CyberSecurity – Single Sign On SSO – Sicherheit gegen gefährdenden Passwort- und Rechte-Wildwuchs

Passwort- und Rechte-Wildwuchs und eine steigende Akzeptanz der Cloud bewirken einen verstärkten Trend zum sogenannten Single-Sign-On SSO.
Diese Authentifizierungsmethode kann durch den Bedienerkomfort und die zentrale Verwaltung auch die Sicherheits- und Compliance-Anforderungen umfassend optimieren.

Im privaten und zunehmend auch geschäftlichen Umfeld kennt man gewisse Sign-In-Varianten über soziale Netzwerke wie Facebook, Twitter, Google, Amazon oder Microsoft als prominente SSO-Plattformen für den integrierten Zugang zu unterschiedlichen Services und Rechten.

Im Unternehmensumfeld wird SSO beispielsweise genutzt, um Nutzern einen integrierten, möglichst simplifizierten Zugriff auf eigene Web- oder Cloud-Anwendungen auf internen Servern oder in der (Hybrid)Cloud zu gewähren. Teilweise wird der Zugang mittels erweiterten Authentifizierungsmechanismen wie z.B. MFA (Multi Factor Authentication) oder 2FA (Two Factor Authentication) per Tokens, SMS, Email, Smartphone Authenticator Apps und dergleichen zusätzlich abgesichert. (ähnlich wie bei modernem eBanking).

Publizierter Artikel bei KSGV Gewerbeverband Schwyz

ksgv.ch – Gewerbeverband – CyberSecurity Sensilibisierung – SingleSignOn SSO MFA – Ausgabe Okt 2018 – Fridels_BLOG_F@R

Advertisements

BIM ¦ CyberSecurity ¦ Digitalisierung: BIM UND DIE IT-SICHERHEIT

Dynamische und digitale Entwicklungen führen eher früher als später auch zu technischen und prozessualen Sicherheitsherausforderungen. Alle Akteure im Bauprozess – von den Architekten, Ingenieuren und Planern über die Holzbaubetriebe bis hin zur Bauherrschaft – müssen sich im Zuge der Digitalisierungswelle ihrer Branche auch mit Fragen der Sicherheit auseinandersetzen.

Herausforderung Mensch
Ein geeignetes «Security minded»-Modell sollte der Sensibilisierung für eine maximale Sicherheitsorientierung und der Auditierbarkeit in Systemarchitekturen mit allen Akteuren dienen. Damit sich solche strategischen Vorgaben in der Praxis bewähren, stehen die Verantwortlichen vor einigen Herausforderungen.
Denn der Mensch ist – wie man so schön sagt – aus einem krummen Holz geschnitzt und passt sich nicht automatisch in die Prozesse oder Technologien ein. Dies gilt es gerade auch unter Betrachtung der physischen und logischen Sicherheit zu berücksichtigen.

Publizierter Artikel bei „Wir Holzbauer“ 07/18

Wir-Holzbauer-CyberSecurity-BIM-WHB_7_2018

 

GDPR / DSGVO und CyberSecurity: Datensammler wider Willen

Das «Öl der Zukunft» in Form von «raffinierten Daten und digitalisierten Modellen» ist die Basis für die Generierung von ökonomischen Benefits von analysierten Daten.
Doch es gibt neben Chancen auch Risiken, die man berücksichtigen sollte.

Im Rahmen der in der Schweiz in Vernehmlassung stehenden Datenschutz-Gesetzesüberarbeitung (CH-DSG) und im Zuge der Datenschutzgrundverordnung (EU-DSGVO / GDPR General Data Protection Regulation) sind alle Akteure in der ganzen Wertschöpfungskette der Immobilien-Wirtschaft und entsprechendem Lebenszyklus unfreiwillige Datensammler von personenbezogenen Daten.

In der ersten Vor-Klassifikation von entsprechenden personenbezogenen Daten fällt auf, dass die Quantität und die Qualität (Detaillierungsstufe von personensensitiven Informationen) schon früh sehr hoch ist.

Publizierter Artikel im Magazin „Immobilia“ http://www.svit.ch Schweizerischer Verband der Immobilienwirtschaft SVIT („SVIT Schweiz“)

SVIT-Immobilia_GDPR-DSGVO-Datensammler-wider-Willen-CyberSecurity-Awareness_0718

CyberSecurity – CEO Urs Schaeppi – Sicherheit wird bei Swisscom grossgeschrieben

Fridel Rickenbacher ist Mitglied der Redaktion des Verbandes swissICT und Mitbegründer und Partner der MIT-GROUP.

