Fallstudie: Sophos IDC Multi-Client-Projekt MOBILE SECURITY IN DEUTSCHLAND 2015 Unternehmen im Spannungsfeld zwischen Produktivität und Sicherheit
SOPHOS Fallstudie: Finanz Informatik GmbH & Co. KG Informationen zum Kunden WWW.SOPHOS.DE Als einer der größten Banken-IT-Dienstleister in Europa übernimmt die Finanz Informatik den Service für über 126 Millionen Konten der Sparkassen Finanzgruppe und führt auf den Systemen jährlich mehr als 90 Milliarden technischer Transaktionen durch. Einen immer größeren Anteil der Kommunikation wird über mobile Systeme abgewickelt, wobei Sophos Mobile Control zum Einsatz kommt. Höchstes Ziel ist dabei ein einfaches Mobile Device Management und der sichere IT-Betrieb im sensiblen Bankensektor. Aber auch Spezialanforderungen wie Mandantenfähigkeit und individuelle Anpassungsfähigkeit sind gefragt. Anforderungen des Kunden Das Angebot der Finanz Informatik umfasst das gesamte IT-Spektrum von der Entwicklung und Bereitstellung von IT-Anwendungen, Netzwerken und technischer Infrastruktur über den Rechenzentrumsbetrieb bis hin zu Beratung, Schulung und Support. In Kombination mit den über 400 zu betreuenden Bankinstituten bedeutet dies auch für einen Mobile Device Management Lösung größtmögliche Flexibilität ohne störende Komplexität. Weitere Eckpunkte sind die Mandantenfähigkeit sowie die hohen Hürden beim sicheren und stark reglementierten IT-Betrieb im Finanzsektor. Darstellung der Lösung Durch die besonderen Anforderungen im Umfeld der sensiblen Finanzwirtschaft musste Sophos Mobile Control um spezifische Besonderheiten erweitert werden. Aufbauend auf den Rahmenbedingungen für ein Mobile Device Management als Dienstleistungsangebot wurde ein anspruchsvolles Soll-Szenario aufgebaut und dann gemeinsam umgesetzt. Da Standardanwendungen nicht den Vorgaben des sicheren IT-Betriebs standhielten, wurde gemeinsam mit Sophos das MDM-System um weitere Funktionen und Vorgaben ergänzt. Dazu gehören eine mandantenfähige Softwareverteilung, granulare Rechtestrukturen für Mandanten-Admins sowie Kennwortrichtlinien nach den Vorgaben des sicheren IT-Betriebs. So realisierte das Team für die Verwaltung und Steuerung von ios und Android-Geräten eine zweistufig abge-
sicherte DMZ-Infrastruktur, die die betriebliche Nutzung von personenbezogenen oder unternehmenskritischen Daten ermöglicht. Mit der webbasierten Anwendung können Kunden der Sparkassen-Finanzgruppe nun mobile Endgeräte individuell verwalten und entsprechend der institutseigenen Sicherheitsvorschriften konfigurieren. Sie bietet für jeden Teilnehmer weiterreichende Möglichkeiten, individuelle Sicherheitsrichtlinien für den Einsatz mobiler Endgeräte zentral gesteuert umzusetzen. So trifft jedes Institut die Entscheidung selbst, was im einzelnen Gerät oder einer Gerätegruppe zugelassen wird und was nicht. Die Steuerungsmöglichkeiten mit vorgefertigten Passwort- und Funktionsprofilen sind dabei vielfältig: Bildschirmschoner, die Code-Sperre oder Vorgaben zur Passwortkomplexität können genauso eingestellt werden wie Nutzung von Zusatzdiensten wie Ortungs- oder Spracherkennungsdiensten. Als weiterer Service ist der Abgleich von E-Mails, Kalender und Kontaktdaten in das Mobile Device Management bereits eingebunden und wird bei Richtlinienverletzung entsprechend unterbrochen und gesperrt. Mittels einer Client-App, die regelmäßig mit dem System kommuniziert, wird zusätzlich ein Jailbreak-Check durchgeführt, der Missbrauch verhindert. Die neueste SMC-Version ermöglicht zudem die Realisierung eines weiteren Anliegens der Bankfilialen: das Zurücksetzen von Geräten ist nun durch den jeweiligen Administrator möglich, ein aufwändiges Ticketsystem über die Finanz-Informatik- Zentrale ist nicht mehr nötig. Sophos Mobile Control erfüllte die Vorgaben des sicheren IT-Betriebs der Finanz Informatik und bietet so den Instituten der Sparkasse-Finanzgruppe weitreichende Einsatzmöglichkeiten für mobiles und effizientes Arbeiten. Neben dem Einsatz in der Kundenbetreuung bietet SMC aber auch bei organisationsinternen Aufgaben einen wesentlichen Mehrwert und entlastet verantwortliche Mitarbeiter mit einer komfortablen Benutzeroberfläche, die zum Beispiel aussagekräftige Informationen zu Betriebszuständen der Hardware, Betriebssystemen, Datenbanken und Applikationen liefert. Aufgrund der erfolgreichen Umsetzung und des Wachstums im Mobile-Markt soll das System in Zukunft auf bis zu 20.000 Mobilgeräte ausgebaut werden. Weiterer Planungsschwerpunkt ist die Integration neuer ios-features, die mit der nächsten SMC-Version zur Verfügung stehen. Projekt Highlights MDM-Lösung sichert in Zukunft bis zu 20.000 Mobilgeräte. Mandantenfähige Softwareverteilung, granulare Rechtestruktur für Mandanten- Admins sowie Kennwortrichtlinien nach den Vorgaben des sicheren IT-Betriebs. Jedes Institut trifft die Entscheidung selbst, was im einzelnen Gerät oder einer Gerätegruppe zugelassen wird und was nicht. Zitate des Kunden zum Projekt Wir haben eine Lösung gesucht, die nicht von der Stange ist, da wir im Rahmen der Sparkassen Finanzgruppe über 400 Kunden mit jeweils speziellen Anforderungen betreuen. Sophos Mobile Control hat uns genau diese Flexibilität geliefert und auch der Rollout hat super funktioniert. Sophos Mobile Control erfüllt die Vorgaben des sicheren IT-Betriebs und bietet uns so weitreichende Einsatzmöglichkeiten für mobiles und effizientes Arbeiten. Von: Markus Weigel, Abteilungsleiter, Systemlösungen bei Finanz Informatik
