Unternehmen sind angehalten – wo immer möglich – Mitarbeiter im Home-Office arbeiten zu lassen. Jedoch ist diese Situation für viele Firmen eine Ausnahmesituation – wie auch für unsere gesamte Gesellschaft. In vielen Fällen setzt sich ein Unternehmen zum ersten Mal überhaupt mit Home-Office auseinander oder zumindest mit diesem Umfang an Mitarbeiter, die von zu Hause arbeiten sollten. Täglich ergeben sich neue Massnahmen auf Stufe Bund, Kanton, Gemeinde und Unternehmen. In diesen kritischen Zeiten ist das Unternehmen durchaus geschwächt, auch gegenüber Angreifern. In diesem Beitrag vermitteln wir Ihnen direkt umsetzbare Massnahmen zur Sicherung Ihres Unternehmens.

Bereits in der sogenannten normalen Lage in der Schweiz werden und wurden Unternehmen stetig von Cyber-Kriminellen angegriffen. Die aktuelle ausserordentliche Lage verhindert die Angriffe nicht, macht jedoch die Unternehmen durchaus vulnerabler. Im Home-Office Bereich sollte also dringend auf eine minimale Sicherheit – auch im Cybersicherheits-Bereich – geachtet werden.

Die folgenden Massnahmen helfen bei der Umsetzung der Strategien für sicheres Arbeiten von zu Hause – auch auf für Unternehmen, welche es bis anhin noch nicht geplant hatten.

In der Informationssicherheit gilt es die Sicherheitstriade mit angemessenen Massnahmen zu «schützen». Zur Sicherheitstriade gehören Vertraulichkeit (Confidentiality), Integrität (Integrity), Verfügbarkeit (Availability) und auch die Nicht-Abstreitbarkeit (Nonrepudiation) (genau genommen nicht mehr eine Triade).

Im Grundsatz passiert jetzt nichts anderes, als dass bei Unternehmen die Business Continuity geprüft wird – wovon eine der Massnahmen das Arbeiten aus dem Home-Office ist.

Auf folgende Punkte sollte ein spezielles Augenmerk gelegt werden:

Damit die Mitarbeiter sicher mit anderen Mitarbeitern kommunizieren können benötig es eine Lösung, welche dies sicher ermöglichen kann. Es sollte, wenn möglich, auf Chat-Tools wie Facebook-Messenger oder WhatsApp verzichtet werden. Ebenfalls sollte auf die Nutzung des öffentlichen Telefonnetzes möglichst verzichtet werden, vor allem für interne Kommunikation, da diese – wie bereits geschehen – Tendenz haben zu überlasten.

Überlastet sind ebenfalls (wie aus Medien mitbekommen) die gängigsten Tools zur Kollaboration wie Microsoft Teams und Zoom. In den meisten Fällen ist es der Diensteanbieter, welcher nicht genügen Kapazitäten hat und nicht zwingend der lokale Internet-Anbieter.

Stelle Sie also sicher, dass Sie (a) ein Kollaborations-/Kommunikationstool zur Verfügung stellen und (b) dieser vorgängig auch testen. Typischerweise ist das erste grosse Meeting mit den Tools etwas fehlerbehaftet, sei es nur, weil ein Teilnehmer nichts hört oder man ihn nicht hört.

Wir bieten aktuell in Zusammenarbeit mit Cisco ein kostenloses, 90-tägiges Angebot an, um den Kommunikationsbedarf von Unternehmen in diesen schweren Zeiten zu decken. Erfahren Sie mehr

Der Zugriff auf sämtliche Kommunikationstools sollte möglichst durch Zweifaktoren-Authentifizierung abgesichert werden. Dies erschwert es Angreifern mit nur einem Passwort auf die kritischen Unternehmensressourcen zuzugreifen. In diesem Zusammenhang wäre es grundsätzlich eine Überlegung wert, ebenfalls soziale Medien-Accounts (wie Facebook et. al.) ebenfalls der Zwei-Faktoren-Authentifizierung abzusichern.