Man liest über Data Breaches, es sind neue Gesetze und Regulationen in Arbeit, alte Jobs verschwinden und neue entstehen. Die Swisscom ist mit vielen Herausforderungen im Kontext der Digitalisierung konfrontiert. Wie der Telko diese meistern will, erläutert CEO Urs Schaeppi im Interview.

http://www.netzwoche.ch/news/2018-05-28/urs-schaeppi-sicherheit-wird-bei-swisscom-grossgeschrieben

http://www.netzwoche.ch/news/2018-05-28/urs-schaeppi-sicherheit-wird-bei-swisscom-grossgeschrieben

 

CyberSecurity – Digitalisierung und Cyberrisiken sind in der Geschäftsleitung angekommen

Fridel Rickenbacher ist Mitglied der Redaktion des Verbandes swissICT und Mitbegründer und Partner der MIT-Group.

Die Themen Digitalisierung, Innovation, Cybersecurity und Privatsphäre haben massgeblich an Relevanz gewonnen. SRF- und Eco-Moderator Reto Lipp teilt im Gast-Interview mit Fridel Rickenbacher seine Einschätzungen zu diesen Trendthemen.

http://www.netzwoche.ch/news/2018-05-03/reto-lipp-digitalisierung-und-cyberrisiken-sind-in-der-geschaeftsleitung-angekommen

http://www.netzwoche.ch/news/2018-05-03/reto-lipp-digitalisierung-und-cyberrisiken-sind-in-der-geschaeftsleitung-angekommen

 

CyberSecurity und Privacy: Immobilienwirtschaft als Datensammler wider willen!?

Im Rahmen der in der Schweiz in Vernehmlassung stehenden Datenschutz-Gesetz-Ueberarbeitung (CH-DSG) und im Zuge der Datenschutzgrundverordnung (EU-DSGVO / GDPR) sind alle Akteure in der ganzen Wertschöpfungskette der Immobilien-Wirtschaft und entsprechendem Lebenszyklus wahre (unfreiwillige…) Datensammler von personenbezogenen Daten.

In der ersten Vor-Klassifikation von entsprechenden personenbezogenen Daten fällt speziell auf, dass die kontextbezogene Quantität und vorallem prozessrelevante Qualität (Detaillierungsstufe von personensensitiven Informationen) schon sehr hoch ist, sehr früh beginnend bei z.B. der Qualifizierung , Bewertung und gar Profiling von Wohnungsinteressenten, Leads, Verkaufschancen, Verlauf, Aktivitäten über Miet- und Kauf-Vertrag mit Bank- und Konten-Informationen bis hin zu Abrechnungen, Nachweisen, Wünschen, Handwerker, Lieferanten und Unterhalt.

Mit diesen anvertrauten Daten müssen die Firmen – je nach Rolle oder Mandat als fortan gesetzlich schärfer regulierter Auftrag-Datenverarbeiters bzw. Datenverarbeiter – zukünftig noch sensibler umgehen bzw. die Daten-Sicherheit UND Daten-Schutz sicherstellen und beweisbar nachweisen.

Mittels der angesprochen Daten-Klassifizierung, Dokumentation / Verzeichnis, Verarbeitungsnachweis und Prozess-Definitionen bei z.B. Behörden-Anfragen, Auskunftspflicht, Meldepflichten (innert 72h), Datenschutz-Verletzungen, Kommunikation, Formularverarbeitungen, Datenflüssen, Schnittstellen, Datenlöschungen, Privacy by default sind erste relevante Schritte zu forcieren. Dies ist bereits ein adäquater Start in einen beweisbaren Tätigkeitsnachweis und kann als hilfreicher Beweis zur nötigen, ernsthaften Sensibilierung positiv referenziert werden.

Durch eine solche dokumentierte Ernsthaftigkeit und Auseinandersetzung ist man sehr wahrscheinlich schon mal von einem möglichen Vorwurf oder gar Tatbestand „fehlender Datenschutz“ befreit und auf gutem Wege, einen datenschutz-technisch mittlerweilen essentiellen Reifegrad zugunsten des künftig zunehmend geforderten Datenschutz zu erreichen.

Einen Reifegrad zu erreichen reicht jedoch schon lange nicht mehr im Kontext der Disruption in der Digitalisierung und dynamischen Bedrohungslagen im Zeitalter von CyberCrime / CyberSecurity.
Die fortwährende Auditierung, Bewertung, Monitoring und auch Ausrichtung an „best practices“ erweitert über „privacy by default“, „Security by design“ bis hin zu „Stand der Technik“ ist unumgänglich.

Auch werden die Mieter / Käufer / Auftraggeber (oder sonst auch Verbände oder Aemter) die ausgebauten Grundrechte bzw. deren expliziten Datensubjekt-Rechte stärker und aufwandintensiv(er) einfordern.
Hier werden Themen zu lösen und nachzuweisen sein in z.B. Auskunftsrecht, Einwilligung, Recht auf Löschen / Vergessen, Datenportabilität, Datenminimierung, Verwendungszwecke (inkl. Informations- und Einwilligungs-Pflicht bei Aenderungen) oder gar Datenflüsse.

