Zürcher Kantonalbank ein sicheres WLAN für die sicherste Universalbank der Welt. Rolf Mäder, IT Architekt

Größe: px

Ab Seite anzeigen:

Download "Zürcher Kantonalbank ein sicheres WLAN für die sicherste Universalbank der Welt. Rolf Mäder, IT Architekt"

Günther Fritz Ziegler
vor 7 Jahren
Abrufe

1 Zürcher Kantonalbank ein sicheres WLAN für die sicherste Universalbank der Welt Rolf Mäder, IT Architekt

2 Ziel der Präsentation Sie verstehen, wie das sichere WLAN in der sichersten Universalbank der Welt aufgebaut ist und wie es funktioniert. Sie haben einen Eindruck, was die Anforderungen ans WLAN waren. wie die IT- und Gebäude-Infrastruktur aussieht, in die das WLAN integriert werden musste. PS: Denken Sie während meiner Präsentation immer daran, dass das WLAN (trotzdem) stabil läuft und wenig Support braucht. 2 Zürcher Kantonalbank ein sicheres WLAN für die sicherste Universalbank der Welt

3 Die Zürcher Kantonalbank ist seit über 140 Jahren aktiv Gründung Eigentümer/ Staatsgarantie Rechtsform Leistungsauftrag Rating 1870 Kanton Zürich Art. 109 der Zürcher Kantonsverfassung. «Der Kanton betreibt eine Kantonalbank» Selbstständige Anstalt des kantonalen öffentlichen Rechts Versorgungs-, Unterstützungs- und Nachhaltigkeitsauftrag AAA (Standard & Poor s und Fitch) bzw. Aaa (Moody s) AA ohne Staatsgarantie (Standard & Poor s) Weltweit wird keine Bank höher bewertet als die Zürcher Kantonalbank Sicherste Universalbank der Welt 3 Zürcher Kantonalbank ein sicheres WLAN für die sicherste Universalbank der Welt

4 Einige Kennzahlen 2015 Bilanzsumme Eigenkapital Konzerngewinn Ausschüttung an Kanton und Gemeinden Mitarbeiter Applikationen Mio. CHF Mio. CHF 722 Mio. CHF 326 Mio. CHF > Vollzeitstellen > Zürcher Kantonalbank ein sicheres WLAN für die sicherste Universalbank der Welt

5 Das WLAN der Zürcher Kantonalbank 5 Zürcher Kantonalbank ein sicheres WLAN für die sicherste Universalbank der Welt

6 Motivation für WLAN State of the art Mobilität der Mitarbeiter erhöhen Nachhaltigkeit: Papierverbrauch reduzieren Digitalisierung: Einführung von Touch Endgeräten für die Kundenberatung Digitalisierung: WLAN für die Gäste der ZKB «Leuchtturm Projekt» Umbau Hauptsitz an der Bahnhofstrasse Zürich «Büro Zürich» im Hauptsitz setzt WLAN voraus 6 Zürcher Kantonalbank ein sicheres WLAN für die sicherste Universalbank der Welt

7 Die physische Sicherheit leistet einen wichtigen Beitrag zur IT Sicherheit. WLAN Z0: Aussen Z1: 24 Stunden Selbstbedienungszone, keine IP Anschlüsse Z2: Offene Kundenhalle mit Kundenberatungszone, Citrix Z3: Büros hinter Vereinzelungs- Schleuse mit Clientzone Z4: Automatenraum mit Automatenzone/Komm-Räume Z5: Rechenzentren mit Server-, Management-Zonen Sicherheitsniveau Anzahl zutrittsberechtigter Personen 7 Zürcher Kantonalbank ein sicheres WLAN für die sicherste Universalbank der Welt

8 WLAN Anwendergruppen und Services Zürcher Kantonalbank Gäste Bekannter Benutzer, unbekanntes Gerät Nur Internet Zeitlich beschränkt Benötigt ZKB Sponsor Mitarbeiter Identifizierter Benutzer, bekanntes Gerät Internet Zeitlich unbeschränkt Selfregistration Authentisierter Benutzer, vollständig kontrolliertes ZKB Gerät Definierte Applikationen Automatische Verbindung zum WLAN More Trust More Access 8 Zürcher Kantonalbank ein sicheres WLAN für die sicherste Universalbank der Welt

9 Prinzip Checkpoint Charlie IT Sicherheitsgrundsatz: Ein Angreifer muss mindestens zwei unabhängige Barrieren überwinden, bevor er Zugriff auf interne IT Ressourcen hat. Aufbau VPN Tunnel 2 durch den ersten hindurch mit SW 2 in weitere DMZ. Benutzer Identifikation mittels User-Zertifikat auf der Smart Card Aufbau VPN Tunnel 1 in die DMZ mit SW1. Geräte Identifikation mittels Geräte-Zertifikat der ZKB PKI Fürs WLAN bedeutet dies, dass hinter jeder WLAN-Komponente eine weitere unabhängige Barriere sein muss. Beispiel Remote Access Zugriff nur mit Schweizer IP Adresse Prozess läuft automatisch ab. Die Benutzung ist (trotzdem) einfach. 9 Zürcher Kantonalbank ein sicheres WLAN für die sicherste Universalbank der Welt

