Data Loss Prevention & Outbound Security

Transkript

1 Data Loss Prevention & Outbound Security So stoppen Sie unerlaubte und unsichere Übertragungen Heiko Brenn, Senior Consultant, GROUP Technologies,

2 GROUP Technologies: Wir managen GROUP Technologies hat sich auf die Entwicklung prozess-orientierter, zentraler und wartungsfreundlicher -Management-Lösungen für die Plattformen Lotus Domino, Microsoft Exchange und SMTP Gateways spezialisiert und sich als Anbieter dieser Lösungen weltweit etabliert. Die Kernlösungen für -Sicherheit und -Archivierung decken sämtliche Bereiche der elektronischen Kommunikation ab. Karlsruhe 160 Mitarbeiter Über 16 Jahre Erfahrung als -Lösungsanbieter OEM Lieferant für: Sophos & Avira 2

3 Management - Once upon a time. 3

4 Management Herausforderungen Heute und Morgen 4

5 Data Loss Prevention Was ist das? Data Loss Prevention (DLP) ist ein einprägsamer Marketingbegriff aus dem Bereich der Informationssicherheit. Auch Data Leak / Leakage Prevention genannt ist DLP aus der Extrusion Prevention Technik hervorgegangen. Klassisch gesehen gehört DLP zu den Schutzmaßnahmen, die direkt den Schutz der Vertraulichkeit von Daten unterstützt und je nach Ausprägung direkt oder indirekt die Integrität und Zuordenbarkeit. Quelle: 5

6 DLP/ Outbound Security Wer darf mit wem s austauschen? Wer darf welche Informationen mit wem per kommunizieren? Wo finden per rechtsverbindliche Willenserklärungen statt? Welche sensiblen/unternehmenskritischen Informationen werden per kommuniziert? Wo ist ein Vier-Augen-Prinzip erforderlich? Welche Kommunikationskänale sollen/müssen verschlüsselt werden? Wer legt diese Regeln fest? Was soll bei Regelverletzungen geschehen? 6

7 DLP/ Outbound Security Absender/Empfänger Prüfung Virenprüfung Inhaltsprüfung Dateianhangsanalyse Digitale Signatur Automatische Pflichtangaben Archivierung Verschlüsselung 7

8 Absender/Empfänger Prüfung regelbasiert, zentral s an Mitbewerber s an Ebay, etc. s zwischen Investment Bereich und Merge & Akquisitions s von F+E an externe Empfänger s von externen Mitarbeitern im internen Netz -> Mail Header und SMTP-Header Analyse 8

9 Inhaltsprüfung regelbasiert, zentral Finanzdaten Preisinformationen und Lieferabsprachen Personenbezogenen Daten, z.b. Patienten- oder Personal Daten Handelsbriefe Rechtsradikale Inhalte Pornographische Inhalte -> Inhaltsanalyse in allen (vielen) Dateianhangstypen 9

10 Dateianhangsanalyse regelbasiert, zentral Konstruktionszeichnungen Pläne Rechnungen Bestellungen AGBs Preislisten Lizenzdateien Ausführbare Dateien Nicht lizensierte MP3s, AVIs, etc. -> Unbestechliche Fingerprints 10

11 Verschlüsselung/Digitale Signatur regelbasiert/zentral Mit welchen Kommunikationspartnern S/MIME PGP/GnuPG Empfängerunabhängige Verschlüsselung 11

12 Sichere Warum? = 12

13 Sichere Warum? Eine ist so sicher wie eine Postkarte Authentizität Ist die empfangene wirklich vom aufgeführten Absender? Integrität Wurde der Inhalt der unterwegs verändert? Vertraulichkeit Wurde die unterwegs von anderen gelesen? 13

14 Sichere Warum bisher nicht? Hemmschwellen für die Einführung von Verschlüsselung Gefahrenquelle End-Benutzer Komplexes Thema Hohe Infrastrukturanforderungen Hoher Einführungsaufwand Hoher Pflegeaufwand Hohe Kosten Henne-Ei Problem Kommunikationspartner müßen Verschlüsselung aktiv unterstützen Schlüsselaustausch muß durchgeführt werden Mangelndes Sicherheitsbewusstsein Fehlende Benutzerakzeptanz 14

