriff auf Applikationen und Daten bei Abraxas aus Sicht Anwender. Zugriff auf Applikationen und Server, seitens Kunden, für Administrations- und Wartungsarbeiten. Zugriff auf Server durch Drittfirmen für Wartung und Betrieb. Generelle Richtlinie Abraxas übernimmt keine Garantie für die Verfügbarkeit des Zielsystems bzw. der Applikation, auf welche mittels des Abraxas Remote Access Services zugegriffen wird. Bei allfälligen Problemen, wie Datenverlust, Zugriffsunterbruch, Applikationsausfälle etc. durch Fehlmanipulation seitens Vertragspartner oder Drittfirma, lehnt Abraxas Informatik AG jegliche Haftung ab. Der Remote Zugriff darf nur durch den Daten- oder Systemeigener, welcher Kunde von Abraxas Informatik AG ist, beantragt werden. Der Kunde als Dateneigner bestätigt mit seiner Unterschrift auf dem Antragsformular, dass der Antragsteller bzw. eine von diesem beauftragte Drittfirma Support leisten darf, und somit auch Einsichtnahme in die Daten erhält. Der Vertragspartner sowie eine Drittfirma informiert den Daten- oder Systemeigener mit mindestens einem Arbeitstag Vorbereitungszeit über Änderungen, die am System durchgeführt werden sollen. Ist der Daten- oder Systemeigener die Abraxas Informatik AG behält sie sich vor, Änderungen abzulehnen oder den Termin zu verschieben. Der Kunde bestätigt mit seiner Unterschrift auf dem Antragsformular, dass er die Verantwortung für die Einhaltung allfällig geltender Datenschutzrichtlinien übernimmt. Der Kunde bestätigt mit der Unterschrift auf dem Antragsformular, dass ihm diese Richtlinien bekannt sind, er mit ihnen einverstanden ist und diese eingehalten werden. Zusatz für Kunden und Benutzer des Abraxas Remote Access Services im Kanton Zürich. Für Externe Mitarbeiter von Drittfirmen muss für Zugriffe auf die jeweilige Organisation (Standort B) eine unterzeichnete Geheimhaltevereinbarung in schriftlicher Form bei der Organisation (Standort B) hinterlegt sein. Kunden und die Benutzer nehmen zur Kenntnis, dass der Zugriff über den Abraxas Remote Access Service nur auf Daten von Abraxas betriebenen Applikationen erlaubt ist. Zugriff über den Abraxas Remote Access Service auf Abraxas fremde, im LEUnet eingebundene Services, unterstehen den Richtlinien Kantons Zürich und müssen durch die Betriebskoordination LEUnet bewilligt werden. Verantwortlichkeiten Die Verantwortung über den sachgemässen Einsatz des Abraxas Remote Access Service trägt der Daten- bzw. Systemeigner. Er muss diesen Antrag auch genehmigen (Verantwortlicher Standort B). Er garantiert die Einhaltung dieser Richtlinien bei Beizug von Dritten (Wartungsfirmen) und übernimmt die Haftung bei Missbrauch oder Fehlmanipulation.

