Best Practices für sicheren Fernzugriff

Secure Remote Access

Heute arbeiten 43 % aller US-Mitarbeiter mindestens in Teilzeit außerhalb des Unternehmens, so der Gallup-Bericht "State of the American Workplace". Untersuchungen zeigen auch, dass Mitarbeiter glauben, dass die Arbeit aus der Ferne kein Produktivitätshindernis darstellt, während die Mehrheit der Amerikaner der Meinung ist, dass Remote-Mitarbeiter genauso produktiv sind wie diejenigen, die in einem Büro vor Ort arbeiten.

Da Unternehmen aufgrund der Bedrohung durch das Coronavirus massenhaft Remote-Arbeit einführen, ist die Online-Sicherheit zu einem kritischen Thema geworden, da Unternehmen ihre Mitarbeiter, Dritte und Auftragnehmer, digitale Vermögenswerte und Kundendaten nicht nur vor dem biologischen Virus, sondern auch vor Cyberkriminellen schützen müssen.

Geschäftskontinuität, Disaster Recovery und das Coronavirus

Als Reaktion auf Krisen wie das Coronavirus sollten Unternehmen über IT-Disaster-Recovery-Pläne verfügen, die gleichzeitig mit Business-Continuity-Plänen entwickelt wurden. Dazu gehören Geschäftsprioritäten und Wiederherstellungszeitziele für IT-Ressourcen sowie eine Analyse der geschäftlichen Auswirkungen. Es sollten auch Strategien zur Technologiewiederherstellung entwickelt werden, um Hardware, Anwendung und Daten rechtzeitig wiederherzustellen, um den Anforderungen der Geschäftswiederherstellung im Falle eines Ausfalls gerecht zu werden.

Sicherer Fernzugriff spielt auch eine entscheidende Rolle, wenn es um Disaster Recovery und Business Continuity geht, da Unternehmen flexibel genug sein müssen, um Remote-Arbeit für einen Großteil ihrer Mitarbeiter zu ermöglichen und gleichzeitig trotz externer Unterbrechungen eine normale Mitarbeiterproduktivität zu erreichen.

Das Coronavirus, ein disruptives biologisches Ereignis, hat Unternehmen gezwungen, ihre Mitarbeiter und IT-Ressourcen zu verlagern, damit sie von zu Hause aus oder an sicheren Orten arbeiten können.

Banken und Finanzinstitute haben Bildschirme in den Wohnungen von Wertpapierhändlern installiert, um neue Coronavirus-Infektionen durch die Isolierung von Mitarbeitern zu verlangsamen und zu stoppen. Und während Investmentbanker, Ingenieure, IT-Mitarbeiter, die Personalabteilung und die Geschäftsleitung von zu Hause aus arbeiten können, sind Arbeitnehmer wie Händler oder Verkäufer, die regulatorische Anforderungen erfüllen müssen, mit technologischen Einschränkungen konfrontiert, die gelöst werden müssen.

Die Business-Continuity-Planung von Goldman Sachs, JPMorgan Chase, Morgan Stanley und Barclays forderte die Isolierung und den Schutz von Mitarbeitern in asiatischen Ländern im Epizentrum des Coronavirus-Ausbruchs.

"Wir üben", sagte ein leitender Angestellter einer großen US-Bank. "Sie wollen nicht aufwachen und feststellen, dass die USA eine halbe Million Fälle haben und jemand Ihnen sagt, Sie sollen alle nach Hause schicken."

Um zu verhindern, dass Bankangestellte wegen des Coronavirus weltweit unter Quarantäne gestellt werden, versuchen Finanzinstitute nun, ihre Mitarbeiter auf Hauptniederlassungen und Disaster-Recovery-Standorte zu verteilen, die über die gleichen technischen Möglichkeiten verfügen wie ihre Hauptstandorte, so die Financial Times.

So implementieren Sie einen sicheren Fernzugriff

Viele Organisationen gestatten ihren Mitarbeitern, Auftragnehmern, Geschäftspartnern und Lieferanten die Nutzung von unternehmenseigenen Fernzugriffstechnologien, um Arbeiten aus der Ferne mithilfe unternehmenseigener BYOD-Client-Geräte (Bring Your Own Device) auszuführen, die vor Datenschutzverletzungen und Diebstahl geschützt werden müssen. Zu den Sicherheitsbedenken zählen das Fehlen physischer Sicherheitskontrollen, die Verwendung ungesicherter Netzwerke, die Verbindung infizierter Geräte mit dem internen Netzwerk und die Verfügbarkeit interner Ressourcen für externe Hosts.

Darüber hinaus können Sicherheitsrichtlinien und Vereinbarungen mit Dritten zur Gerätesicherheit nicht immer durchgesetzt werden, wodurch möglicherweise ungesicherte, mit Malware infizierte und kompromittierte Geräte mit sensiblen Unternehmensressourcen verbunden bleiben.

