CyberSecurity – Single Sign On SSO – Sicherheit gegen gefährdenden Passwort- und Rechte-Wildwuchs

Passwort- und Rechte-Wildwuchs und eine steigende Akzeptanz der Cloud bewirken einen verstärkten Trend zum sogenannten Single-Sign-On SSO.
Diese Authentifizierungsmethode kann durch den Bedienerkomfort und die zentrale Verwaltung auch die Sicherheits- und Compliance-Anforderungen umfassend optimieren.

Im privaten und zunehmend auch geschäftlichen Umfeld kennt man gewisse Sign-In-Varianten über soziale Netzwerke wie Facebook, Twitter, Google, Amazon oder Microsoft als prominente SSO-Plattformen für den integrierten Zugang zu unterschiedlichen Services und Rechten.

Im Unternehmensumfeld wird SSO beispielsweise genutzt, um Nutzern einen integrierten, möglichst simplifizierten Zugriff auf eigene Web- oder Cloud-Anwendungen auf internen Servern oder in der (Hybrid)Cloud zu gewähren. Teilweise wird der Zugang mittels erweiterten Authentifizierungsmechanismen wie z.B. MFA (Multi Factor Authentication) oder 2FA (Two Factor Authentication) per Tokens, SMS, Email, Smartphone Authenticator Apps und dergleichen zusätzlich abgesichert. (ähnlich wie bei modernem eBanking).

Publizierter Artikel bei KSGV Gewerbeverband Schwyz

ksgv.ch – Gewerbeverband – CyberSecurity Sensilibisierung – SingleSignOn SSO MFA – Ausgabe Okt 2018 – Fridels_BLOG_F@R

Advertisements

CyberSecurity ¦ Digitalisierung ¦ InformationsEthik: Technologische (R)Evolutions-Sprünge > Vertrauen und Cyber Security – ein Widerspruch?

Technologische (R)Evolutions-Sprünge > Vertrauen und Cyber Security – ein Widerspruch?

von Fridel Rickenbacher

Die Industrie 4.0 und die entsprechende Digitalisierung mit sprunghaften Technologie-(R)Evolutionen wie Internet of Things (IoT), Künstliche Intelligenz (KI) und Blockchain fordern gesamtheitliche und integrierte Prozesse und Schnittstellen. Dies mit auch Fokus auf eine maximierte Angriffs- und Betriebssicherheit. Wie es in Zukunft um Cyber Security und Informations-Ethik steht, beleuchtet dieser publizierte Impuls-Artikel bei KMURundschau / Rundschaumedien.

Siehe hier der Artikel als PDF: kmuRUNDSCHAU_03_2018_Cybersecurity

 

CyberSecurity: Risiken durch Email, Phishing-Mail, EDV – Ende der Vernunft in Email und Sicherheit?!


Publizierter Artikel bei KSGV als PDF: ksgv.ch – Gewerbeverband – CyberSecurity Sensilibisierung – Risiko Phishing Email – Ausgabe Sept 2018 – Fridels_BLOG_F@R

Gerade sehr aktuell in letzter Zeit kommen im mehr Unsicherheiten und Fragen auf rund um die vielen eingehenden, teilweise gut getarnten oder mit falschen Absenderidentitäten gefälschten Mails, sogenannten Phishing-Mails.

Solche gefälschten Mails sind in letzter Zeit in grosser Zahl von scheinbar vertrauenswürdigen, namhaften Firmen gekommen wie z.B. Swisscom, UBS, CSS, SBB, Microsoft, Paypal, Amazon

Fast 90% der erfolgreichen Cyberangriffe beginnen mit solchen Phishing-Attacken oder der auch als „Social Engineering“ bezeichneten Manipulation von Menschen (Missbrauch der natürlich Tendenz zum Vertrauen), um an deren vertrauliche Informationen zu kommen. Die Schadsoftware gelangt z.B. per Email-Anhang, über Aufruf von schädlichen Links oder „infizierte“ Webseiten auf das System. Das Risiko, von einem derartigen Angriff getroffen zu werden, kann man heute mit verhältnismäßig kleinem Budget und relativ einfach beherrschbaren und automatisierten Cloud-Services massiv reduzieren. Es eignet sich z.B. Emaillösung auf Basis Office365, Reduktion von Datentransfers per Email mittels moderner, sicherer Collaboration mittels Microsoft Sharepoint, Emailsignierung und / oder –verschlüsselung, Managed Mailsecurity, Managed Security Services oder auch ein «einfaches und preisgünstiges» Cloud-Backup.