2 Einhaltung der Sicherheitsrichtlinien Sicherheitsvorgaben und kantonale Gesetzte legen fest, dass der Zugriff zum Netzwerk ausschliesslich über gesicherte Übergänge erfolgen darf. Dazu ist es für Benutzer erforderlich nachzuweisen, dass Sie wirklich diejenige Person sind, als die Sie sich gegenüber dem System ausgeben. Der Abraxas Remote Access Service ermöglicht die Einhaltung der Sicherheitsvorgaben, da er die Methode einer starken Authentisierung unterstützt. Sorgfaltspflichten für Vertragsnehmer Abraxas hat mit Ihrer Organisation (Vertragsnehmer) einen Vertrag abgeschlossen. Sie prüft, dass die Auflagen der jeweiligen kantonalen und eidgenössischen Gesetze eingehalten werden. Nur vom Vertragsnehmer berechtigte Benutzer werden ausgerüstet. Er trifft Massnahmen gegen einen allfälligen Missbrauch und halten die Benutzer an die Sorgfaltspflichten einzuhalten. Mit der Bestellung der Dienstleistung anerkennt der Beauftragte des Vertragsnehmers automatisch diese Anforderungen. Zusätzliche Richtlinien für Systemadministratoren bezüglich Wartung von Applikationen und Servern mit dem Abraxas Remote Access Service Folgende Arbeiten dürfen nicht ohne Absprache mit dem zuständigen Daten- oder Systemeigener durchgeführt werden: Neustart oder Herunterfahren des Servers. Stoppen von Diensten, die zu Arbeitsunterbrüchen für die Benutzer führen könnten. Schliessen von Applikationen, die zu Arbeitsunterbrüchen für die Benutzer führen könnten. Installationen und Konfigurationen des Systems oder der Applikation. Änderungen von Konfigurationen, die von Abraxas Informatik AG vorgenommen wurden und den Richtlinien entsprechen. Weitere Informationen Auf der Website in der Rubrik Formulare sind weitere Informationen bezüglich der unterstützten Konfigurationen sowie Checklisten, Anleitungen und Formulare verfügbar. Wichtige Telefonnummern Abraxas Service Desk Tel: Abraxas Verkaufsinnendienst Tel: Richtlinie zur Nutzung des Remote Access Services Seite 2

3 Wichtige Begriffe und nützliche Informationen (FAQ) für Benutzer des Remote Access Services Starke Authentisierung auch zweistufige Authentisierung Die zur Anwendung kommende Methode basiert auf der Tatsache, dass ein Benutzer zur Identifikation zwei Faktoren nachweisen muss. 1. Benutzer müssen etwas wissen: Ihre Benutzerkennung und ein Passwort. 2. Benutzer müssen etwas besitzen im Moment in welchem sie zugreifen wollen: Dieser Faktor (der Tokencode) wird mittels eines Token Mediums geliefert. Bei Abraxas wird der Tokencode entweder durch den SecurID Token alle 60 Sekunden generiert oder bei Bedarf via SMS auf ein Mobiltelefon übermittelt. Nur wenn beide Faktoren erfüllt sind, wird der Zugriff gewährt. Token Medium Dieser Begriff bezeichnet ein Gerät das genutzt wird um einen benötigten Tokencode zu liefern. Bei Abraxas werden als Token Medium der SecurID Token sowie ein Mobiltelefon verwendet. Tokencode Ein Tokencode wird von einem Token Medium geliefert. User ID, Benutzername, Benutzerkennung oder Login? Die Begriffe werden verwendet um einen Benutzer zu bezeichnen. Abraxas verwendet durchgehend und einheitlich den Begriff Benutzerkennung. Auf dem Bestellformular können Benutzer ihre Benutzerkennung selber bestimmen. Abraxas behält sich jedoch das Recht auf Änderungen vor. Initialpasswort? Das Initialpasswort wird ihnen nach der Anmeldung zugestellt. Das Initialpasswort muss gleich geändert werden. Jeder Benutzer setzt sein Passwort selber. Bitte ändern sie das Initialpasswort möglichst schnell nach Erhalt der Zugangsdaten. Passwort, PIN (Personal Identification Number), Kennwort? Der Begriff bezeichnet ihr persönliches Passwort. Abraxas verwendet durchgehend und einheitlich den Begriff Passwort. Auch Kennwort. Mindestens 6 bis maximal 8 Stellen alphanumerische Zeichen (Zahlen und Buchstaben) verwenden. Keine Sonderzeichen. Passwort Aufbewahrung? Merken Sie sich ihr selber gesetztes Passwort auswendig. Sie sollten das Passwort nicht aufschreiben. Niemals das Passwort notieren. Passwort vergessen? Richtlinie zur Nutzung des Remote Access Services Seite 3

