data security management Blog

Webseiten bzw. jegliche Webportale welche hinsichtlich des Datenverkehrs abgesichert werden sollen, bedienen sich dafür an Zertifikaten. Diese schützen die Verbindung zwischen Client und Server mittels HTTPS. Sie als arbeiten sicher täglich damit und es ist Ihnen evtl. schon hin und wieder aufgefallen.

Solch Zertifikate kann man selbst generieren, allerdings erscheint im Browser dann die Nachricht, dass das vom Server bereitgestellte Zertifikat nicht verifiziert werden konnte. Für den User etwas ärgerlich bzw. aus technischer Sicht teilweise bedenklich.

Offizielle Zertifikate, damit sowas nicht passiert, kauft man beispielsweise bei VeriSign, Thawte oä. Die Kosten für ein Serverzertifikat sind durchaus erwähnenswert bzw. kann es je nach Typ teuer werden.
Für Betreiber von beispielsweise kleinen Foren ist oft nicht das Geld da, um in solche Sicherungsmaßnahmen zu investieren. Somit melden sich, um beim Foren Beispiel zu bleiben, die Foren-User ungesichert über http an. Tür und Tor für einen evtl. “Lauschangriff” sind somit weit geöffnet. Das muss nicht sein:

StartSSL bietet kostenlose „Einsteigerzertifikate“ an! D.h. Sie können sich dort registrieren und wenn Sie Inhaber einer Domain sind, können Sie sich dafür Web- und/oder E-Mail Zertifikate generieren, welche von den Webbrowsern als gültig erkannt werden. Natürlich gibt es auch die Möglichkeit, je nach Anforderung, seine Identität bei der Registrierungsstelle zu belegen um damit erhöhte Validierung bzw. entsprechend erweiterte Zertifikate zu erhalten. Dieser Service kostet dann allerdings etwas, im Vergleich zu anderen „Zertifikatsherstellern“ sind diese aber immer noch sehr günstig!

StartSSL ist ein seriöses Angebot einer israelischen Firma, auch wenn die Einsteigerzertifikate, welche in vielen Fällen ausreichend sind, kostenlos angeboten werden! Datasec nutzt den Service selbst um so die Vielzahl der Firewall Zugriffsportale uä. mittels offiziellen Zertifikaten abzusichern.

Die Einrichtung von Zertifikaten ist allerdings nicht allzu trivial – wer in seiner Funktion als Administrator noch nie damit gearbeitet hat wird anfangs etwas ratlos sein. Natürlich unterstützen wir Sie dabei, Zertifikate richtig einzusetzen.

Gehen wir davon aus Ihre Firma besitzt einen Plan zur Behebung bzw. Wiederanlauf im Falle eines “Desasters”. Fachlich sprechen wir in diesem Bereich von “Business Disaster Recovery” bzw. “Business Continuity Management”.

Ein Desaster kann viele Gründe haben und verschiedene Ausmaße annehmen. Wichtig ist, zu wissen, wie die notwendigen IT Services nach einem “Katastrophenfall” wiederhergestellt werden können. Normalerweise geht man davon aus, dass nach einer Katastrophe oder dem eingetretenen Desaster, die Umgebung in welcher man das “Disaster Recovery” ausführt wieder weitgehend stabil ist und die Recovery Schritte entsprechend durchgeführt werden können.

Was aber passiert, wenn es “Nachbeben” gibt, welche den Recovery Prozess empfindlich stören oder wieder auf Null zurücksetzen? Kann der Wiederherstellungsprozess wieder angestartet werden oder könnte dieser durch unvorhergesehene Nachfolgeprobleme geschädigt werden (und somit das Recovery unmöglich machen?)

Wie so oft gilt, dass man nicht für alle möglichen Szenarien einen 100%igen Plan haben kann. Aber, man kann sich Gedanken darüber machen und verschiedene Szenarien rasch (im Kopf) skizzieren. Viele große Stolpersteine fallen einem alleine durch dieses einfache “sich Gedanken machen” schon auf.

