20 Tipps zur (fast) kostenlosen Erhöhung der IT-Sicherheit im Unternehmen

Transkript

1 20 Tipps zur (fast) kostenlosen Erhöhung der IT-Sicherheit im Unternehmen Am Arbeitsplatz Passwörter sind vertraulich und nach Möglichkeit persönlich Gearbeitet wird nicht im Administratormodus Ausloggen, wenn man nicht am Computer arbeitet USB tut nicht weh? Papier weg oder Raum zu Auch ein digitaler Papierkorb will geleert werden Empfang und Sekretariat als Sicherheitsbollwerk am Telefon Compliance Datenschutz, Archivierung und mehr... 2 Mobiles Arbeiten Mobile Datenträger sind zu verschlüsseln WLAN nur verschlüsselt, mobiler Firmenzugriff nur getunnelt Auch unterwegs auf physische und sonstige Sicherheit achten Interne Systeme Software nicht unbedingt neu, aber aktualisiert Antivirussoftware und Firewall es geht nicht ohne Spamfilter erleichtern nicht nur die Arbeit, sie machen sie auch sicherer Redundanz Nur ein nutzbares Backup ist ein gutes Backup... 4 Internet Imagefaktor Web Die Geheimhaltungspflicht ausdrücklich auf Social Media ausdehnen so sicher wie eine Postkarte Die Goldene Regel Sicherheit muss gelebt werden... 5 Am Arbeitsplatz 1. Passwörter sind vertraulich und nach Möglichkeit persönlich Jeder im Unternehmen hat seine eigenen Zugangsdaten auf den Rechner oder wenn vorhanden auf das Hausnetz. Diese Daten werden nicht untereinander ausgetauscht. Passwörter werden regelmäßig gewechselt, bei geringen Sicherheitsanforderungen monatlich. Alle Mitarbeiter werden gelegentlich darauf hingewiesen, dass Passwörter Groß- und Kleinbuchstaben, Zahlen und Sonderzeichen enthalten und nicht zu kurz sein sollten.

2 2. Gearbeitet wird nicht im Administratormodus. IT-Sicherheit ist nicht absolut. Sollte einem ein Fehler unterlaufen, kann einem bei einfachen Nutzerrechten viel weniger passieren. Das Administratorpasswort haben nur ein oder zwei Personen, eine schriftliche Sicherung liegt im gestempelten und unterschriebenen, verschlossenen Briefumschlag im Safe. 3. Ausloggen, wenn man nicht am Computer arbeitet. Bei Windows-Rechnern erfordert das Drücken der Tastenkombination [Windows]+[L] überhaupt keinen Aufwand, bei Rückkehr loggt man sich einfach wieder ein. 4. USB tut nicht weh? USB-Sticks oder andere USB-Geräte sind wirklich praktisch und einfach. Leider überbrücken Sie häufig eigentlich getrennte Sicherheitsbereiche. Wenn der USB- Stick auf einem privaten Rechner ohne Sicherheitsmechanismen wie Antivirenschutz eingesetzt wurde oder bei einer fremden Firma im Einsatz war, kann der Stick schon die gefährlichen Trojaner beinhalten. Als Verantwortlicher können Sie die USB- Anschlüsse sperren; Sie können die Mitarbeiter verpflichten, möglicherweise unsichere USB-Geräte an einem dafür vorgesehenen Rechner zu testen; Sie sollten in jedem Fall für die USB-Problematik sensibilisieren und eine Software auf jedem Rechner haben, die USB-Geräte überprüfen kann auch wenn bereits das Einstecken und die damit ausgelöste Selbstinstallation ein wichtiges Sicherheitsrisiko darstellt. 5. Papier weg oder Raum zu. Angebote, Kundendaten und sonstige wichtige Papiere sollten nicht in unabgeschlossenen Räumen offen zugänglich sein. Also entweder die Papiere in evtl. feuerfeste Schließschränke oder die Tür bei Verlassen des Raumes abschließen. Geschäftskritischer Papierabfall muss geschreddert werden. 6. Auch ein digitaler Papierkorb will geleert werden. Erst wenn Ihre Dateien aus dem Papierkorb Ihres Betriebssystems gelöscht worden sind, erhöht sich der Aufwand für eine Datenwiederherstellung nennenswert. 7. Empfang und Sekretariat als Sicherheitsbollwerk am Telefon. Alle Mitarbeiter, insbesondere aber die an der zentralen Rufnummer, sind auf sicherheitsbewusste Gesprächsführung zu schulen. Keine Passwörter, Umsätze, Kundendaten oder persönliche Mitarbeiterinformationen am Telefon. Sollte dies nötig sein, Telefonnummer notieren und zurückrufen. 8. Compliance Datenschutz, Archivierung und mehr. Compliance, ein neudeutsches Wort für rechtskonformes Verhalten, umfasst zumeist die datenschutzrechtlichen, steuerarchivierungsrechtlichen IT-Pflichten ebenso wie die unternehmerische Vorsorgepflicht. Ein kurzer Tipp kann hier eigentlich nur lauten, die Zeit für ein Überblicksseminar zu investieren. 2

