Konten für externe "Mitarbeiter" / Freelancer usw.

[wznutzer 35]

vor 39 Minuten schrieb NorbertFe:

Ich glaube nicht. Die Frage ist eher, wo du das Risiko siehst, bzw. wie du etwas verhindern willst, wenn du den Zugriff von BYOD zulassen musst. Also entweder die Leute arbeiten mit BYOD dann hast du auf dieses Gerät eben keine "administrative Verwaltungsmöglichkeit" und musst primär deinen Dienst schützen. Und das wäre dann eben ein html5 client der im Browser dieses BYOD läuft. Was dann innerhalb der HTML Session 5 machbar ist, hast du doch wiederum voll in der Hand.

Ja, gut zusammengefasst . Darum geht es mir. Deswegen bekommen die BYOD-Leute einen Bereich der sich von den anderen unterscheidet. Der Gedanke was da an Trennung notwendig ist, musste reifen und die Diskussion hat dazu beigetragen.

 

Der Begriff BYOD ist mir nur nicht eingefallen, weil es so gesehen gar nicht um intern/extern geht. Interne BYOD-Leute würde ich auch so sehen.

bearbeitet 9. Juli von wznutzer

[NorbertFe 2.032]

vor 2 Minuten schrieb wznutzer:

Interne BYOD-Leute würde ich auch so sehen.

Wobei da dann zu klären wäre, ob und wie du die ausschließen kannst, wenn du kein 802.1x im Einsatz haben solltest. :)

[wznutzer 35]

vor 23 Minuten schrieb NorbertFe:

Wobei da dann zu klären wäre, ob und wie du die ausschließen kannst, wenn du kein 802.1x im Einsatz haben solltest. :)

Leider noch eine bekannte Schwachstelle. Zur Klarstellung: Du meintest damit die Authentifizierung der zugreifenden Geräte?

bearbeitet 9. Juli von wznutzer
Ergänzung

[magheinz 110]

vor 1 Stunde schrieb wznutzer:

Im einen Fall wird bereits auf den zugreifenden Geräten versucht das Abgreifen von Zugangsdaten zu verhindern.

Dafür müsstest du diese Geräte aber den Leuten zur Verfügung stellen. Das kann ja ein Thinclient unter deiner Kontrolle sein.

Du wirst aber niemals, ohne physische Kontrolle über das Endgerät zu haben, den Abgriff von Zugangsdaten sicher verhindern können.

Ein einfacher Keylogger im Tastaturkabel, und die Angreifer haben die Zugangsadaten. Das war doch bei irgendeiner Zeitung passiert? TAZ?

[NorbertFe 2.032]

vor 57 Minuten schrieb wznutzer:

Du meintest damit die Authentifizierung der zugreifenden Geräte?

Richtig. In Abhängigkeit von Zertifikaten (Maschine/User) usw. damit man basierend darauf Zugriff/Zuordnung durchführen kann.

[wznutzer 35]

vor 2 Stunden schrieb magheinz:

Dafür müsstest du diese Geräte aber den Leuten zur Verfügung stellen.

Bei den eigenen Leuten ist das so und jetzt steht die große Welt mit BYOD vor der Tür.

 

vor 2 Stunden schrieb magheinz:

Du wirst aber niemals, ohne physische Kontrolle über das Endgerät zu haben, den Abgriff von Zugangsdaten sicher verhindern können.

Ein einfacher Keylogger im Tastaturkabel, und die Angreifer haben die Zugangsadaten. Das war doch bei irgendeiner Zeitung passiert? TAZ?

Leider ist das so  .

[magheinz 110]

Gerade eben schrieb wznutzer:

Bei den eigenen Leuten ist das so und jetzt steht die große Welt mit BYOD vor der Tür.

Das ist eine Frage des Sicherheitskonzeptes. Man muss das ja nicht erlauben.

 

 

Gerade eben schrieb wznutzer:

Leider ist das so  .

Bei den Bundesbehörden gibt es dafür extra Thinclients, oder jetzt neu, Bootsticks.

Bei den Bootsticks startet ein Linux-OS welches per Citrix den Zugang zu internen Netzen ermöglicht.

https://www.ecos.de/produkte/remote-work

Gegen die Hardware-Keylogger helfen dann User-Sensibilisierungen.

 

Im Endeffekt ist es erst mal notwendig, festzulegen, welches Sicherheitsniveau man erreichen möchte/muss. Dazu ist auch durchaus eine Risikoanalyse sinnvoll. Wenn nämlich die Schutzmaßnahmen am Ende teurer sind als der potenzielle Schaden, dann bringt das ja auch nix. Oder andersherum gedacht: Dann weiß man, was die Sicherheit kosten darf. Das kann ja am Ende auch zu einem anderen ERP führen, oder einer zweiten Instanz nur für die externen oder oder oder.

 

[wznutzer 35]

vor 1 Stunde schrieb magheinz:

Im Endeffekt ist es erst mal notwendig, festzulegen, welches Sicherheitsniveau man erreichen möchte/muss. Dazu ist auch durchaus eine Risikoanalyse sinnvoll. Wenn nämlich die Schutzmaßnahmen am Ende teurer sind als der potenzielle Schaden, dann bringt das ja auch nix. Oder andersherum gedacht: Dann weiß man, was die Sicherheit kosten darf. Das kann ja am Ende auch zu einem anderen ERP führen, oder einer zweiten Instanz nur für die externen oder oder oder.

Das ist, finde ich, eine schöne Zusammenfassung wie so ein Prozess ablaufen kann .