INTERVIEW MIT SASCHA PFEIFFER, SOPHOS Anlässlich der Vorstellung der Ergebnisse der Studie Mobile Security in Deutschland 2015 sprach IDC mit Sascha Pfeiffer, Principle Security Consultant bei SOPHOS. IDC: Die Verwendung von mobilen Geräten, Apps und Inhalten ist in Unternehmen in den vergangenen Jahren rasant gestiegen. In erster Linie, damit Mitarbeiter produktiver arbeiten und Prozesse verbessert werden. Gleichzeitig ist jedoch auch die Absicherung der mobilen Technologie in den Fokus gerückt. Was zeichnet aus Ihrer Sicht eine gute Balance zwischen Produktivität und Sicherheit aus? Sascha Pfeiffers: In der Praxis zeigt sich, dass Endnutzer durchaus bereit sind, ein bestimmtes Maß an Kontrolle über ihre mobilen Geräte abzugeben, um mehr Flexibilität, Effizienz und Produktivität zu gewinnen. Gleichzeitig benötigen IT-Abteilungen genug Kontrollmöglichkeiten, um BYOD-Programme optimal verwalten und für Sicherheit sorgen zu können. Ganz gleich, ob Unternehmen also ihren Mitarbeitern mobile Geräte zur Verfügung stellen oder ob diese ihre Privatgeräte mitbringen: der Überblick über alle Geräte im Netzwerk - inklusive der Daten darauf - ist entscheidend. MDM-Lösungen, die es leicht machen, die mobilen Geräte während der gesamten Lebensdauer zu verwalten von der ersten Einrichtung und Registrierung bis zur Außerbetriebnahme, helfen dabei, erfolgreich zu agieren. Zudem ermöglichen entsprechende Lösungen Benutzern einerseits, außerhalb der Arbeitszeiten produktiv zu sein, und andererseits auch die Dinge zu tun, die ihnen Freude bereiten, wenn sie gerade nicht arbeiten, z. B. ihren Status aktualisieren oder ein interaktives Spiel spielen. IDC: Welche sind typische Herausforderungen, denen Unternehmen bei der Verbesserung der Mobile Security gegenüberstehen? alle anderen Geräte, die sich bereits im Netzwerk befinden. Folgende Punkte gehören dazu: Durchsetzung strenger Passwörter auf allen Geräten, Virenschutz und Data Loss Prevention (DLP), Verschlüsselung SASCHA PFEIFFER aller Daten - inklusive Wechselmedien und Cloud Storage, Mobile Device Management (MDM) zum Löschen vertraulicher Daten, falls ein Gerät verloren gegangen ist oder gestohlen wurde sowie eine effektive Anwendungskontrolle resp. ein Enterprise App-Store. Mitarbeiter sollten Zugriff auf Webseiten, interne Anwendungen und E-Mails sowohl aus dem Intranet als auch außerhalb des Unternehmens mit den gleichen Sicherheitsmechanismen haben. IDC: Welche Vorgehensweise empfehlen Sie, um die mobile Welt im Unternehmen bestmöglich abzusichern - ohne dabei die Produktivität der Mitarbeiter aus den Augen zu verlieren? Pfeiffers: Mobile Geräte wie Tablets und Smartphones sind nichts anderes als kleine Computer, die uns überall hin begleiten. Daher sollten Unternehmen bei der Absicherung grundsätzlich erst einmal genauso verfahren, wie bei allen anderen Geräten auch. Die Arbeitsweise der Mitarbeiter, vor allem wenn sie ihre eigenen Geräte mitbringen, sollte nicht zu sehr verändert oder beeinträchtigt werden. Mitarbeiter müssen in die Sicherheitspolitik der Firma mit einbezogen werden. Pfeiffers: Um mobile Geräte im Unternehmen zuverlässig zu sichern, benötigen Unternehmen ebenso klare Sicherheitsmaßnahmen wie für
Copyright Hinweis Die externe Veröffentlichung von IDC Information und Daten dies umfasst alle IDC Daten und Aussagen, die für Werbezwecke, Presseerklärungen oder anderweitige Publikation verwendet werden, setzt eine schriftliche Genehmigung des zuständigen IDC Vice Presidents oder des jeweiligen Country-Managers bzw. Geschäftsführers voraus. Ein Entwurf des zu veröffentlichenden Textes muss der Anfrage beigelegt werden. IDC behält sich das Recht vor, eine externe Veröffentlichung der Daten abzulehnen. Für weitere Informationen bezüglich dieser Veröffentlichung kontaktieren Sie bitte: Katja Schmalen, Marketing Director, +49 69 90502-115 oder kschmalen@idc.com. Urheberrecht: IDC, 2015. Die Vervielfältigung dieses Dokuments ist ohne schriftliche Erlaubnis strengstens untersagt.
IDC Central Europe GmbH Hanauer Landstr. 182 D 60314 Frankfurt Germany T: +49 69 90502-0 F: +49 69 90502-100 E: info_ce@idc.com