Die unverändert wichtigste Grundlage für alle Schutzmaßnahmen auf Seite der Endanwender sind aktuelle, korrekt eingerichtete und laufend aktualisierte Betriebssysteme. Und natürlich Programme wie Virenschutz, Anti-Malware-Monitoring oder Baseline-Analyzer, die den PC auf Sicherheitslücken überprüfen. Auch hier gibt es bereits proaktive und zentral verwaltbare Lösungen, die sich geschickt kombinieren lassen und sich zentral steuern lassen bei grösseren IT-Organisationen.

60% des Datenverlusts, der den Ruf oder die Existenz einer Firma bedrohen könnte, entsteht durch Diebstahl oder Manipulation (z.B. Verschlüsselung der Daten und gleichzeitiger Erpressung von Lösegeld, z.B. sogenannte Ransomware). Dieses Risiko kann mittels gut kombinierbaren Cloud-Services (auch in Kombination von OnPrem und Public Cloud Services bzw. Hybrid Cloud) auf ein Minimum reduziert werden. Wer zum Beispiel seine Emails oder sogar alle Daten verschlüsselt überträgt, Emailkommunikation mittels anderer Datenaustausch-Optionen (wie z.B. Microsoft Office365, Sharepoint, OneDrive) optimiert oder reduziert, regelmäßig standort- und geräte-unabhängige Backups in der Cloud sichert oder auch auf einer Gesamtlösung in der Cloud aufbaut, minimiert die Bedrohungslage deutlich.

Im Zentrum der Computer-Kriminalität steht allerdings unverändert der Mensch / Mitarbeiter als Ziel. Mitarbeiter können jedoch als aktive Beteiligte im Kampf gegen IT-Risiken miteinbezogen werden. Mit einer generellen Sensibilisierung dem Thema gegenüber, gezielten Schulungen und weitergehenden Trainings und auch Tests, aber auch über eine IT Security Policy (Regeln und Weisungen rund im die EDV-Anwendung), die im Arbeitsvertrag verbindlich hinterlegt werden kann.

Sicherheit als explizite Anforderung in einen  Entwicklungsprozess aufzunehmen und  ganzheitliche Sicherheitsmaßnahmen von der Initialisierung an zu berücksichtigen ist richtig. Auch ist zunehmend die Orientierung an «Stand der Technik» unumgänglich in der dynamischen Bedrohungslage und zunehmenden regulatorischen Ausrichtungen an ebenfalls «Stand der Technik»

Mit kombinierten Maßnahmen lässt sich gut eine “Security by Design” / “Security by Default” Gesamtlösung realisieren, die auch an die Anforderungen des europäischen Datenschutzes (EU-DSGVO, GDPR) angepasst ist. Weitergehende Anforderungen und Compliance-Vorgaben gemäß der eigenen IT-Firmen-Strategie werden durch präventive Maßnahmen sinnvoll und budgetierbar unterstützt. Der Maturitäts-Level / Reife-Grad von einer nachhaltigen und zukunftsorientierten IT-Gesamtlösung kann mit dem Mindset und Massnahmen rund um «Stand der Technik», «Security by design» und «Security by default» optimiert werden.