Architektur und Sicherheit WLAN Netzwerk / Eigenes VRF Radius 1 DB Interner WLAN Controller Zürcher Kantonalbank Intranet Captive Portal 1 Internet DMZ Radius 1 Internet SMS Service DC AD PKI DB DB

10 Architektur und Sicherheit WLAN Netzwerk / Eigenes VRF Radius 1 DB Interner WLAN Controller Zürcher Kantonalbank Intranet Captive Portal 1 Internet DMZ Radius 1 Internet SMS Service DC AD PKI DB DB DB User Based Ticket Sponsor / Registration Innere DMZ Ext. WLAN Controller URL Filter Äussere DMZ 1 Clearpass 10 Zürcher Kantonalbank ein sicheres WLAN für die sicherste Universalbank der Welt

Zugang für die ZKB eigenen Endgeräte WLAN Netzwerk / Eigenes VRF Radius 1 DB Interner WLAN Controller Zürcher Kantonalbank Intranet Internet DMZ Internet AD DB 3 1 2 4 DC PKI User Based Innere DMZ

11 Zugang für die ZKB eigenen Endgeräte WLAN Netzwerk / Eigenes VRF Radius 1 DB Interner WLAN Controller Zürcher Kantonalbank Intranet Internet DMZ Internet AD DB DC PKI User Based Innere DMZ Äussere DMZ Standard ZKB Endgerät mit Geräte Zertifikat, welches auf dem TPM Chip gespeichert ist Automatische Netzwerk Anmeldung mit Geräte Zertifikat (802.1x, EAP-TLS). WLAN Controller teilt den richtigen Service zu. Radius prüft die Gültigkeit des Zertifikates. Anmeldung am AD mit User Zertifikat ab Smartcard User Based FW öffnet für diesen Benutzer mit diesem Endgerät den Zugriff auf seine bewilligten Applikationen. Diese Funktionalität wird auch für die Trennung zwischen den Konzerntöchtern genutzt. 1 Clearpass 11 Zürcher Kantonalbank ein sicheres WLAN für die sicherste Universalbank der Welt

12 Zugang für die Gäste WLAN Netzwerk / Eigenes VRF Zürcher Kantonalbank Intranet Internet DMZ Internet Captive Portal 1 Radius 1 DB SMS Service User Based Tunnel Ticket Sponsor / Registration Innere DMZ DB Ext. WLAN Controller URL Filter Mitarbeiter trägt den Gast ein und löst ein Zugangsticket. Captive Portal eröffnet Gast im Radius Gast meldet sich mit Ticket Infos an und gibt seine Mobiltelefonnummer an. Clearpass sendet Mail an SMS Service. Gast bekommt SMS mit Login-Daten Gast vollendet Login Prozess mit SMS Login-Daten 1 3 Äussere DMZ Internet 1 Clearpass Dies hat funktioniert, wurde jedoch von den Nutzern nicht akzeptiert. Schritt 1 wurde vereinfacht. Das Tages-Passwort steht jetzt beim Empfang. Es braucht keine Sponsor mehr. Das Sicherheitsniveau wurde nicht reduziert. 12 Zürcher Kantonalbank ein sicheres WLAN für die sicherste Universalbank der Welt

13 Key takeaway Die Zürcher Kantonalbank ist eine sichere Bank Ein sicheres WLAN ist möglich Die Usability bleibt hoch Das WLAN ist stabil und der Supportaufwand tief 13 Zürcher Kantonalbank ein sicheres WLAN für die sicherste Universalbank der Welt

15 Wie hat es Ihnen gefallen? Bewerten Sie diese Session mit der Explore Event-App und gewinnen Sie einen Gutschein von TicketCorner im Wert von 150 CHF!

16 Breakout Sessions 16:15 Faraday Accelerating Next: Innovation for the New Style of Business Tesla Data Privacy und die Microsoft Cloud was jeder CEO über die Cloud wissen sollte Newton Arbeitsweise der Zukunft Hertz Verfügbarkeit macht Schule - Veeam Backup & Replication Glassaal SAP HANA als Beschleuniger Ihrer digitalen Transformation 16

Ähnliche Dokumente

Mutterschiff und Schnellboote Der Digitalisierungsansatz bei der Mobiliar

Mutterschiff und Schnellboote Der Digitalisierungsansatz bei der Mobiliar Dr. Christian Thomas Explore part of Reimagine 2016 Baden 24.-25. Mai Die Mobiliar Die persönlichste Versicherung der Schweiz «Schweizerische