Um Organisationen, die Fernzugriffstechnologien nutzen, zu schützen und BYOD- und durch Dritte kontrollierte Zugriffsrisiken auf Netzwerkressourcen zu mindern, empfiehlt das National Institute of Standards and Technology (NIST) daher, dass Organisationen die folgenden Kontrollen implementieren:

Planen Sie Sicherheitsrichtlinien und -kontrollen im Zusammenhang mit Remote-Arbeit unter der Annahme, dass externe Umgebungen feindliche Bedrohungen enthalten.

• Organisationen müssen davon ausgehen, dass Client-Geräte, die an externen Standorten von Mitarbeitern und Dritten verwendet werden, anfällig für Verlust oder Diebstahl sind und von böswilligen Akteuren zum Zugriff auf Daten oder zum Zugriff auf das Netzwerk des Unternehmens verwendet werden könnten.
• Um den Verlust oder Diebstahl von Kundengeräten zu verhindern, müssen der Gerätespeicher und die gespeicherten sensiblen Daten verschlüsselt werden und sensible Daten nicht vollständig auf dem Kundengerät gespeichert werden. Um Bedrohungen durch die Wiederverwendung von Geräten zu mindern, verwenden Sie eine starke und mehrstufige Authentifizierung.

Entwickeln Sie eine Sicherheitsrichtlinie für Remote-Arbeit, die die Anforderungen an Telearbeit, Remotezugriff und BYOD definiert.

• Sicherheitsrichtlinien für Remote-Arbeit sollten Remote-Zugriffstypen, Geräte sowie Typ- und Zugriffsrichtlinien für Remote-Mitarbeiter definieren.
• Die Richtlinien sollten auch abdecken, wie RAS-Server verwaltet und wie ihre Richtlinien aktualisiert werden.
• Organisationen sollten risikobasierte Entscheidungen darüber treffen, welche Ebenen des Fernzugriffs von welchen Arten von Client-Geräten aus zugelassen werden sollen.

Stellen Sie sicher, dass RAS-Server effektiv gesichert und so konfiguriert sind, dass Sicherheitsrichtlinien für Remotearbeit erzwungen werden.

• Die Sicherheit von Fernzugriffsservern ist besonders wichtig, da sie externen Hosts die Möglichkeit bieten, auf interne Ressourcen zuzugreifen, sowie eine sichere, isolierte Telearbeitsumgebung für vom Unternehmen bereitgestellte, von Dritten kontrollierte und BYOD-Client-Geräte bereitstellen.
• Ein kompromittierter Server ermöglicht nicht nur den unbefugten Zugriff auf Unternehmensressourcen und den Telearbeits-Client Gerät, sondern kann auch dazu genutzt werden, die Kommunikation abzuhören und zu manipulieren sowie als Ausgangspunkt für Angriffe auf andere Hosts innerhalb der Organisation zu dienen.

Schützen Sie organisationsgesteuerte Remote-Work-Client-Geräte vor häufigen Bedrohungen und sorgen Sie regelmäßig für deren Sicherheit.

• Das Remote-Arbeits-Client-Gerät sollte alle lokalen Sicherheitskontrollen umfassen, die in der sicheren Konfigurationsbasislinie einer Organisation für ihr Nicht-Telearbeits-Client-Gerät verwendet werden.

Wenn die Verwendung externer Geräte (z. B. BYOD, von Dritten kontrolliert) innerhalb der Einrichtungen der Organisation zulässig ist, sollten Sie unbedingt die Einrichtung eines separaten, externen, dedizierten Netzwerks für diese Verwendung mit Fernzugriffsrichtlinien in Betracht ziehen.

• Die direkte Verbindung von BYOD und von Drittanbietern kontrollierten Client-Geräten mit dem unternehmensinternen Netzwerk erhöht das Risiko, da diese Geräte nicht über die gleichen Sicherheitsvorkehrungen verfügen wie die unternehmenseigenen Geräte.

NIST empfiehlt außerdem die Platzierung von Fernzugriffsservern am Netzwerkrand und definiert vier Arten von Fernzugriffsmethoden:

• Tunneling-Server bieten Administratoren die Kontrolle über die internen Ressourcen für den Zugriff von Remote-Mitarbeitern am Netzwerkperimeter.
• Portalserver, die die Anwendungs-Client-Software auf den Servern selbst ausführen. Platzieren Sie sie am Netzwerkrand, da der Remote-Zugriffsbenutzer die Anwendung nur auf dem Portalserver ausführt, nicht auf Servern innerhalb des Netzwerks.
• Für den Remotedesktopzugriff sind keine RAS-Server beteiligt, sodass es kein Problem mit der Platzierung des RAS-Servers gibt.
• Direkte Anwendungszugriffsserver führen die Anwendungsserversoftware auf den Servern selbst aus. Die Platzierung am Netzwerkrand hat einen ähnlichen Effekt, da der Remote-Zugriffsbenutzer die Anwendung nur auf dem direkten Anwendungszugriffsserver ausführt, nicht auf Servern innerhalb des Netzwerks.