“Make or buy”-Entscheidungen im Bereich dieser Managed Security Services und Cloud Services sind mittlerweile relativ einfach geworden. So gibt es international tätige Services-Anbieter und deren zertifizierte Partner in allen Ländern, die mit höchstspezialisierten Security-Spezialisten im 7x24h-Betrieb zusammenarbeiten und mittels global operierenden Security Responce Operation Centers einen völlig anderen Schutzgrad erreichen können. Solche Milliarden-Investitionen in die globalen Sicherheitsgesamtaspekte von solchen kritischen. global betriebenen Infrastrukturen im Mitbewerber-Kampf zeigen hier natürlich bereits grosse und positive Wirkung. Da mit der zunehmenden Größe einer Industrie im grossen Konkurrenzdruck die Kosten pro Einheit abnehmen – der sogenannte „economy of scale“-Effekt – ist bereits heute eine erschwingliche und automatisierbare Nutzung solcher globalen «Enterprise-Lösungen» auch für kleine und mittlere Unternehmen sowie Non-Profit-Organisationen möglich. Durch solche Effekte können auch negative und risikoreiche Aspekte von «Schatten-Informatik / ShadowIT-Altlasten» in einzelnen Schritten und Phasen optimiert und behoben werden mittels moderaten und überschaubare budgetierbaren Kosten.

 

CyberSecurity: Sensibilisierung und Stärkung der „Schwachstelle“ Mensch zugunsten der Gesamtsicherheit


Publizierter Artikel bei KSGV als PDF: ksgv.ch – Gewerbeverband – CyberSecurity Sensilibisierung – Schwachstelle Mensch – Ausgabe Juli 2018 – Fridels_BLOG_F@R

Die Industrie 4.0 und die entsprechende Digitalisierung fordert integrierte und robuste Prozesse als Rückgrat der “massiven Interkonnektion”, integrierten Schnittstellen und „Collaboration“.

Durch diese sprunghafte und dynamische Weiterentwicklung und völlig neuen Anforderungen an die Mobilität der Mitarbeiter hat der früher vielfach ausreichende Fokus auf die «Sicherheit der Geräte / Hardware» mittels einem Virenschutz längst ausgedient und entspricht längst nicht mehr dem «Stand der Technik».

In der Analogie zum Schutz der missionkritischen Daten mittels einem Schloss wird in der Grafik gut ersichtlich, dass zwar die Schlösser immer grösser werden jedoch werden die Hämmer (CyberAttacken, Hacker) immer schneller grösser und mittlerweilen verhältnismässig mächtiger (wie ein Vorschlag-Hammer z.B. durch Social Engineering, Künstliche Intelligenz KI / AI) als die Schlösser (Gegenmassnahmen).

In der heutig vielfach angestrebten System-Architektur mit der Strategie auf der Basis von «Security by design» zugunsten der gesamtheitlichen ICT-Sicherheit steht die «umfassende Sicherheit des Benutzers» mit dessen Identität, Zugriff, Berechtigungen, Richtlinien und erweiterten Anforderungen an z.B. Datenschutz, Datensicherheit, Verschlüsselung und Self-Service im Vordergrund.

Die Sensibilisierung der zunehmend angegriffenen „Schwachstelle“ Mensch bzw. dessen Identität und personenbezogenen Daten ist ein zunehmend wichtiger Faktor beim Erreichen eines möglichst hohen Gesamt-Sicherheits-Niveaus.
Dass unverändert und zunehmend der Mensch und dessen Identität und Rechte das wichtigste Angriffsziel bleibt zeigen die folgenden einfachen Statistik-Aussagen: Rund 90% der erfolgreichen Attacken starten mit einem Phishing-Mail basierend auf Social Engineering (Das geschickt manipulierte Ausnutzen der menschlichen Tendenz zur Gutgläubigkeit und Vertrauen). Danach entsteht bei rund 80% der Fälle ein weitergehender Schaden wegen zu schwachen Kennwörtern bzw. Systemschutz oder zu hohen Berechtigungen des angegriffenen Mitarbeiters in der angezielten Systemumgebung.

