IT-Sicherheit
IT-Sicherheit
IT-Sicherheit ist ein Thema mit dem sich jeder Unternehmer und Mitarbeiter heutzutage immer mehr beschäftigen muss! Aber welche Bereiche umfasst IT Sicherheit eigentlich genau und wie finde ich einen strukturierten, ganzheitlichen Ansatz dieses Thema zu lösen?
IT-Sicherheit: Mehr als nur ein Virenfilter?
IT-Sicherheit umfasst erheblich mehr als nur ein Rechtesystem, Antiviren-Schutz, eine Datensicherung, eine Firewall, eine Klimaanlage oder einen SPAM-Filter. Auch rechtliche Aspekte sind zu berücksichtigen, Datenschutz, Zugriffsschutz im Detail, Patchmanagement, Home-Office, die Nutzung von Mitarbeiter Geräten und mobilem Arbeiten, u.v.m.
Ablauf zur Herstellung von IT-Sicherheit
IT-Sicherheit ist kein einfaches Thema, aber doch überschaubar, wenn man einen Leitfaden hat. Wir schauen uns zunächst Ihre IST-Situation an, erstellen eine Dokumentation und erkennen so das Verbesserungspotenzial.
Analysieren -> planen -> realisieren - entwickeln / pflegen
Das BSI fordert die Umsetzung der IT-Sicherheit nach dem Stand der Technik, aber auch die Angemessenheit an das jeweilige Unternehmen muss berücksichtig werden. d.h. Wie groß ist das Unternehmen, gehört es zur KRITIS und unterliegt somit ggf. dem IT-Sicherheitsgesetz oder den Anforderungen von NIS2.
Was kann sich ein Unternehmen leisten, denn IT-Sicherheit ist meist relativ aufwändig. Den Aufwand zu minimieren, den Nutzen zu maximieren und die Anforderungen einzuhalten mit optimalen Mitteln ist also die Anforderung.
Die globalen Hauptthemen haben zudem noch vielerlei Unteraspekte. Diesen gilt es sich im Detail zu widmen und zu einem Gesamtkonzept zusammenzuschweißen. Eine passgenaue und vollständige IT-Sicherheit ist nur gewährleistet, wenn die Systeme und Konzepte zusammen ein Ganzes ergeben.
Muss es immer Microsoft sein?
IT-Sicherheit: Wichtige Aspekte
Um zunächst den richtigen Ansatz wählen zu können, haben wir nachfolgend die wichtigsten Aspekte für Sie zusammen gefasst:
- Windows-Domain-Anmeldung mit Zwei-Faktor-Authentifizierung
- Zwei-Faktor-Authentifizierung für VPN (HomeOffice, Außendienst)
- Zugriffsschutz: (Rechtekonzept und Realisierung, Firewall, VPN, Endpoint-Protection,...)
- Viren-Schutz: Datei Antivirus, E-Mail Virenschutz
- Datensicherung: Backup und Desasterrecovery
- Ausfallsicherheit: Risikomanagement
- Rechtssicherheit: DSGVO, GoBD, NIS2
- E-Mail Archivierung
- Betriebssicherheit: verwalten und produzieren
- BSI Grundschutz: Stand der Technik
Zugriffssicherheit
Der Zugriff auf Daten und Geräte muss autorisiert und überwacht werden. Gleich wie viele Daten und welche Daten genutzt werden. Alle Kanäle werden überwacht ohne die Produktivität einzuschränken.
Ausfallsicherheit
Die nahezu 100%ige Verfügbarkeit der Daten und Systeme muss gewährleistet sein.
Datenschutz & Datensicherheit
Innerhalb ihres Systems gewährleisten wir den Datenschutz und die Datensicherheit beim Be- und Verarbeiten von Daten und deren Speicherung. Keine Daten dürfen unbefugt manipuliert oder ausgelesen werden. Das nach rechtlichen Grundlagen aufgebaute Archiv folgt ebenfalls diesen Grundsätzen.
Hier ist auch in vielen Dingen der Benutzer gefragt.
Investitionssicherheit
Sicherheit bei der Investition in Modernisierung und Erweiterung durch eine Dokumentation und gezielte Planung.
Zugriffssicherheit
Die Passwörter sollen möglichst "stark" sein und für jedes System abweichend sein. Ein Passwortmanager unterstützt das Verwalten und die Nutzung.
Starke Passwörter sind mindestens 16 Zeichen lang und werden aus mehreren "Töpfen" generiert, z.B. Zahlen, Buchstaben (Kleine und große), Sonderzeichen. Natürlich können auch Sinnsprüche oder andere Hilfsmittel verwendet werden.
Passwortmanager wie KeePass erleichtern die Verwaltung und auch die Nutzung. Die Authorisierung am Passwortmanager kann auch per 2FA (Zwei-FAktor-Authentifizierung) erfolgen, was auch hier die Sicherheit erhöht und die Eingabe vereinfacht.
Zwei-Faktor-Authentifizierung stellt nach dem BSI eines der Basiselemente der IT-Sicherheit dar.
Zwei-Faktoren zum Anmelden an:
- Windows Domain: Lokale PC und RDP-Server Anmeldung
- Web-Mailer / Groupware z.B. bei Alternativen zu Microsoft Exchange und MS365
- VPN aus dem HomeOffice oder von Unterwegs
- Web-Portale und Shops
Virenschutz ist eine der IT-Sicherheit Basiselemente nach dem BSI. Der Virenschutz ist wichtig für:
- Datei-Virenschutz
- E-Mail Anhangsvirenschutz
- Download Virenschutz aus dem Internet
manch eine Lösung bietet neben dem einfachen Virenschutz auch noch weitere Funktionen:
- Patchmanagement für Tools (PDF-Reader, Browser, ZIPer, etc.)