3 Mobiles Arbeiten 9. Mobile Datenträger sind zu verschlüsseln. Dazu gehören z.b. Laptops, externe Festplatten, USB-Speichersticks. Gute Verschlüsselungssoftware gibt es bereits kostenlos (z.b. Truecrypt), das Arbeiten wird nicht nennenswert beeinträchtigt und funktioniert bei externen Speichermedien auch an unterschiedlichen Rechnern. 10. WLAN nur verschlüsselt, mobiler Firmenzugriff nur getunnelt. Drahtlose Netzwerke (WLANs) erleichtern das Arbeiten mit Laptops. Zur beruflichen bzw. privaten Nutzung sollten unterschiedliche Drahtlosnetze mit unterschiedlichen Passwörtern verwendet werden. Alle WLANs sind zu verschlüsseln, WPA2 ist ein gängiger Mindeststandard. Muss man von unterwegs, also über das Internet, auf das Firmennetzwerk zugreifen, darf dies nur mittels VPN (virtuelles privates Netzwerk, es verschlüsselt und tunnelt die Datenverbindung) möglich sein. 11. Auch unterwegs auf physische und sonstige Sicherheit achten. Gepäck immer in Sicht- und Reichweite; Notfallnummer des Administrators mehrfach, aber geschützt(!) griffbereit. Bei längerer Arbeit Kensington-Lock für Laptops verwenden, in Zug, Flugzeug und ähnlichen Situationen Blickschutzfilter für den Monitor. Bluetooth an Laptop und Handy deaktivieren. Interne Systeme 12. Software nicht unbedingt neu, aber aktualisiert. Man benötigt nicht unbedingt die neueste Software, um sicher zu arbeiten. Aber alle Betriebssysteme und Anwendungen sollten so automatisch und regelmäßig wie möglich aktualisiert werden. 13. Antivirussoftware und Firewall es geht nicht ohne. Glücklicherweise ist heute beides Standard, selbst in kleineren Unternehmen. Wichtig ist allerdings, dass die Antivirussoftware sich selbst regelmäßig online aktualisiert und dass die Firewall nur das Notwendige erlaubt und in Intervallen kontrolliert wird. 14. Spamfilter erleichtern nicht nur die Arbeit, sie machen sie auch sicherer. Spam- s erschweren nicht nur das Erkennen der nützlichen Mails, sie sind auch zumeist ein Sicherheitsrisiko, spähen Passwörter und Kreditkarteninformationen aus und können das Firmennetzwerk oder den Webserver ungewollt zu einem bösartigen Angreifer machen. 3