Der Mensch als kritisches Einfallstor für CyberAttacken muss umfassend informiert, aufgeklärt, unterstützt und geschützt werden damit er überhaupt eine persönliche Mitverantwortung mittragen kann.

Die Technik alleine nicht mehr reicht gegen die dynamischen Bedrohungslagen von CyberCrime und als Beispiele gegen immer ausgereifteren z.B. Phishing-Mails, Phishing-Webseiten bzw. Social Engineering Attacken. Der weltweit sprunghaft ansteigende Wirtschaftsfaktor CyberCrime bedient sich auch von schier unerschöpfbaren monetären und technologischen Ressourcen und nutzt auch die „andere / dunkle Seite der Macht“ (dual use Problematik) von neuesten technologischen Errungenschaften rund um z.B. Künstliche Intelligenz KI / AI oder Super High Computing.

Mittels zusätzlicher Sensibilisierung der EDV-Anwender bezüglich CyberSecurity mit stufengerecht erklärten Kurz-Präsentationen, Visualisierung, Workshops, wiederkehrende Newsletters, interne Informationen, ICT Security Policy und auch Beispiele / Anatomie von erfolgreichen Attacken rund um Gefahren wie z.B. Phishing-Mails, Ransom-Ware, Trojaner, Social Engineering (Das geschickt manipulierte Ausnutzen der menschlichen Tendenz zur Gutgläubigkeit und Vertrauen), Verhaltensansweisungen im Internet / Social Media und beim Datenaustausch / Datenmedien-Nutzung von auch personenbezogenen Daten kann das Gesamt-Schutzniveau zusätzlich effektiv optimiert werden zugunsten der System-Resilienz (z.B. Angriffs- und Betriebs-Sicherheit)
Je nach Rolle oder Risiko-Exposition des Mitarbeiters (z.B. Kader, Aussendienst, Mobile Workplace, HomeOffice etc.) können dann bei Bedarf weitergehende Detail-Instruktionen und Sondermassnahmen erfolgen und implementiert werden.

Vorsorge ist bekanntlich immer besser als Nachsorge und betrifft auch die ICT-Strategie, ICT-Risk-Management, ICT-Audit bis hin zu auch Compliance-Themen und dem Versicherungswesen.

Dies sollte auch auf Basis von resilient orchestrierten ICT-Systemen mit auch sicherer Programmierung mit entsprechendem Fokus auf maximales, auditierbares «Security by design» / «privacy by design» / „Daten-, Zugangs- und Rechte-Minimierung“ / „Stand der Technik“ unterstützt werden. Durch diesen gesamtheitlichen Ansatz kann dem Ziel der bestmöglichen «Angriffs- und Betriebs-Sicherheit von ICT-Systemen» am besten Rechnung getragen werden.

Die Datenschutz-Regulationen wie z.B. CH-DSG oder EU-DSGVO / GDPR erfordern zudem weitergehende und vorallem nachweisbare Prozesse mit der Sicherstellung von maximalen Datenschutz- / Privacy-Aspekten zugunsten der personenbezogenen Daten.

Solche zunehmenden Anforderungen lassen sich selbsterklärend nicht mehr mit einfachen Virenschutz-Massnahmen bzw. ausgedientem Geräte-Schutz abdecken und bedürfen einen anderen, gesamtheitlichen System-Design-Ansatz.

Durch die stark gestiegene Mobilität der EDV-Benutzer, gestiegenen Sicherheitsanforderungen und die zunehmend verteilten ICT-Systemen in Hybrid Clouds oder Public Clouds ist es empfehlenswert, auch die entsprechenden zentralisierten und vollintegrierten Gesamt-Verwaltungs-Lösungen im Umfeld von «Mobility & Security aus der Cloud» zu beziehen als Service.

Durch solche integrierten Cloud-Lösungen auf Basis «Stand der Technik» und maximalen Erfüllungsgraden von international anerkannten Standards oder Sicherheits-Zertifizierungen können entsprechende Regulations- und Strategie-Anforderungen weitgehend erreicht werden.

