Artikel
Artikel unserer Consultants
Gegen den eingekauften Sicherheitsvorfall - Supply Chain Risk Management
Von Bruno Blumenthal 18.03.2024
Lieferanten und Dienstleister haben einen wesentlichen Einfluss auf die Sicherheit eines Unternehmens. Kein Unternehmen agiert isoliert. Medienwirksame Vorfälle wie SolarWinds (2020) oder Xplain (2023) zeigen wie gross die Auswirkung von Sicherheitsvorfällen bei Lieferanten sein kann. Supply Chain Risk Management (SCRM) oder Third Party Risk Management (TPRM) rücken...
Die besonderen Anforderungen einer IoT PKI
Von Michael Veser 19.06.2023
Eine Public-Key-Infrastruktur (PKI) ist ein wichtiger Aspekt moderner Informationssicherheit. Seit Jahren gilt es als Standard, dass alle sensiblen Verbindungen verschlüsselt werden. Auch wenn es Ihnen vielleicht nicht bewusst ist: Sie haben ständig mit den verschiedensten PKIs zu tun! Die Tatsache, dass Sie dies im Alltag kaum wahrnehmen, ist ein Qualitätsmerkmal gut...
Wie Ihnen ein Key Management System bei der DSG Compliance helfen kann
Von Michael Veser 19.06.2023
Das neue Schweizer Datenschutzgesetz (revDSG) tritt am 1. September 2023 in Kraft und ist nicht zuletzt aufgrund der im Gesetz verankerten persönlichen Strafbarkeit im Falle von Verstössen in aller Munde. Auch wenn die Revision für viele Unternehmen zunächst abschreckend wirkt, finden sich bei genauerer Betrachtung zahlreiche Überschneidungen mit vorhandenen Security...
Netzwerkdienste – unerreichbar gut
Von Daniel Brunner 30.09.2022
Auch in Zeiten von Cloud-Diensten nimmt die Komplexität nicht ab, sondern zu. Nach Jahren des Customizings von Softwarelösungen wurde eine neue Abstraktion gesucht, um den Lifecycle von Produkten und den Herstellerwechsel zu vereinfachen. In der Folge setzte man vermehrt auf die Standardkomponenten von Software, und die Hersteller entwickelten eigene...
Cyber Resilience mit dem IKT Minimalstandard
Von Bruno Blumenthal 03.06.2022
Das Bundesamt für wirtschaftliche Landesversorgung (BWL) hat 2018 den IKT Minimalstandard publiziert. Dieser soll als Empfehlung Unternehmen dabei helfen, sich besser vor Cyberangriffen zu schützen. Zielpublikum des Minimalstandards sind primär Betreiber kritischer Infrastrukturen, der Standard soll aber grundsätzlich für alle Organisationen anwendbar sein. Der...
Die Herausforderungen bei Online-Meetings: Wie Ihr Meeting zum Erfolg wird
Von Daniel Brunner 02.06.2022
Selten war die Welt mehr vernetzt als heute: Die Leute tauschen sich mehr aus und es gibt mehr Informationen für alle und über alles. Nun sollte man also meinen, dass ein Online-Meeting ganz einfach durchzuführen sei, besonders wenn eine Firma jahrelange Erfahrungen damit hat. Dennoch gestaltet sich die Organisation eines Online-Meetings mitunter schwierig. Schauen...
Basiswissen DevSecOps
Von Daniel Brunner 01.06.2022
DevSecOps ist eine Erweiterung des bestehenden Ansatzes, Entwicklung (Development) und Betrieb (Operations) bei einem einzigen Team anzusiedeln. Mit DevSecOps wird auch die Sicherheit (Security) im selben Team angesiedelt und erhält damit eine zentrale Rolle.
Mit DevSecOps wechselt man in der Regel von einer Welt, in der die meisten Dienste zentral verwaltet werden,...
Identify und Protect vor Detect und Response
Von Bruno Blumenthal 17.01.2022
In den letzten Jahren hat sich die Erkenntnis durchgesetzt, dass es längst nicht mehr ausreicht, nur präventive Schutzmassnahmen gegen Cyberangriffe zu ergreifen. Die Erkennung von Cyberangriffen und die rasche Reaktion auf Attacken sind vermehrt in den Fokus gerückt, nicht zuletzt auch aufgrund von Standards wie dem NIST Cybersecurity Framework oder dem IKT...
