Data Loss Prevention & -Outbound Security

Transkript

1 Data Loss Prevention & -Outbound Security So stoppen Sie unerlaubte und unsichere -Übertragungen Markus Hornung, International Sales Manager, GROUP Business Software AG 1

2 GROUP Technologies: Wir managen GROUP Technologies hat sich auf die Entwicklung prozess-orientierter, zentraler und wartungsfreundlicher -Management-Lösungen für die Plattformen Lotus Domino, Microsoft Exchange und SMTP Gateways spezialisiert und sich als Anbieter dieser Lösungen weltweit etabliert. Die Kernlösungen für -Sicherheit und -Archivierung decken sämtliche Bereiche der elektronischen Kommunikation ab. Karlsruhe 175 Mitarbeiter Über 16 Jahre Erfahrung als -Lösungsanbieter OEM Lieferant für: Sophos & Avira 2

3 Management - Once upon a time. 3

4 Management Herausforderungen Heute und Morgen 4

5 Data Loss Prevention Was ist das? Data Loss Prevention (DLP) ist ein einprägsamer Marketingbegriff aus dem Bereich der Informationssicherheit. Auch Data Leak / Leakage Prevention genannt ist DLP aus der Extrusion Prevention Technik hervorgegangen. Klassisch gesehen gehört DLP zu den Schutzmaßnahmen, die direkt den Schutz der Vertraulichkeit von Daten unterstützt und je nach Ausprägung direkt oder indirekt die Integrität und Zuordenbarkeit. Quelle: 5

6 Data Leakage Prevention Wie wichtig ist das? Quelle: Proofpoint 6

7 DLP/ Outbound Security Wer darf mit wem s austauschen? Wer darf welche Informationen mit wem per kommunizieren? Wo finden per rechtsverbindliche Willenserklärungen statt? Welche sensiblen/unternehmenskritischen Informationen werden per kommuniziert? Wo ist ein Vier-Augen-Prinzip erforderlich? Welche Kommunikationskänale sollen/müssen verschlüsselt werden? Wer legt diese Regeln fest? Was soll bei Regelverletzungen geschehen? 7

8 DLP/ Outbound Security Absender/Empfänger Prüfung Virenprüfung Inhaltsprüfung Dateianhangsanalyse Digitale Signatur Automatische Pflichtangaben Archivierung Verschlüsselung 8

9 Absender/Empfänger Prüfung regelbasiert, zentral s an Mitbewerber s an Ebay, etc. s zwischen Investment Bereich und Merge & Akquisitions s von F+E an externe Empfänger s von externen Mitarbeitern im internen Netz -> Mail Header und SMTP-Header Analyse 9

10 Inhaltsprüfung regelbasiert, zentral Finanzdaten Preisinformationen und Lieferabsprachen Personenbezogenen Daten, z.b. Patienten- oder Personal Daten Handelsbriefe Rechtsradikale Inhalte Pornographische Inhalte -> Inhaltsanalyse in allen (vielen) Dateianhangstypen 10

11 Dateianhangsanalyse regelbasiert, zentral Konstruktionszeichnungen Pläne Rechnungen Bestellungen AGBs Preislisten Lizenzdateien Ausführbare Dateien Nicht lizenzierte MP3s, AVIs, etc. -> Unbestechliche Fingerprints 11

12 Verschlüsselung/Digitale Signatur regelbasiert/zentral Mit welchen Kommunikationspartnern S/MIME PGP/GnuPG Empfängerunabhängige Verschlüsselung 12

13 Sichere Warum? = 13

14 Sichere Warum? Eine ist so sicher wie eine Postkarte Authentizität Ist die empfangene wirklich vom aufgeführten Absender? Integrität Wurde der Inhalt der unterwegs verändert? Vertraulichkeit Wurde die unterwegs von anderen gelesen? 14

15 Sichere Warum bisher nicht? Hemmschwellen für die Einführung von Verschlüsselung Gefahrenquelle End-Benutzer Komplexes Thema Hohe Infrastrukturanforderungen Hoher Einführungsaufwand Hoher Pflegeaufwand Hohe Kosten Henne-Ei Problem Kommunikationspartner müssen Verschlüsselung aktiv unterstützen Schlüsselaustausch muß durchgeführt werden Mangelndes Sicherheitsbewusstsein Fehlende Benutzerakzeptanz 15

