Lorem ipsum dolor sit - security-zone

Spitäler als Benchmark
für IT-Sicherheit bei KMU’s
Die Sicherheit ist ein umfangreiches Thema, auch in einer kleinen oder mittleren Firma. Spitäler kämpfen grundsätzlich mit denselben IT-SecurityHerausforderungen wie andere Unternehmen auch. Dass sie aufgrund der
hochsensiblen Daten wesentlich stärker exponiert sind, macht sie zur
idealen Benchmark für KMU’s.
Um die Sicherheit zu garantieren, müssen verschiedenste
Aufgaben
zusammenspielen:
organisatorische Regeln, physikalische Systeme, z.B. Schlüssel
und Zutrittssysteme, und dann
natürlich die Informatik-Sicherheit. Je nach Experte und Risikobewusstsein wird dem einen
oder anderen Faktor mehr oder
weniger Bedeutung beigemessen. Informatiksicherheit scheitert oft an kleinen Dingen.
Folgende Hinweise sollen helfen,
das Risiko von Datenverlusten
und Produktionseinbussen möglichst klein zu halten.
Firewall
Pascal Mühle
Stv. Supportleitung
Kantonsspital Winterthur
Eine Firewall zum Schutz des
Firmennetzwerks gegen aussen,
insbesondere des Internets ist
heutzutage
selbstverständlich
und unerlässlich. Eine richtig
konfigurierte Firewall schliesst
möglichst viele Türen und lässt
nur einige wenige Kanäle für
bestimmte Kommunikationsprotokolle offen.
Was die Firewall an Datenverkehr durchlässt, sollte durch
einen Malware Filter nach Viren,
Spyware, Spam und anderen
Bedrohungen durchsucht werden. Der Markt bietet heute
einfach zu installierende Geräte,
welche sich nach der Installation automatisch mit den neuesten Definitionen updaten. Im
Jargon spricht man von UTM:
Unified Threat Management und
Intrusion Detection and Prevention (ID&P).
Ein Zusatzprodukt wie WebSpy
erlaubt die sogenannten LogFiles in eine leicht lesbare Form
umzuwandeln und verhindert,
dass Mitarbeiter das Internet zu
falschen Zwecken missbrauchen.
Passwörter
Sind diese einfach, können sie
leicht geknackt werden, sind sie
sicher, können die Anwender
sich diese nicht merken. Oft
werden Passwörter notiert und
im Umfeld des Computers
„versteckt“ – es ist dann ein
Leichtes, an die geheimsten
Systeme und Daten zu kommen.
1
Der Zugriff auf Computer, die
von mehreren Personen genutzt
werden, stellt für Administratoren ein grosses Problem dar.
Wann immer ein Anwender eine
andere Aufgabe innerhalb der
Organisation übernimmt, oder
zumindest, wenn er diese verlässt, sollten Administratoren
wissen, zu welchen Systemen er
Zugang hatte, welche Passwörter er kannte, und diese dann
ändern. Selbstverständlich müssen danach alle Betroffenen
(und nur diese) informiert
werden.
Leider sind viele Passwortschutzsysteme mit hohen Kosten verbunden. Das Unterhalten
von klassischen Tokens ist kostspielig und aufwändig. Eine
interessante Möglichkeit, welche
wir momentan evaluieren ist
Savernova.
Eine
Schweizer
Lösung mit relativ tiefen Unterhaltskosten und guten Tools für
Passwort- und Identitätsverwaltung. Diese erlaubt uns nicht
nur ohne Hardware zu operieren, sondern auch sicherzustellen Passwörter, die nicht mehr
vergessen gehen.
Backup der Daten
Regelmässige Backups schützen
vor Datenverlusten. So sollte es
zumindest möglich sein, die
Daten des Vortages zu rekonstruieren. Am besten werden
die Backups ausser Haus in
einem Tresor gelagert. Diverse
Tools bieten die Möglichkeit,
ebenfalls verlorene E-Mails wieder herzustellen. So zum Beispiel ermöglicht PowerControls
von Krollentrack, auf einem
Exchange-Server einzelne Mails
in kürzester Zeit zu reproduzieren.
Antiviren-Prrogramme
Antiviren-Programme sind bereits in allen Firmen im Einsatz.
Viren sind aber längst nicht alle
Bedrohungen, welchen die Firmennetze ausgesetzt sind. Weitere Schädlingsprogramme wie
Trojaner, Würmer, Phishing,
Spyware, Hoaxes, Jokes und
Spam
nutzen
bekannte
Schwachstellen
der
Betriebsysteme.
Es
könnten
nun
verschiedenste Programme eingesetzt werden, um dagegen
vorzugehen – besser ist aber
eine Lösung, welche vor all
dieser
Malware
mit
einem
integrierten Produkt schützt. So
zum Beispiel schützt Panda
BusinesSecure nicht nur ClientPC’s sondern auch Fileserver,
Mailserver, SMTP-Gateways, MS
Proxy und ISA-Server. Dieses
ist insofern wichtig, da Dateien
gleichzeitig in allen Anwendungen geschützt sein müssen.