Dass es hierbei eine erweiterte, klar definierte und auch nach aussen kommunizierbare Zuständigkeit und Sensibilisierung / Schulung des Managements und Mitarbeiter braucht zum Themenkreis Datensicherheit, Datenschutz bzw. CyberSecurity ist sicherlich selbsterklärend. Ein sogenannter Datenschutzbeauftragter (intern oder extern) der entsprechende Datenschutzfolgenabschätzungen im Rahmen des ICT- Risk-Management durchführt, begleitet oder verantwortet wird im CH-DSG referenziert / empfohlen und aber im EU-DSGVO / GDPR explizit verlangt.

Datenschutz / Sicherheit / CyberSecurity ist eine gemeinsam geteilte Verantwortung unter allen Akteuren.

Cybersecurity – Der Virenschutz hat ausgedient!?

ksgv.ch – Gewerbeverband – Virenschutz hat ausgedient – Ausgabe Mai 2018 – Fridels_BLOG_F@R

Die Industrie 4.0 und die entsprechende Digitalisierung fordert integrierte und robuste Prozesse als Rückgrat der “massiven Interkonnektion”, integrierten Schnittstellen und „Collaboration“.

Durch diese sprunghafte und dynamische Weiterentwicklung und völlig neuen Anforderungen an die Mobilität der Mitarbeiter hat der früher vielfach ausreichende Fokus auf die «Sicherheit der Geräte / Hardware» mittels einem Virenschutz längst ausgedient und entspricht längst nicht mehr dem «Stand der Technik».

In der heutig vielfach angestrebten System-Architektur mit der Strategie auf der Basis von «Security by design» zugunsten der gesamtheitlichen ICT-Sicherheit steht die «umfassende Sicherheit des Benutzers» mit dessen Identität, Zugriff, Berechtigungen, Richtlinien und erweiterten Anforderungen an z.B. Verschlüsselung und Self-Service im Vordergrund.

Dies sollte auch auf Basis von resilient orchestrierten ICT-Systemen mit auch sicherer Programmierung mit entsprechendem Fokus auf maximales, auditierbares «Security by design» / «privacy by design» / „Stand der Technik“ unterstützt werden. Durch diesen gesamtheitlichen Ansatz kann dem Ziel der bestmöglichen «Angriffs- und Betriebs-Sicherheit von ICT-Systemen» am besten Rechnung getragen werden.

Die Datenschutz-Regulationen wie z.B. CH-DSG oder EU-DSGVO / GDPR erfordern zudem weitergehende und vorallem nachweisbare Prozesse mit der Sicherstellung von maximalen Datenschutz- / Privacy-Aspekten zugunsten der personenbezogenen Daten.

Solche zunehmenden Anforderungen lassen sich selbsterklärend nicht mehr mit einfachen Virenschutz-Massnahmen bzw. ausgedientem Geräte-Schutz abdecken und bedürfen einen anderen, gesamtheitlichen System-Design-Ansatz.

Durch die stark gestiegene Mobilität der EDV-Benutzer, gestiegenen Sicherheitsanforderungen und die zunehmend verteilten ICT-Systemen in Hybrid Clouds oder Public Clouds ist es empfehlenswert, auch die entsprechenden zentralisierten und vollintegrierten Gesamt-Verwaltungs-Lösungen im Umfeld von «Mobility & Security aus der Cloud» zu beziehen als Service.

Durch solche integrierten Cloud-Lösungen auf Basis «Stand der Technik» und maximalen Erfüllungsgraden von international anerkannten Standards oder Sicherheits-Zertifizierungen können entsprechende Regulations- und Strategie-Anforderungen weitgehend erreicht werden.

Mittels integrierten Funktionalitäten in Bereichen des Monitorings und Reportings können mittels Früherkennung und «predictive advanced analytics / threat protection» gar Trends im Zeitalter der dynamischen Bedrohungslagen früher erkannt und dadurch auch die Eintrittswahrscheinlichkeit und Schadenspotential früher und sehr effektiv reduziert werden.

Dass dann hierbei auch entsprechend adäquate und hochkomplexer werdende Abwehrmechanismen mit gleichgelagerten Technologien (z.B. „cognitive Security“ , „predictive Security“) zum Zuge kommen müssen und der klassische, einfache «Geräte-Virenschutz» nicht mehr genügt liegt nahe.

Weitergehende Funktionalitäten in Richtung von Software-Verteilung oder Provisionierung und gar automatischer Installation von ganzen Arbeitsumgebungen zugunsten der Homogenisierung, Standardisierung und Automatisierung runden solche cloud-basierten Gesamtlösungen ab.

Mittels zusätzlicher Sensibilisierung der EDV-Anwender bezüglich CyberSecurity mit stufengerecht erklärten Beispielen / KnowHow-Transfer rund um Gefahren wie z.B. Phishing-Mails, Trojaner, Social Engineering, Verhaltensansweisungen im Internet und beim Datenaustausch kann das Gesamt-Schutzniveau zusätzlich optimiert werden zugunsten der System-Resilienz (z.B. Angriffs- und Betriebs-Sicherheit)