Fernwartung als Risiko. Ein Denkanstoß für Entscheider

Auditor betrachtet VISULOX Cockpit Audit Trails

Tägliche Nachrichten, Werbeflyer großer Versicherungsgesellschaften, Zertifizierungsprojekte nach ISO 27001, NIST, PCI DSS oder Empfehlungen der Datenschützer sowie jährliche Audit-Ergebnisse von Wirtschaftsprüfern – Die Flut an Anforderungen und Empfehlungen bezüglich Cyber-Sicherheit reißt nicht ab. Dem gegenüber lässt das Augenzwinkern und die „Das wird schon gut gehen“-Mentalität spürbar nach. Und all das, aus gutem Grund.

Jegliche aktuelle Maßnahmenempfehlungen räumen dabei dem Thema Fernwartung eine besondere Stellung ein. Nicht ohne Grund. Die die Risiken beim Zugang über Datenkommunikationsleitungen werden von Verantwortlichen oftmals unterschätzt. Diese sind nämlich nicht greifbar quasi unsichtbar, werden „ja so oder so“ durch SLAs und Verträge mit Dienstleistern abgedeckt und der Return on Invest ist nunmal auch kein Treiber für die Zukunft.

Erfahren Sie fortlaufend was rund um das Thema Fernwartung und dem Zugriff auf schützenswerte Assets und Betriebsgeheimnisse aus Risiko- und Managementsicht zu beachten ist. Oftmals unbeachtet und dafür eines der größten Auslöser für ernstzunehmende Cyber-Sicherheitsvorfälle.

Zwei tragende Tatsachen sind:  

  1. Durch Fernwartung wird einem Informationsabfluss Tür und Tor geöffnet. 
  2. Das Handeln der Fernwartungsnutzer ist unkontrolliert und findet im Verborgenen statt.

Die Forderungen in den einschlägigen externen Vorschiften, als auch interne Informationssicherheitsbeauftragte adressieren, gebetmühlenartig genau diese Punkte.

Kontrolle und Transparenz autorisierter, privilegierter Anwender beim Zugriff auf IT- und OT Systeme. 

Die klassische Art der Fernwartung (Remote Gateway mit VPN und Ende-zu-Ende Kommunikation, ) findet immer im Hinterzimmer statt. Eine Kontrolle des Kommunikationsweges ist zwar möglich, aber nicht die Kontrolle des Kommunikationsinhaltes. 

Der Einsatz von Firewalls, VPN, Jump-Serven und Erkennungssystemen helfen zwar grundlegend, Gefahren, ausgehend von Dritten, zu mittigeren und nicht autorisierte Zugänge zu vermeiden oder mindestens zu erkennen – Sie helfen aber nicht dabei, sehr wohl autorisierte Zugänge zu kontrollieren und dokumentieren.

Je nach gewährtem Zugang und Funktion des Anwenders erhält dieser dabei benötigte Berechtigungen. Diese reichen von der reinen Nutzung von Informationen durch Anwendungen, hin zum administrativen Zugang auf Datenbank- oder Betriebssystemebene. Im letzteren Fall wird vom Zugang mit privilegierten Rechten gesprochen und ist im Rahmen des IT-Betriebs eine Notwendigkeit. 

IT-Sicherheit ist eine Führungsdisziplin der vernetzten Zukunft

Im Rahmen ihres Auftrags müssen Entscheider die Antworten auf folgende Fragen kennen:

  1. Was bedeutet „Zugang mit privilegierten Rechten zu Unternehmensdaten“ für meine Organisation?

2. Welches unterschiedlichen strategischen und operativen Risiken gehen hiervon aus? 

3. Welche präventive Maßnahmen betreibt die IT Abteilung und welche Compliance Anforderungen sind aktueller Stand der Technik?

4. Sind spezifische Risiken im unternehmensinternen Risikomanagement identifiziert und realistisch bewertet? 

Reale Risiken müssen auf die logische Welt übertragen werden

Beim physischen Zugang zu Geschäftsräumen beispielsweise kommen selbstverständlich erkennbare Methoden zur Kontrolle und Transparenz zum Einsatz: z.B. Identitätsnachweis durch Personalausweis, Zugangskontrollen, Videoüberwachungen oder Begleitvorschriften. Durch diese Methoden werden die zentralen Fragen beantwortet: Wann hat wer wen ins Gebäude gelassen? Wann war wer in welchem Raum? Wer hat wann was in welchen Raum getan.

Es ist völlig normal für uns, dass wir am Geldautomaten per Video aufgezeichnet werden, oder nicht? 