Software stets aktuell halten
Auch wenn das gewünschte Sicherheitsniveau konstant bleibt,
so müssen immer grössere Anstrengungen unternommen werden, um dieses auch zu erreichen, denn die Hacker und Feinde greifen mit immer effizienteren Methoden und Mitteln die
Firmen an. Entsprechend muss
die Software gepflegt werden.
Neueste Anti-Malware-Definitionen stehen durchschnittlich zwei
bis drei Stunden nach Bekanntwerden des Virus zur Verfügung. Diese müssen schnellstmöglich verbreitet werden, auch
auf
Laptops,
welche
nicht
dauernd mit dem Firmennetzwerk verbunden sind.
Hier zahlt es sich aus, wenn
man über Lösungen mit einer
zentralen Verwaltung verfügt.
Diese erlaubt dem Netzwerkverantwortlichen
Installation,
Rapportierung und Updates aller
Client-PC’s einfach zu bewerkstelligen. Das verkürzt nicht nur
die Reaktionszeit, sondern gewährleistet die konsequente
Umsetzung der Sicherheitsvorschriften.
Echtzeitschutz durch
innovative Technologien
Traditionelle Antivirenlösungen
können Sie vor der Infektion
durch bekannte Viren, Würmer
und Trojaner schützen. Unzureichenden Schutz bieten diese
herkömmlichen Lösungen vor
den sich immer schneller verbreitenden unbekannten Bedrohungen.
Viren
mit
einem
enormen
Verbreitungs- und Schadenspotential, wie zum Beispiel
Netsky, MyDoom oder Sobig,
infizierten innerhalb weniger
Stunden mehrere tausend PCSysteme und liessen den Antivirenherstellern keine Chance,
diese Epidemie zu verhindern.
Die Analyse des schädlichen
Codes,
die
Programmierung
einer neuen Virensignaturdatei,
sowie die Verteilung an alle
Nutzer kostet die Zeit, welche
die Autoren dieser Schädlinge
benötigen, um eine flächendeckende Verbreitung zu erreichen.
Die neuen, intelligenten TruPrevent-Technologien blocken Attacken unbekannter Schädlinge,
bevor
Ihre
Antivirenlösung
weiss, dass es diese Bedrohung
überhaupt gibt! Ebenfalls be-
2
inhalten diese neuen Technologien Mechanismen zum Schutz
vor Schädlingen, die sich via
Internet oder mit Hilfe des
Netzwerks verbreiten und nicht
auf
eine
E-Mai-Übertragung
angewiesen sind. Diese Lösung
analysiert nicht nur das Verhaltensmuster aller laufenden Prozesse, sondern gibt Alarm bei
unüblichen, potentiell gefährlichen Aktionen.
Centurion Mail eingesetzt werden sollte.
Mobile und Remote
Computing
Die Komplexität der Materie
macht es unerlässlich dass klar
bestimmt wird, wer für die
Sicherheit und insbesondere für
die IT-Sicherheit in der Firma
zuständig ist. Diese Person
sollte
ebenfalls
eine
klare
Beschreibung ihres Aufgabenbereichs bekommen. Insbesondere muss definiert werden,
welche Risiken die Firma zu
schützen gedenkt – und das ist
Aufgabe der Geschäftsleitung!
Immer mehr kommen WirelessLAN (WiFi) zum Einsatz. Was für
die Anwender Mobilität bedeuted, birgt für den Sicherheitsverantwortlichen Gefahren, welchen mit den notwendigen
Massnahmen begegnet werden
muss.
So ist es unerlässlich, die
Schutzfunktion WEP zu aktivieren oder, noch besser, den
Datenverkehr über sogenannte
Virtual Private Networks (VPN)
sicherzustellen.
Doch Vorsicht, auch bei VPN’s
besteht kein Verlass vor ungeschützten Computern der externen Partner. Stellen Sie sicher,
dass Ihr eingesetztes Produkt
auch die Sicherheit der RemoteComputer gewährleistet. VPNSecure scannt und entfernt
Schadprogramme
auf
dem
externen Computer, bevor er im
Netz akzeptiert wird.
Datenschutz
Es ist abzuwägen, ob geschützte
persönliche Daten (zum Beispiel
die Krankengeschichte) oder
geistiges Eigentum via E-Mail
versendet werden darf, oder ob
eine
Email-Verschlüsselungssoftware wie zum Beispiel
Nicht zuletzt lohnt es sich nachzudenken, ob ein Schredder angeschafft werden sollte, denn
im Mülleimer findet sich so
mancher brauchbare Hinweis,
um an Firmengeheimnisse zu
gelangen.
lokaler, Support unabdingbar.
Letztlich ist der Schutz nur so
gut wie das schwächste Glied
einer Kette.
Verantwortungen zuordnen
Fazit
Informationssicherheit ist als
ein Prozess zu betrachten, bei
dem Menschen wie auch Produkte eine wichtige Rolle spielen. Informationen sind existentielle Unternehmenswerte, welche es unabhängig von der
Unternehmensgrösse gilt, angemessen zu schützen.
Wichtig:
- Mitarbeiter müssen
regelmässig informiert
und geschult werden
- Nur innovative Produkte
und Leistungen sind in
der Lage, den ständig
wechselnden Gefahren
gerecht zu werden.
- Gerade im Sicherheitsbereich ist ein technischer, wenn möglich
3