16 Gateway Verschlüsselung Warum? Gateway Verschlüsselung Clientbasierte Verschlüsselung Softwareverteilung auf Client-PCs Nein Ja Veränderung im Benutzerumfeld/Benutzerschulung Nein Ja Individuelle Schlüssel für jeden Benutzer Nein Ja Zentrales, serverbasiertes Schlüsselmanagement Ja Nein Parallel-Unterstützung für PGP/GnuPG und S/MIME Ja Nein Implementierungsaufwand gering hoch Benutzerakzeptanz hoch gering Serverbasierter Virenschutz funktioniert Ja Nein Integration in serverbasierte Archivierung Ja Nein Regelbasierte Verschlüsselung/Digitale Signatur auf Basis von Domänen, OUs, Gruppen und Benutzern Ja Nein Installation der Verschlüsselungssoftware nur -Server auf allen Clients Anzahl der Schlüssel/Zertifikate gering hoch Unterstützung von Vertreterregelungen Ja Nein Unterstützung der qualifizierten Signatur Nein Ja Verschlüsselung zwischen Client-PC und Mail-Server Nein Ja 16

17 Sichere Warum serverbasiert? 17

18 Sichere Warum nicht nur PGP und S/MIME? Verwendung von PGP/GnuPG oder S/MIME Sender und Empfänger müssen gleiche Sprache sprechen Sender und Empfänger brauchen Ver- / Entschüsselungsoftware Sender und Empfänger benötigen eigene Schlüssel/Zertfikate Öffentliche Schlüssel müssen ausgetauscht werden Bei clientbasierter Lösung Software Roll-Out auf Client Rechner Benutzerschulung Individuelle Schlüssel/Zertifikate iq.suite Crypt vereinfacht viele der genannten Punkte (z.b. automatischer Key Import) Aber: Problem der gleichen Sprache bleibt 18 18

19 iq.suite WebCrypt Einfach verschlüsseln Sichere und vertrauliche s ohne PGP, S/MIME oder PKI Keine zusätzliche Installation bei Kommunikationspartnern WebCrypt speichert keine s Ver-/Entschlüsselung auf WebCrypt-Server Nahtlose Integration mit iq.suite Crypt Zentrales Benutzermanagement Voraussetzungen auf Empfängerseite Mail-Account Web-Browser SSL-Verbindung mit WebCrypt-Server 19

20 Anwendungsszenarien Absender will/muß verschlüsseln, unabhängig von Empfänger Kommunikation sensibler, personenbezogener Daten Ad-Hoc Kommunikation mit wechselnden Empfängern Empfänger können/wollen sich nicht mit Verschlüsselung beschäftigen Reduktion teuerer Brief/Fax Kommunikation Klinik mit niedergelassenen Ärzten Kommunikation mit Rechtsanwaltskanzleien, Wirtschaftsprüfern Kommunikation mit Steuerberatern Kommunikation mit Forschungseinrichtungen Versand von Buchungsunterlagen, Rechnungen, Lizenzschüsseln 20

21 iq.suite WebCrypt Architektur Unternehmen Internes Netzwerk http s DMZ Sender Server mit iq.suite Crypt iq.suite WebCrypt Server Internet smt p http s Externer Empfänger - ohne Verschlüsselungslösung 21

22 iq.suite Crypt und iq.suite WebCrypt Unternehmen Internes Netzwerk DMZ Sender Server mit iq.suite Crypt iq.suite WebCrypt Server Internet Externer Empfänger - unverschlüsselt Externer Empfänger - mit Verschlüsselungslösung z.b. PGP, S/Mime Externer Empfänger - ohne Verschlüsselungslösung 22

23 Automatische Pflichtangaben Eine Pflichtangabe für alle Eine Pflichtangabe pro rechtlich eigenständiger Gesellschaft Zentral, regelbasiert gesteuert Logo Integration Zentrale Outlook Signatur Auf in TNEF Mails. 23

24 Die iq.suite Serverbasiert Exchange 2000/2003 Exchange 2007 Windows SMTP Server ISA Server Lotus Domino Modular Regelbasiert Active Directory LDIF NAB Zentrale Administration 24

25 Beispiel eines iq.suite Regelwerks 25

26 Beispiel eines iq.suite Regelwerks Benutzer Gruppen Kontakte Organisatorische Einheiten Query-based Groups Keine Änderungen im AD Nur lesender Zugriff 26

27 Die iq.suite Beispiel Infrastruktur Lotus Domino MS Exchange SMTP XY Windows SMTP Server Windows SMTP Server Groupwise SMTP XY 27

28 Die iq.suite Exchange/SMTP Exchange Überblick 28

29 Fazit Data Loss Prevention/ Outbound Security bedingt eine Kombination aus verschiedenen Schutzmechanismen Zentrale Steuerung ermöglicht einfache Administration Mit Assessment Datenquantität und qualität analysieren Gesetzliche Anforderungen berücksichtigen GROUP bietet die Gesamtlösung 29

30 Vielen Dank! GROUP Technologies Ottostraße 4 D Karlsruhe Tel.: +49 (0) Fax: +49 (0) info@group-technologies.com 30