- lokale Firewall
- E-Mail Sicherheit
Manche Funktionen können auch mehrstufig sein, z.B. Virenschutz auf der Firewall und am PC, Contentfilter in der Firewall mit Download Filter und zusätzlich durch das lokale Antivirus System
Ergänzt werden kann das Schutzsystem gegen Viren auch noch durch EDR/XDR Systeme, die ungewöhnliche Aktivitäten erkennen und verhindern.
Neben allen Funktionen ist es wichtig ein leistungsfähiges System zu wählen. Sehr gute Erkennungsraten, wenige false Positives und sehr schnell im Scanning)
VPN ist der Faktor für flexibles Arbeiten. Laut BSI Grundschutz nur mit 2FA (Zwei-Faktor-Authentifizierung)
Im Home-Office und beim mobilen Arbeiten muss Zugriffssicherheit hergestellt werden. Dies sollte stets mit 2FA (Zwei Faktor Authentifizierung) erfolgen, leider können dies nicht alle VPN - Router/Firewall Hersteller z.B. AVM mit Ihrer FritzBox. Es gibt aber auch kostenfreie OpenSource Firewall Lösungen die hier die Lösung sein können.
Sicherheit geht vor und dennoch will und soll man einfach arbeiten können. Verlässlichkeit, hohe Performance. In der IT-Sicherheit soll die Einfachheit und Vielfältigkeit nicht geopfert werden.
Auch das WLAN oder die WLAN-Netze müssen durch eine Firewall gesichert werden.
Eine performante Hardware mit zentralem Management (ein interner Controller für alle WLAN Geräte) ist somit Pflicht. Damit werden auch die Geräte Firmware aktuell gehalten.
Ein separates Gast-WLAN erhöht zudem die IT-Sicherheit erheblich.
Mobile Datenspeicher, wie z.B. SmartCards, USB, Kameras, DVD-Brenner und Co müssen gesichert werden.
Bei jedem Verbinden mit dem Netzwerk / Geräten müssen die Geräte schnell gescannt werden. Viele Antiviren-Systeme sind jedoch bei z.B. USBn Datenträger relativ langsam mit dem Scannen, sodass dies oftmals entfällt. Das darf nicht sein.
Der Serverraum muss ein separater, klimatisierter, abschließbarer Raum sein. Auch der Brandschutz muss gewährleistet werden.
Zugriffsschutz in der IT-Sicherheit ist ein zentrales Thema. Dabei geht es sowohl um logische Zugriffssicherheit (Passwörter, Rechteverwaltung, Richtlinien, Druckernutzung etc.) als auch um physikalisch, insbesondere bei zentralen Geräten.
Dienste die intern und auch extern angeboten werden müssen gut geschützt werden. Hierzu zählen z.B. auch Intranet Server, Dateiaustausch Server, FTP-Services, webDav u.a.m.
IT-Sicherheit gilt auch für VoIP Telekommunikation. Telefone im HomeOffice müssen per VPN an die zentrale TK-Anlage angeschlossen werden. Eine Fremdnutzung muss ausgeschlossen werden.
Ständige Kontrolle der Funktionen: Monitoring
Ausgehende Zugriffe auf z.B. FTP Dienste, Dateiübertragungen, oder anderes mehr sollte im Sinne der IT-Sicherheit dokumentiert und geschützt werden. Auch klare Nutzungsrichtlinien helfen.
OneDrive und andere ähnliche Kollaborationsdienst müssen ebenfalls klar geschützt werden. Ein interner Kollaborationsserver im eigenen "Rechenzentrum" auf Basis von OpenSource kann auch hier hilfreich sein.
Eine Dokumentation ist zudem eine Notwendigkeit und insbesondere für NIS2 Unternehmen Pflicht, da man nur so einen vollständige Überblick bekommt
Ausfallsicherheit
Der Serverraum muss klimatisiert sein, damit ein Ausfall durch Übertemperatur ausgeschlossen wird
Redundanzen und z.B. RAID (Redundante Anordnung unabhängiger Festplatten), ECC (Error Correction Code) Speicher im Server erhöhen die Ausfallsicherheit des Gerätes.
Eine ausreichend dimensionierte USV (unterbrechungsfreie Stromversorgung), die allen Servern im Falle eines Stromausfalles ein sicheres herunterfahren gewährleisten.
Unsere kontinuierliche Wartung und Betreuung ihrer Systeme trägt zur Prävention von Problemen bei.
Datenschutz & Datensicherheit
Mehrstufige Datensicherungskonzepte inklusive Langzeitsicherung und außer Haus Lagerung stellen die Datensicherung her.
Mail-Archivierung ist Pflicht für Unternehmen. Außerdem spart die digitale Archivierung von Daten Raum und Zeit.
Investitionssicherheit
Die Basis für eine Betreuung im Team und für zielgerichtete Entscheidungen (z.B. Mengen und Termine für Erneuerungen) ist eine gute Dokumentation.
Bedarfsgerechte Investitionen erfordern eine Analyse des Zieles und daraus abgeleitet des Bedarfes. Was ist das Ziel/das Interesse/der Mehrwert der durch eine Maßnahme erhofft wird?
Durch Marktkenntnis, aktuelle Produkt- und Herstellersuche nach Kriterien wie Funktion, Preis und Service beraten wir Sie über die bestmöglichen Lösungen für Ihr Unternehmen. Projektplanung und Realisierung, sowie die Wartung und Pflege ihres gesamten Systems ist unsere Aufgabe.