Mittels integrierten Funktionalitäten in Bereichen des Monitorings und Reportings können mittels Früherkennung und «predictive advanced analytics / threat protection» gar Trends im Zeitalter der dynamischen Bedrohungslagen früher erkannt und dadurch auch die Eintrittswahrscheinlichkeit und Schadenspotential früher und sehr effektiv reduziert werden.

Dass dann hierbei auch entsprechend adäquate und hochkomplexer werdende Abwehrmechanismen mit gleichgelagerten Technologien (z.B. „cognitive Security“ , „predictive Security“) zum Zuge kommen müssen und der klassische, einfache «Geräte-Virenschutz» nicht mehr genügt liegt nahe.

Weitergehende Funktionalitäten in Richtung von Software-Verteilung oder Provisionierung und gar automatischer Installation von ganzen Arbeitsumgebungen zugunsten der Homogenisierung, Standardisierung und Automatisierung runden solche cloud-basierten Gesamtlösungen ab.

 

CyberSecurity – CEO Urs Schaeppi – Sicherheit wird bei Swisscom grossgeschrieben

Fridel Rickenbacher ist Mitglied der Redaktion des Verbandes swissICT und Mitbegründer und Partner der MIT-GROUP.

Man liest über Data Breaches, es sind neue Gesetze und Regulationen in Arbeit, alte Jobs verschwinden und neue entstehen. Die Swisscom ist mit vielen Herausforderungen im Kontext der Digitalisierung konfrontiert. Wie der Telko diese meistern will, erläutert CEO Urs Schaeppi im Interview.

http://www.netzwoche.ch/news/2018-05-28/urs-schaeppi-sicherheit-wird-bei-swisscom-grossgeschrieben

http://www.netzwoche.ch/news/2018-05-28/urs-schaeppi-sicherheit-wird-bei-swisscom-grossgeschrieben

 

CyberSecurity – Digitalisierung und Cyberrisiken sind in der Geschäftsleitung angekommen

Fridel Rickenbacher ist Mitglied der Redaktion des Verbandes swissICT und Mitbegründer und Partner der MIT-Group.

Die Themen Digitalisierung, Innovation, Cybersecurity und Privatsphäre haben massgeblich an Relevanz gewonnen. SRF- und Eco-Moderator Reto Lipp teilt im Gast-Interview mit Fridel Rickenbacher seine Einschätzungen zu diesen Trendthemen.

http://www.netzwoche.ch/news/2018-05-03/reto-lipp-digitalisierung-und-cyberrisiken-sind-in-der-geschaeftsleitung-angekommen

http://www.netzwoche.ch/news/2018-05-03/reto-lipp-digitalisierung-und-cyberrisiken-sind-in-der-geschaeftsleitung-angekommen

 

CyberSecurity: Sicherheit in hybrid clouds / verteilten Systemen

Traditionelle Technologien und Strategien lassen sich kombinieren mit neuen Tools aus der Cloud.

Bei dem Lösungsansatz „best out of all clouds“ mittels Kombination von gut orchestrierten Lösungen aus allen Clouds lassen sich gar auch stufenweise Altlasten / Legacy Umgebungen und generell Shadow-IT abbauen und modernisieren.

Zudem kann konzeptionell – je nach Klassifikation von Schutzobjekten und Schutzniveaus – eine bessere Risiko-Verteilung und optimierte Resilienz des Gesamtsystems entstehen im Rahmen des Risiko-Managements.

Mittels entsprechenden Monitoring-Systemen (OnPrem / Hybrid / Public Cloud) und rollenbasiert ausgerichtete Dashboards entsteht eine neue Dimension von proaktivem Controlling und Prozessen im immer wichtig werdenden Incident Response Plan / Business Recovery System.

Solche dokumentierten Systeme mit auch Reporting- und Alerting-Funktionalitäten stellen dann erweitert ebenfalls eine gute Hilfe und Basis dar für ICT-Assessments und ICT-Audits.