Sommerakademie Arbeitnehmer Freiwild der Überwachung? Ein Blick in die Giftkiste: Überwachung an Büroarbeitsplätzen. Herr Sven Thomsen, ULD

Transkript

1 Sommerakademie 2009 Arbeitnehmer Freiwild der Überwachung? Infobörse 2: Ein Blick in die Giftkiste: Überwachung an Büroarbeitsplätzen Herr Sven Thomsen, ULD Angriff! 2

2 Mitarbeiterüberwachung ist Angriff! Gesetzesverstoß, Gefährdung der eigenen Organisation Nicht ordnungsgemäße Nutzung von Rechnersystemen Verstoß gegen interne Vorgaben / Vereinbarungen Senken des Sicherheitsniveaus der IuK-Infrastruktur Wer sagt Ihnen, dass nur Sie die Überwachungsfunktionen nutzen? Wie vertrauenswürdig ist der Anbieter von Überwachungslösungen? 3 Allgemein: Angriffe Angriff auf Vertraulichkeit und Integrität der Systeme Unberechtigte Einsichtnahme persönlicher Daten Persönlich ist nicht privat, sondern Daten sind Gegenstand der eigenen Arbeitsgestaltung Dokumente in Bearbeitung Geöffnete Programme, zuletzt geöffnete Dokumente Kommunikation mit Personalrat Überwachung des Arbeitsumfelds Videoüberwachung Audioüberwachung Verhaltensanalyse auf Basis von Nutzungsdaten Kommunikationsanalyse auf Basis von , IM 4

3 Allgemein: Angriffe Ungewohntes Angreifermodell Kein unbekannter Angreifer aus dem bösen Internet, sondern Leitungsebene / mittleres Management Innentäter mit erweiterten Möglichkeiten Angreifer hat zumindest mittelbar administrativen Zugriff detaillierte Kenntnisse über IT-Umgebung Möglichkeit, Sicherheitsmaßnahmen zu deaktivieren Übliche Sicherheitsmaßnahmen zur Perimeter-Sicherung sind nicht wirksam 5 Gegenmaßnahmen? 6

4 Allgemein: Gegenmaßnahmen Erfolgreiche Angriffe benötigen administrative Rechte Änderung der Zugriffsrechte Installation von Software Nutzung administrativer Funktionen Erfolgreiche Angreife nutzen Sicherheitslücken Lücken im Betriebssystem Lücken in Anwendungssoftware Lücken in Plugins : Flash, PDF, Audio- und Videodateien Java,.NET 7 Allgemein: Gegenmaßnahmen Gegenmaßnahmen sind identisch zu Maßnahmen des erfolgreichen Datenschutzmanagements Administrative Protokollierung Ändern von Berechtigungen Änderungen an der installierten Software Änderungen an der Protokollierung (!) Administratives Berichtswesen Übersicht über Berechtigungsvergabe Übersicht über installierte Software Software- und Patchmanagement Protokollierung und Berichtswesen immer gleichzeitig: Wie ist unsere IT eingestellt und durch welche Aktionen hat wer das erreicht? 8

5 Beispiele! 9 Beispiel 1: Internetnutzung - und Internetnutzung häufig über Proxy-Server Proxy-Server erstellt detaillierte Nutzungsprotokolle 10

6 Beispiel 1: Internetnutzung Angriff: Auswertung der Protokolldaten zur Verhaltens- und Leistungskontrolle 11 Beispiel 1: Internetnutzung Gegenmaßnahmen: Datensparsamkeit bei Protokollierung Frühzeitiges Löschen von Protokolldaten Personenbezogene Auswertung unter Bedingungen stellen Empfehlung: Details in Dienstvereinbarung regeln (vgl. 30. TB des ULD) Gestuftes Vorgehen zur Protokollierung und Auswertung 12

7 Beispiel 2: Administrative Funktionen Einsichtnahme in zentrale Dateiablage Einsichtnahme in dezentrale Dateiablage auf den Clients Profil : z.b. besuchte Webseiten, Cookies, Passwörter Temporäre Daten: z.b. Dokumente aus s Ablegen / Manipulieren von Dateien Ändern von Einstellungen Sicherheitseinstellungen Einstellungen des programms ( Automatisch Kopie einer Nachricht ablegen in. ) 13 Live-Demo: Administrative Funktionen 14

8 Beispiel 2: Administrative Funktionen Standardmaßnahmen Minimalisierte Vergabe von Berechtigungen auf persönlichen Daten Minimalisierte Vergabe administrativer Berechtigungen Protokollierung _und_ Berichtswesen 15 Beispiel 3: Remote-Administration-Tools Ursprünglich: Software zur Fernwartung von Systemen Aktuell: Spezialisierung bei einigen Anbietern Zusätzlich zu normalen Fernwartungsfunktionen Audiomitschnitt Videomitschnitt Tastaturmitschnitt Verborgener Betrieb Deaktivieren von Sicherheitsmaßnahmen (Antivirus) Kaum Unterschied zu normaler Schadsoftware: Viren, Würmer, Trojaner 16

9 Live-Demo: Remote-Administration-Tools 17 Beispiel 3: Remote-Administration-Tools Gegenmaßnahmen Virenschutz kontrollieren, insb. auf Ausnahmen Installierte Software prüfen Prozessliste prüfen Spyware-Checker und Rootkit-Detektoren Mitschnitt und Analyse des Netzverkehrs Empfehlung Prüfung der Geräte, auf denen wahrscheinlich eine Auswertung durchgeführt wird: PC des Vorgesetzten? 18

10 Beispiel 4: Spezialisierte Software Markt für Software zur Mitarbeiterüberwachung Lösungen für viele Einsatzszenarien 19 Live-Demo: Spezialisierte Software 20

11 Gegenmaßnahmen Standardmaßnahmen Prüfung der Mechanismen zur Softwareverteilung Einzelprüfung der auf einzelnen Clients installierten Software Mitschnitt und Analyse des Netzverkehrs Empfehlung Prüfung der Geräte, auf denen wahrscheinlich eine Auswertung durchgeführt wird: PC des Vorgesetzten? 21 Fazit Mitarbeiterüberwachung muss als Angriff eines Innentäters mit administrativen Rechten auf die IuK-Infrastruktur gewertet werden Angriff wird durch speziell für diesen Zweck erstellte Softwareprodukte deutlich erleichtert Gegenmaßnahmen sind Standardmaßnahmen des betrieblichen Datenschutzmanagements: Minimalisierte Berechtigungsvergabe, Protokollierung und Berichtswesen Kernaufgabe von Datenschützern und Personalvertretung: Gegenmaßnahmen und Kontrollen etablieren! 22

12 Kontaktdaten Vielen Dank für Ihre Aufmerksamkeit! Unabhängiges Landeszentrum für Datenschutz Sven Thomsen Holstenstraße Kiel