4 Informationen zur Nutzung des Remote Access Services und dem Einsatz des SecurID Tokens zur Authentisierung Der SecurID Token dient der zweistufigen Zugriffsauthentisierung. Der SecurID Token generiert alle 60 Sekunden einen Tokencode welcher benötigt wird um Benutzer stark zu authentisieren. Jeder SecurID Token hat eine begrenzte Laufzeit welche auf dem SecurID Token aufgedruckt ist. Sorgfaltspflichten für Benutzer Der Vertragsnehmer ist dafür besorgt, dass seine Benutzer die folgenden Sorgfaltspflichten kennen und einhalten. Der SecurID Token wird ausschliesslich für dienstliche Zwecke eingesetzt. Der SecurID Token wird sorgfältig (wie eine Kreditkarte) aufbewahrt. Der SecurID Token ist persönlich und nicht übertragbar und darf nicht an Dritte weitergegeben werden. Der Benutzer hält Benutzerkennung und Passwort geheim. Wichtige Begriffe und nützliche Informationen (FAQ) für Benutzer des Remote Access Services und dem Einsatz des SecurID Tokens zur Authentisierung SecurID Token abhanden gekommen? 1. SecurID Token sperren lassen! Kontaktieren Sie bitte unseren Service Desk Eine Reaktivierung (z.b. wenn nach der Sperrung der Token gefunden wird) ist aus Sicherheitsgründen nicht möglich. 2. Beim Abraxas-Verkaufsinnendienst mittels Bestellformular einen neuen SecurID Token bestellen (Bitte beachten: auch Nachbestellungen benötigen eine Originalunterschrift). Die Kosten für den Token und anfallende Umtriebskosten werden in Rechnung gestellt. SecurID Token funktioniert nicht? Kündigung/Stellenwechsel: Der SecurID Token wird nicht mehr benötigt. Der Service muss schriftlich gekündigt werden. Nutzen Sie dazu das entsprechende Formular und stellen sie es ausgefüllt dem Abraxas-Verkaufsinnendienst zu. Der SecurID Token kann wie eine Batterie entsorgt werden oder an Abraxas zur fachgerechten Entsorgung retourniert werden. Die Kündigung ist erst nach Erhalt des unterzeichneten Formulares unter Einhaltung der entsprechenden Mindestlaufzeit sowie der Kündigungsfrist gültig. Richtlinie zur Nutzung des Remote Access Services Seite 4

5 Informationen zur Nutzung des Remote Access Services und dem Einsatz des Tokencodes via SMS zur Authentisierung Der Tokencode via SMS dient der zweistufigen Zugriffsauthentisierung und ist ein On-Demand Code, der dem Benutzer dann wenn er benötigt wird, per SMS übermittelt wird. Sorgfaltspflichten für Benutzer Der Vertragsnehmer ist dafür besorgt, dass seine Benutzer die folgenden Sorgfaltspflichten kennen und einhalten. Der Benutzer hält Benutzerkennung und Passwort geheim. Ein allfälliger Verlust des SMS empfangenden Devices muss umgehend an Abraxas gemeldet werden. Die Einrichtung einer automatischen Anrufprogrammierung zur Generierung von SMS ist verboten (Fair Use Policy). Allfällige Kosten für die Beschaffung, den Betrieb des SMS empfangenden Devices oder für die Zustellung der SMS (z.b. ausserhalb der Schweiz) gehen zu Lasten des Benutzers. Wichtige Begriffe und nützliche Informationen (FAQ) für Benutzer des Remote Access Services und dem Einsatz des Tokencodes via SMS zur Authentisierung Mobiltelefon abhanden gekommen? 1. Die Mobiletelefonnummer für die Übermittlung des Tokencodes sperren lassen! Kontaktieren Sie bitte unseren Service Desk 2. Eine Reaktivierung (z.b. wenn nach der Sperrung das Telefon wieder gefunden wird) ist möglich. Kontaktieren Sie dazu bitte unseren Service Desk. Mobiltelefonnummer geändert? Melden Sie diese Mutation bitte unserem Verkaufsinnendienst. SMS Übermittlung des Tokencodes funktioniert nicht? Kündigung/Stellenwechsel: Der Remote Access Service wird nicht mehr benötigt. Der Service muss schriftlich gekündigt werden. Nutzen Sie dazu das entsprechende Formular und stellen sie es ausgefüllt dem Abraxas-Verkaufsinnendienst zu. Die Kündigung ist erst nach Erhalt des unterzeichneten Formulares unter Einhaltung der entsprechenden Mindestlaufzeit sowie der Kündigungsfrist gültig. Richtlinie zur Nutzung des Remote Access Services Seite 5