Doch wer stellt diese Fragen beim logischen Zugang? Der Zugang zur Fernwartung muss äquivalenten Vorschriften unterliegen und dabei dieselben Ergebnisse liefern: Wer hat wem Zugang erteilt? Was wurde wann wie gemacht? Wer arbeitete wann an welchen Daten zu welchem Zeitpunkt? Wobei hier des „wer“ ebenso eine eindeutige Identität darstellen muss wie im physischem Raum – Bezeichnungen wie „Root“, „Administrator“ dürfen nicht akzeptiert werden. Hierbei handelt es sich um fachliche Identitäten, wie „Hausmeister“ oder „Techniker der Firma xyz“ und sind keine individuelle Identitäten und somit nicht zurückzuverfolgen.

Im Rahmen der Fernwartung hat ein privilegierter Anwender seine Aufgaben zu erledigen. In der Praxis stehen dem Anwender hierfür ein standardisiertes Set von Berechtigungen bereit. Seine Rechtelage erlaubt ihm immer mehr als für die eigentliche Aufgabe erforderlich ist. Dieses „Mehr“ kann systembedingt nicht verhindert werden, da sonst Teile der Aufgabe nicht erledigt werden können. Zum Beispiel benötigt der Dienstleister zur Administration des E-Mail Servers privilegierte Rechte. Diese erlauben diesem das Einsehen der E-Mails obwohl dies explizit nicht in die Beauftragung fällt. 

Folglich entstehen multi-dimensionale hohe Risiken:

Das strategische Risiko: Ausgehend von der Möglichkeit der Einsicht oder dem Abfließen lassen von unternehmenskritischen Informationen.

Das operatives Risiko: Ausgehend von der Sabotage von IT-Prozessen rund um dem E-Mail Server.

Ziel ist es, die Risiken zu identifizieren und reduzieren. 

Maßnahmen zur Reduzierung von Risiken durch unkontrollierte Fernwartungszugänge

VISULOX. adressiert genau dieses Problemfeld. Risiken bei der Fernwartung reduzieren und vermeiden: 

  • Die Identität des Nutzers ist hinterlegt und wird z.B. durch einen ActiveDirectory Server und integrierte Multi Faktor Authentifizierung bestätigt.
  • Die Anmeldung erfolgt nur im Rahmen von zugeteilten Anmeldefenstern. Der Nutzer hat nur Zugang zu den Komponenten, die für seine Aufgabe notwendig sind
  • Live sind die aktuellen Aktivitäten in einem Cockpit sichtbar und können kontrolliert werden
  • Der externe Benutzer kann bei seinen Arbeiten begleitet werden
  • Die Aktivitäten des Nutzers mit den Daten werden vollständig in einem Film protokolliert
  • Der Dateitransfer ist sowohl einwärts als auch ausgehend, gemäß der Aufgabe konfigurierbar. Dies gilt auch für die Nutzung von Copy&Paste (vermeidet Datenklau). 

Seit 2003 beschäftigt sich amitego mit dem kontrollierten, protokollierten Zugang zu IT-Infrastrukturen, dessen Management und Sicherung. 

VISULOX ist eine bewährte Lösung, die optimal auf diesen Vektor abgestimmt ist. Im Gegensatz zu vielen anderen Produkten auf dem Markt verbindet VISULOX alle Anforderungen in einer Lösung für revisionssichere Zugriffe auf IT-Infrastrukturen. Dabei ist VISULOX im Einvernehmen mit den geltenden Regeln bezüglich Datenschutz- und Betriebsverfassungsgesetz zu implementieren. 

VISULOX ist global im Einsatz und erfüllt bei Kunden zum einen die Aufgaben, die durch den eigentlichen Betrieb gestellt werden. Und liefert zum anderen die durch Gesetze oder Regularien geforderten Nachweise. Gerade die Transparenz der Tätigkeiten durch Dritte ist zwingend erforderlich, um die Kontrolle über die eigentlichen Nutzeraktivitäten bei Zugriffen auf die IT-Infrastruktur zu gewährleisten. 

Die Lösung wird heute bei einer Vielzahl von Unternehmen aus verschiedensten Branchen in vielen Ländern eingesetzt. Von Installationen mit 5 Usern bis hin zu Enterprise Installationen mit < 7.500 gleichzeitigen Anwendern, bei KMUs und Dax30 Unternehmen. Alles zu implementieren ohne Änderungen an Clients oder Servern.

Unsere Erfahrung zeigt, dass wir gut zuhören können. Ein kurzes persönliches Gespräch kann sehr oft lange Wege ersparen. Wir würden uns freuen Sie in einem kurzen 15-minütigen Termin kennenzulernen. Tragen Sie sich nachstehend gerne einfach ein. Wir melden uns.

Wir haben noch mehr Themen über die wir gerne schreiben.

Cookie Consent with Real Cookie Banner