Nebst der Kommunikation und dem Zugriffsschutz sollte auch darauf geachtet werden wo und wie die Daten des Unternehmens abgelegt werden. Eine Zusammenarbeit an einem Dokument via E-Mail hat sich bisher noch nie wirklich als effektiv und schon gar nicht als effizient bewahrheitet. Ebenfalls ist es nicht empfehlenswert, Schnell-Schuss-Lösungen (Dropbox et. al.) zu nutzen ohne weitere Prüfung. Schlussendlich ist das Unternehmen immer noch in der Verantwortung nicht nur den Datenschutz zu gewährleisten, sondern auch das Backup und die rechts-sichere Archivierung sicherzustellen.

Denken Sie auch daran, dass die Wahrscheinlichkeit gross ist, dass zur Bearbeitung der Daten des Unternehmens private Arbeitsgeräte zum Einsatz kommen könnten. Sollte sich ein Unternehmen bis anhin noch nicht über eine BYOD (Bring Your Own Device) Strategie Gedanken gemacht haben, wird jetzt plötzlich ein Teil davon relevant. Stellen Sie auch hier sicher, dass der erweiterten Sicherheits-Triade Genüge getan wird. Beispielsweise geht es hier nicht nur um den Computer als solches, sondern auch um Umsysteme wie Drucker, Scanner oder sogar USB-Sticks.

Im Speziellen sollte bei IT-Betriebsleistungen auch auf das reibungslose Funktionieren der Prozesse geachtet werden. Sei es der Incident-Prozess mit den Eskalationsstellen oder der Change Prozess, welcher Änderungen in der produktiven Infrastruktur durchführt.

Eigentlich wäre jetzt, der beste Zeitpunkt die im Büro oder Serverraum anstehenden, längst geplanten Änderungen durchzuführen. Aber bitte mit Bedacht – denn das sonst übliche Monitoringsystem (der Benutzer kommt vorbei, weil etwas nicht geht) wird nicht mehr so funktionieren – der Benutzer sitzt zu Hause und kann nicht mehr kommunizieren und die IT erreichen.

Monitoring – in diesem Sinne – wird durchaus ein zentrales Instrument zur Überwachung der Infrastruktur – sei es das Operational Monitoring, welches die Verfügbarkeit der Dienste überwacht oder natürlich auch das Security Monitoring, welches sicherstellt, dass die Sicherheitsmassnahmen auch eingehalten werden.

Eine spezifische Massnahme benötigt in diesen Zeiten ebenfalls ein genaues Augenmerk – die Segregation of Duties – oder das Vieraugenprinzip. Teams, die zuvor im selben Raum gesessen sind müssen sich nun über Freigaben remote absprechen können. Hier gilt es darauf zu achten, dass es sich effektiv um die Person handelt, mit der man glaubt zu kommunizieren (Beispiel: CEO oder Presidents Fraud). Eine kurze Rückversicherung via SMS oder Telefongespräch klärt diesen Umstand relativ schnell.

Grundsätzlich sollten den Mitarbeitern eines mitgegeben werden – und zwar Vorsicht walten zu lassen. Auch in diesen Zeiten ist es wichtig (vielleicht sogar etwas mehr als sonst) auf den Bauch zu hören – denn wenn sich etwas besonders komisch anfühlt, dass ist es das mit grösster Wahrscheinlichkeit auch.

Möchten Sie in diesen Zeiten auch gerne ruhiger Schlafen können mit dem Wissen, dass Ihre Mitarbeiter sicher und gesund arbeiten können? Wir unterstützen Sie selbstverständlich in sämtlichen Belangen der Informationstechnologie und Informationssicherheit.

Falls Sie eine Cybernotfall haben – rufen Sie uns an (24×7) 058 531 00 11