4 15. Redundanz Mindestens die geschäftskritischen Daten müssen redundant, also doppelt oder mehrfach, in aktueller Form verfügbar sein. Anwendungen und Daten im Firmennetz werden fast immer mit redundanten Festplattensystemen (typischerweise RAID 5) genutzt. Auch eine Form der Redundanz: Die Laptopdaten des Geschäftsführers z.b. müssen mindestens auf einer verschlüsselten, externen Festplatte im Unternehmen vorliegen wenn sie nicht sowieso im Hausnetz gespeichert sind. 16. Nur ein nutzbares Backup ist ein gutes Backup. Backups, also Sicherungskopien, werden sinnvollerweise möglichst automatisch gemacht. Die wenigsten allerdings testen allerdings, ob sie ihre Sicherungskopien auch wirklich zur Systemwiederherstellung einsetzen können. Auch weiß man erst dann, wie lange denn eine solche Rettungsaktion dauert und was man dabei beachten muss. Backups, deren Nutzbarkeit zur Datenwiederherstellung man nicht getestet hat, bieten maximal eine trügerische Sicherheit. Backups sollten an einem sicheren, aber immer zugänglichen Ort (z.b. Bankschließfach) aufbewahrt werden. Internet 17. Imagefaktor Web Inzwischen schaut fast jeder beim Firmenerstkontakt auf deren Website nach. D.h. sie muss nicht nur inhaltlich gepflegt sein, sondern auch technisch verfügbar. Defacements, also Homepage-Veränderungen meist durch Jugendliche, sind ein Aspekt. Ein weiterer liegt darin, dass gefährlichere Hacker die Firmenwebsite unauffällig übernehmen könnten, sodass Ihre Kundendaten ausgelesen und manipuliert werden oder Sie potenzielle Kunden schon infizieren können, während diese sich einfach Ihre Homepage ansehen. Speichern Sie Ihre Website in regelmäßigen Abständen, damit Sie im Schadensfall zunächst die letzte sichere Fassung einspielen können. Ein schlichter Tipp: die eigene Website als Browserhomepage einstellen und täglich ein paar Seiten der Site kurz aufrufen. Mit [Strg]+[F5] (bei Internet Explorer) sicherstellen, dass die Seite auch direkt von der Website geladen wird und nicht aus einem Zwischenspeicher kommt. Testen empfiehlt sich auch nach jeder Aktualisierung der Website. 18. Die Geheimhaltungspflicht ausdrücklich auf Social Media ausdehnen. Im Internet bilden sich immer mehr Gemeinschaften, viele Websites bündeln Personenprofile, immer mehr persönliche Informationen werden im Internet preisgegeben, etwa in Blogs, also in Online-Tagebüchern. Hier brüsten sich Mitarbeiter, dass sie Entwickler in einem High-Tech-Unternehmen seien, oder verschaffen ihrem Ärger über den Chef Luft. Ergänzen Sie die übliche betriebliche Geheimhaltungsvereinbarung ausdrücklich um die sogenannten Social Media und sensibilisieren Sie Ihre Mitarbeiter, dass das Internet nicht vergisst weder das Lästern über Kunden, Kollegen, Chefs noch Fotos von Betriebsfeiern oder aus dem Urlaub. 4

5 19. so sicher wie eine Postkarte. Unverschlüsselte s lassen sich relativ leicht mitlesen und ggf. auch fälschen. Daraus folgt: entweder keine sensiblen Informationen per versenden oder E- Mails verschlüsseln. Die Goldene Regel 20. Sicherheit muss gelebt werden. IT-Sicherheit sichert ihren Geschäftserfolg und behindert ihn nicht! Wenn Sie dies wirklich verstanden haben, fällt es Ihnen deutlich leichter, selber auf IT-Sicherheit zu achten und auch Ihre Mitarbeiter regelmäßig in abwechslungsreicher, angemessener Form auf wichtige Sicherheitsthemen hinzuweisen. 5