15 Sichere Warum serverbasiert? 15

16 Sichere Warum nicht nur PGP und S/MIME? Verwendung von PGP/GnuPG oder S/MIME Sender und Empfänger müßen gleiche Sprache sprechen Sender und Empfänger brauchen Ver- / Entschüsselungsoftware Sender und Empfänger benötigen eigene Schlüssel/Zertfikate Öffentliche Schlüssel müßen ausgetauscht werden Bei clientbasierter Lösung Software Roll-Out auf Client Rechner Benutzerschulung Individuelle Schlüssel/Zertifikate iq.suite Crypt vereinfacht viele der genannten Punkte (z.b. automatischer Key Import) Aber: Problem der gleichen Sprache bleibt 16 16

17 iq.suite WebCrypt Einfach verschlüsseln Sichere und vertrauliche s ohne PGP, S/MIME oder PKI Keine zusätzliche Installation bei Kommunikationspartnern WebCrypt speichert keine s Ver-/Entschlüsselung auf WebCrypt-Server Nahtlose Integration mit iq.suite Crypt Zentrales Benutzermanagement Voraussetzungen auf Empfängerseite Mail-Account Web-Browser SSL-Verbindung mit WebCrypt-Server 17

18 Anwendungsszenarien Absender will/muß verschlüsseln, unabhängig von Empfänger Kommunikation sensibler, personenbezogener Daten Ad-Hoc Kommunikation mit wechselnden Empfängern Empfänger können/wollen sich nicht mit Verschlüsselung beschäftigen Reduktion teuerer Brief/Fax Kommunikation Klinik mit niedergelassenen Ärzten Kommunikation mit Rechtsanwaltskanzleien, Wirtschaftsprüfern Kommunikation mit Steuerberatern Kommunikation mit Forschungseinrichtungen Versand von Buchungsunterlagen, Rechnungen, Lizenzschüsseln 18

19 iq.suite WebCrypt Architektur Unternehmen Internes Netzwerk https DMZ Sender Server mit iq.suite Crypt iq.suite WebCrypt Server Internet smtp https Externer Empfänger - ohne Verschlüsselungslösung 19

20 iq.suite Crypt und iq.suite WebCrypt Unternehmen Internes Netzwerk DMZ Sender Server mit iq.suite Crypt iq.suite WebCrypt Server Internet Externer Empfänger - unverschlüsselt Externer Empfänger - mit Verschlüsselungslösung z.b. PGP, S/Mime Externer Empfänger - ohne Verschlüsselungslösung 20

21 Automatische Pflichtangaben Eine Pflichtangabe für alle Eine Pflichtangabe pro rechtlich eigenständiger Gesellschaft Zentral, regelbasiert gesteuert Logo Integration Zentrale Outlook Signatur Auf in TNEF Mails. 21

22 Die iq.suite Serverbasiert Exchange 2000/2003 Exchange 2007 Windows SMTP Server ISA Server Lotus Domino Modular Regelbasiert Active Directory LDIF NAB Zentrale Administration 22

23 Beispiel eines iq.suite Regelwerks 23

24 Beispiel eines iq.suite Regelwerks Benutzer Gruppen Kontakte Organisatorische Einheiten Query-based Groups Keine Änderungen im AD Nur lesender Zugriff 24

25 Die iq.suite Beispiel Infrastruktur Lotus Domino Internet MS Exchange SMTP XY Windows SMTP Server Windows SMTP Server Groupwise SMTP XY 25

26 Fazit Data Loss Prevention/ Outbound Security bedingt eine Kombination aus verschiedenen Schutzmechanismen Zentrale Steuerung ermöglicht einfache Administration Mit Assessment Datenquantität und qualität analysieren Gesetzliche Anforderungen berücksichtigen GROUP bietet die Gesamtlösung 27

27 Vielen Dank! GROUP Technologies Ottostraße 4 D Karlsruhe Tel.: +49 (0) Fax: +49 (0) info@group-technologies.com 28

28 Es gibt keine großen Entdeckungen und Fortschritte, solange es noch ein unglückliches Kind auf Erden gibt. (Albert Einstein)