Projekt H.I.D.E. Ralf Watermann (IT-Abteilung) Theo Douwes (Organisation)

Transkript

1 Projekt H.I.D.E Ralf Watermann (IT-Abteilung) Theo Douwes (Organisation)

2 Zunächst ein bisschen Grundsätzliches

3 Grundsatz Sicherheit ist kein Zustand sondern ein Prozess! Was heute noch sicher ist, kann morgen schon eine Sicherheitslücke darstellen! Anders ausgerückt: nichts ist unmöglich Ostfriesisch ausgedrückt: Datgivtnix, wat datnicht givt!

4 Grundwerte der IT- Sicherheit Vertraulichkeit: Vertrauliche Informationen müssen vor unbefugter Preisgabe geschützt werden. Verfügbarkeit: Zuverlässigkeit und Funktionsfähigkeit von IT-Systemen. Integrität: Unversehrtheit und Vollständigkeit der Daten.

5 Ganzheitliche Sicherheit Technisch Firewall Virenscanner Spam-Filter Überwachung Wirtschaftlich Versicherungen Juristisch Straf- und Zivilrecht Organisationsverschulden Dienstvereinbarungen Arbeitsvertrag Organisatorisch Schulungen Zertifizierungen Risiko -Management

6 Gefährdungspotenziale

7 Sie haben eine Firewall - ein Anti-Viren System? SUPER!

8 Aber Sie haben auch Kollegen!!!

9 Daher unser Thema: H.I.D.E Human Idiots Destroy Everything Gefahrenquelle Mensch

10 Gefahr Mensch Menschen sind : nicht perfekt bequem nicht immer fair

11 Gefahr Mensch Wie gut kennen Sie Ihre Mitarbeiter? Überprüfung bei Einstellung? private Nöte?

12 Wie gut kennen Sie Ihre Mitarbeiter?

13 Gefahr Mensch IT-Personal Weitreichende Befugnisse? Was und wie wird dokumentiert? Logfiles?

14 Gefahr Mensch Externe Reinigungspersonal Hausmeister Handwerker

15 Gefahr Mensch Haben Sie Raum-Zugangssysteme? Schon mal an Hardware-Diebstahl gedacht? Diebstahl von: Servern Datensicherungen PC Arbeitsplätzen Pocket PCs etc.

16 Gefahr Mensch Wann erfährt die IT-Abteilung von Kündigungen?

17 Gefahr Mensch Gibt es klare Regelungen (Security Policy, Dienstvereinbarung)? Kennt jeder die Sicherheits-Richtlinien? Welche Konsequenzen drohen bei Verstößen?

18 Gefahr Mensch Zu starke Kontrollen verletzen Persönlichkeitsrechte und geltendes Recht Ohne Betriebsvereinbarungen sind viele organisatorische Schutzmassnahmen nicht zulässig!

19 Risiko? Kalkuliertes Risiko statt absoluter Sicherheit! Wo Menschen sind, da ist auch immer ein Risiko! Ansatzpunkt ist längst nicht immer die Technik!!!

20 Einige Beispiele USB-Stick auf dem Parkplatz Anklicken von Anlagen Vergessen / Ausspähen von Kennwörtern Ausfall des Systemadministrators

21 Versteckte Tücken Was geschieht mit alter Hardware, insbesondere Datenträgern? Was ist mit USB-Sticks? Was ist mit ISDN-Karten (DIGANT)? Melden sich User am System ab?

22 die Folgen... Ausfallzeiten Imageschaden Folgeschäden bei Kunden Kosten der Behebung

23 Wie macht es Westoverledingen? Standards Virenschutz / Firewall Passwortwechsel Schließsysteme Policy-Einhaltung durch AppSense

24 Einhaltung der Richtlinien Was ist AppSense? Vereinfacht ausgedrückt ist AppSense ein Richtlinieneditor Richtlinien gibt es für drei große Bereiche 1. Application 2. Environment 3. Deployment

25 Einhaltung der Richtlinien 1. Application (Sperrung von Anwendungen) Durch das Produkt wird eine zentrale Steuerung des Einsatzes von Software möglich welche Programme an welchem Arbeitsplatz zum Einsatz kommen dürfen Default deny (Standard verboten)

26 Einhaltung der Richtlinien - nur erlaubte Anwendungen - User entscheiden selbst (log) - Überwachung - alle Anwendungen erlauben Application Manager security level

27 Einhaltung der Richtlinien Application Manager

28 Einhaltung der Richtlinien Application Manager - Anwendung verboten

29 Einhaltung der Richtlinien 2. Environment Durch das Produkt wird eine zentrale Steuerung der Windows-Oberfläche möglich. Dadurch wird z.b. ermöglicht, die Nutzung von USB-Schnittstellen zu sperren.

30 Einhaltung der Richtlinien Environment Manager -.adm Policy

31 Einhaltung der Richtlinien Environment Manager Rule Edit

32 Einhaltung der Richtlinien 3. Deployment ein zentraler AppSense Server verteilt die Policies verschiedene Policies für die Abteilungen zentrale Überwachung der Agents zentrale Agent Installation / De-Installation

33 Einhaltung der Richtlinien Deployment Console

34 Windows Oberfläche der Anwender

35 Einhaltung der Richtlinien Windows Oberfläche der Anwender zentral editierbar

36 Einhaltung der Richtlinien Fazit: klare einheitliche Optik keine Benutzeränderungen mehr möglich erhöhte Sicherheit Wirkung der Mitarbeiter positiv

37 Vielen Dank für Ihre Aufmerksamkeit

38 Ralf Watermann IT Abteilung Gemeinde Westoverledingen Bahnhofstrasse Westoverledingen Theo Douwes - Organisation Gemeinde Westoverledingen Bahnhofstrasse Westoverledingen Theo.Douwes@Westoverledingen.de