Die Schattenseite der Collaboration-Plattformen
Von Thomas Kessler 01.12.2021
Wer mit mehreren Partnerfirmen auf unterschiedlichen Collaboration-Plattformen zusammenarbeitet, der kennt sie: plattformspezifische Logins, zunehmend mit einer ebenfalls plattformspezifischen 2-Faktor-Authentifizierung.
Wer für das Identity and Access Management (IAM) einer Firma verantwortlich ist, der fürchtet sie: Collaboration-Accounts, die nach Abschluss der...
Die Eleganz von Let's Encrypt in einer internen PKI
Von André Clerc, Nishanthan Sithampary 01.12.2021
Welcher Administrator kennt das nicht? Ein ablaufendes TLS-Zertifikat reisst eine wichtige Applikation runter und legt im schlimmsten Fall wichtige Dienste flächendeckend lahm. Die Fehleranalyse erweist sich als schwierig und zeitaufwändig, da Fehlermeldungen in Logs wie «Unable to connect to server» oder «Service unreachable» nicht viel über die eigentliche...
Modern Authentication – Token Exchange
Von Thomas Bühler 29.06.2021
Moderne Authentisierungsprotokolle sind in Zeiten von Cloud und zunehmender standortübergreifender Zusammenarbeit nicht mehr wegzudenken. Nachdem Kerberos jahrzehntelang den Benchmark in der On-Premise-Welt setzte, verabschiedete OASIS im Jahr 2002 SAML V1.0 und ermöglichte somit erstmals eine standardisierte SSO-Integration von Webanwendungen. Im Jahr 2005 stellten...
Kurzfassung des SolarWinds-Angriff
Von Thomas Bühler 16.03.2021
Advanced-Persistent-Threat-Cyberattacken (APT), Identity Access Management (IAM) und Authentication Management sin Themen im Bereich der Informationssicherheit, mit denen sich die meisten Sicherheitsleute wohl bereits einmal befass haben. Doch wieso führen gerade Mängel im IAM und im Authentication Management immer wieder dazu, dass APT-Angriff möglich werden? Und...
SWIFT CSP: Was sich für BIC-Nutzer im Jahr 2021 ändert
Von Markus Günther 16.03.2021
Das Jahr 2021 bringt für SWIFT-Nutzer zwei Änderungen. Erstens die Notwendigkeit eines Independent Self-Assessments un zweitens eine neue Version de Customer Security Controls Framework (CSCF) in de Version 2022. Während Letzteres eine kalkulierbare Neuerung darstellt, handelt es sich bei Ersterem um eine ernst z nehmende Verschärfung.
Was sich für BIC-Nutzer im Jahr...2-Faktor-Authentifizierung von Gesundheitsfachpersonen
Von Thomas Kessler 09.03.2021
Eine 2-Faktor Authentifizierung der Benutzer sollte beim Zugriff auf Cloud-Services im Gesundheitswesen zur Selbstverständlichkeit werden. Damit dies gelingt, benötigen Spitäler und Heime ein elektronisches Äquivalent zum Personalausweis.
Passwörter sind die Achillesferse der IT-SicherheitBeim Login mit Benutzername und Passwort beweist der Benutzer seine Identität,...
Bedrohungsanalyse der Ransomware EKANS - Wie Honda seine Produktion einstellen musste
Von Gregor Walter 15.12.2020
Im Juni dieses Jahres musste Honda aufgrund einer Cyberattacke Teile der Produktion an unterschiedlichen Standorte einstellen. Die Angreifer haben bekannte Sicherheitslücken ausgenutzt, um Zugang zum internen Netz zu erhalten, un haben die erhaltenen Informationen in die Ransomware einprogrammiert. Die Malware wurde dann intern verteilt und hat au den infizierten PCs...
Zentrales Authentisierungs- und Autorisierungsmanagement - Eine Chance für die Zukunft
Von Thomas Bühler 12.10.2020
IT-Architekten stehen heutzutage vor der Herausforderung, vielseitige Anforderungen des Fachbereichs, der Sicherheit un der Regulatoren erfüllen zu müssen. Die Themen reichen von der Cloud-Integration über die Multi-Faktor-Anmeldung bis hi zur App-Integration und das unter dem Aspekt des stetig steigenden Schutzbedarfs, welcher wiederum neue Ansätz erfordert.
Nehmen...