Verlassen Sie sich als Verantwortlicher im Unternehmen nicht darauf, dass Ihre IT bzw. deren Betreuer Ihre Anforderungen (vor allem hinsichtlich Wiederherstellbarkeit im Schadensfall) genau kennen. Stellen Sie lieber zuviele Fragen, als die Ungewissheit im Raum stehen zu lassen. “Schlafende Hunde” weckt man viel eher durch das Ignorieren schwelender Konflikt- bzw. Problempotentiale als durch konkretes nachfragen.

Sie haben es vielleicht schon gehört. In den letzten Tagen wurde neben Webseiten der SPÖ bzw. FPÖ auch die GIS gehackt. Zumindest das Webportal.

Medienwirksam machen Meldungen wie diese derzeit die Runde. Anscheinend ist das Phänomen “gehackte Webseiten” nun auch in Österreich angekommen. Neu sind diese Hacks natürlich nicht, diese hat es schon immer gegeben. Was jetzt aber anders ist, ist die erhöhte Aufmerksamkeit der Medien.

In diversen Foren bzw. Beiträgen von Usern liest man davon, wie diese sich über die mangelnden Fähigkeiten der hiesigen IT Verantwortlichen amüsieren. So einfach ist es dann aber doch wieder nicht. Unwissenheit ist das eine, aber in vielen Fällen ist das Bewusstsein bei den direkten Betreuern zwar vorhanden, man stößt aber auf taube Ohren oder es gibt für präventive Sicherheitsmaßnahmen kein oder zuwenig Budget. Es bewegt sich erst etwas, wenn es dann wirklich “kracht”. Bis dorthin hatte man das Glück auf seiner Seite.

Die Frage ist, ob man auf den Faktor Glück bzw. Zufall setzen möchte, um seine digitalen Werte sicher zu halten. 100%ige Sicherheit gibt es nicht. Punkt. Aber man kann sich um das Thema mithilfe von Experten annehmen und einen kleinen Teil seiner Aufmerksamkeit der immer wichtiger werdenden Thematik “Sicherheit der eigenen IT” widmen.

Sind die medienwirksamen Hacks der in der Überschrift genannten Hackergruppierungen falsch? Ja! Und Nein. Warum nein: weil meistens immer erst dann etwas getan wird, wenn es brennt. Und diese Hacks legen ein kleines Strohfeuer welches selbst von den Medien beachtet wird.

Ihre Mitarbeiter nutzen täglich die Unternehmens – IT. Doch wissen diese auch über den korrekten und erlaubten Umgang Bescheid? Wie sehen die Vorgaben des Unternehmens in Sachen IT aus, was ist erlaubt, was darf damit nicht getan werden?

Spielregeln oder besser gesagt Richtlinien für den korrekten Umgang mit der Firmen – IT sind ein einfaches und effektives Mittel, um den Mitarbeitern zu zeigen wie die Nutzungsbestimmungen aussehen.

Beherzigen Sie dabei unter anderem folgende Regeln:

• Simple is beautiful: mehrseitige Abfassungen in komplizierter Sprache liest und versteht kein Mensch. Halten Sie sich kurz und einfach. Sagt einem das was in den Regeln steht auch der gesunde Hausverstand? Perfekt, dann haben Sie die richtige Formulierung gefunden.
• Spielregeln sind eine nüchterne Darlegung von Do’s und Dont’s. Vorab zu kriminalisieren oder zu verdächtigen hilft Ihnen nicht weiter, ganz im Gegenteil!
• Holen Sie Ihre Mitarbeiter mit an Bord. Kommunizieren Sie, warum es für das Unternehmen wichtig und notwendig ist, diese Richtlinien zu befolgen.
• Das “IT – FortKnox” resultiert meist in überhöhten Kosten, sinnlosem Mehraufwand und verärgerten Benutzern. Finden Sie das richtige Maß an Vorgaben, auf die Bedürfnisse Ihres Unternehmens abgestimmt. Denn: je strikter die Sperren, desto ausgefuchster werden die User.
• Richtlinien Vorlagen bzw. Templates können eine Richtung weisen und Tipps geben, diese sind aber unbedingt im Kontext der eigenen Situation zu überarbeiten!
• Sicherheitsvorfälle können immer passieren. Definieren Sie einen entsprechenden Meldeweg und motivieren Sie Ihre Mitarbeiter, erkannte Vorfälle rasch zu melden – denn viele Augen sehen mehr.
• Arbeiten Sie bei technischen Überwachungsmechanismen mit Ihren Personalvertretern (Betriebsrat etc.) zusammen. Nicht alles was technisch möglich ist, ist hinsichtlich Datenschutz auch legal. Klären Sie Ihre User darüber auf, inwieweit die tägliche Arbeit bzw. IT “überwacht” wird.
• Definieren Sie Konsequenzen. Spielregeln ohne klaren Verweis bei Verstößen sind zahnlos.
• Ihre IT und Anforderungen können sich ändern. Halten Sie die Richtlinien deshalb auf aktuellen Stand.
• Machen Sie Ihre aktuell gültigen Richtlinien innerhalb des Unternehmens für die Mitarbeiter zugänglich.
• Lassen Sie die Richtlinien von den Mitarbeitern welche betroffen sind wenn möglich unterschreiben.

Die genannten Punkte sind Wegweiser. Jedes Unternehmen ist im Detail einzigartig.
Aber: ein passendes “Grundset” an Richtlinien ist rasch erstellt.

Lernen Sie den Mehrwert kommunizierter IT-Richtlinien kennen -> wir helfen Ihnen gerne bei der Ausarbeitung passender Spielregeln.

“Kleine und mittlere Unternehmen (KMU) bilden das Rückgrat der Unternehmenslandschaft und haben damit wesentlichen Einfluss auf die Wirtschaftsstruktur.” Das sagt uns die Wirtschaftskammer Österreich.

Welche “Werkzeuge” verwenden KMUs im Geschäftsalltag im Vergleich zu Großbetrieben? Im Grunde die gleichen, vor allem wenn es um IT geht. Natürlich bewegen wir uns in Sachen IT in anderen Größenordnungen, aber die Risiken welche durch den Einsatz von IT entstehen, sind weitgehend gleich.

Großbetriebe kümmern sich um diese IT Risiken, welche das Potential haben ganze Geschäftsabläufe empfindlich zu stören, ganz bewusst. Für “die Großen” gibt es auch die entsprechenden Methoden und Tools am Markt. Doch was machen KMU Betriebe? Sie sind ähnlichen Risiken ausgesetzt, besagte Tools und Methoden sind dort aber nicht anwendbar (da zu teuer, zu umfangreich, zu kompliziert)

Wie geht ein KMU Betrieb nun mit IT Risiken um? Kopf in den Sand?
Nein, denn: Die Data Management GmbH hat die Methoden aus dem “Enterprise” Umfeld für den KMU Sektor adaptiert. Somit sind IT Risiko Analysen und IT Risiko Management auch für die wirtschaftlich wichtigen KMUs leist- sowie durchführbar.

Als IT Security Dienstleister betrachten wir die IT und das Informationsmanagement von KMUs als Ganzes, aus Sicht der Geschäftsleitung und des Unternehmens. Wir decken versteckte Risiken, welche durch den Einsatz von IT entstehen, auf und bieten entsprechende Maßnahmen zur Risikominimierung an. Damit Ihre IT auch morgen noch gut funktioniert und Sie diese Gewissheit durch eine unabhängige, dritte Stelle bestätigt haben!

Weitere Informationen dazu (Links zu PDF Dateien):

5 Fragen zum Thema IT Sicherheit im Unternehmen

Service: IT Risiko Analyse für KMU