In our SOC we trust: Über die Wichtigkeit von Vertrauen
Von Bruno Blumenthal 25.11.2019
In den gängigen Blueprints zum Aufbau eines Security Operation Centers (SOC) fehlt häufig ein wichtiges Element, nämlic das Vertrauen in das SOC durch die Organisation, die es zu schützen hat. Wenn der unvermeidliche kritische Vorfal eintritt, ist dies von grösster Bedeutung, denn das Management soll sich auf die Analysen und Empfehlungen seines SO verlassen können....
ISMS 2020 – Tiger im Schafspelz
Von Daniel Felix Maurer 02.09.2019
Manch einer will nur noch Reissaus nehmen, wenn er liest, was in Wikipedia unter dem Stichworten Information Securit Management System und ISO/IEC 27001 und 27002 gelistet ist. Von Verfahren und Regeln ist da die Rede, dauerhaf aufrecht zu erhalten und erst noch fortlaufend zu verbessern. So etwas Langweiliges! Das riecht nach harter Arbeit Anstrengung und Fleiss...
Wie Sie sicher in die Cloud migrieren
Von Bruno Blumenthal 20.08.2019
Security und die Cloud haben ein äusserst ambivalentes Verhältnis. Viele Security Spezialisten sind gegenüber der Clou noch immer skeptisch und betrachten diese in erster Linie als Risiko. Die Cloud kann aber auch eine Chance und de Security sogar dienlich sein. Mit der Migration einer Business Applikation in die Cloud verändern sich die Risiken. O diese Veränderung...
EPD GFP-Verwaltung: Vision trifft auf Realität
Von Thomas Kessler 04.07.2019
Die Verwaltung der Gesundheitsfachpersonen im nationalen Health Provider Directory des elektronischen Patientendossier folgt einer langfristig ausgelegten Vision des Gesetzgebers. Dieser Artikel zeigt auf, wie diese Vision mit der heutige Realität in Verbindung gebracht werden kann.
Gesundheitsfachpersonen (GFP), die das elektronische Patientendossier nutzen wollen,...
2-Faktor-Authentifizierung: Nicht nur für das EPD wichtig!
Von Thomas Kessler 01.03.2019
Das EPDG verlangt eine 2-Faktor-Authentifizierung nicht nur von Patientinnen und Patienten, sondern auch von Gesundheitsfachpersonen und deren Hilfspersonen. Dieser Artikel zeigt auf, wie dies unter Nutzung der im Spital oder im Heim vorhandenen Mittel umgesetzt werden kann.
Der Identitätsdiebstahl ist eines der grossen Probleme der Informationssicherheit:...
Industrie 4.0 (IIoT): Der Einzug der Kryptographie
Von André Clerc 11.02.2019
Durch die Digitalisierung in der Industrie (Industrie 4.0, IIoT) steigt die Anzahl der vernetzten physischen Geräte un Systeme im Internet rasant an und Experten gehen davon aus, dass die Gesamtzahl der angeschlossenen Sensoren und Device bis 2022 auf mehr als 50 Milliarden ansteigen wird. Ein Umstand, der zwar interessante Möglichkeiten eröffnet, aber auc grosse...
Die Qual der Wahl: Android und iOS im Unternehmenseinsatz
Von André Clerc 18.12.2018
Mobile Devices wie Smartphones und Tablets spielen eine immer wichtigere Rolle im beruflichen wie im privaten Umfeld. I vielen Unternehmen sind iOS-Geräte von Apple als Standard gesetzt – aber wieso werden Geräte mit dem Androi Betriebssystem nicht auch eingesetzt? Mit über 88% Marktanteil dominiert Android den Internationalen Markt bei de mobilen Geräten und die...
Das Sourcing eines SOC / CDC erfordert Überlegung
Von Daniel Felix Maurer 18.09.2018
Die Erkennung von und der Umgang mit Sicherheitsvorfällen, auch bekannt als Security Information and Event Managemen (SIEM) oder als «Detection and Response» gemäss NIST Cybersecurity Framework, wird – leider – immer wichtiger. Bei de Implementierung der SIEM-Prozesse spielt das Security Operations Center (SOC) bzw. das Cyber Defence Center (CDC) ein zentrale Rolle....
Datenschutz vs. Informationssicherheit?
Von Michael Roth 30.06.2018
Der Themenkomplex Datenschutz spielt im Design und Betrieb der Informationssicherheit immer wieder eine Rolle – nicht immer zur Freude der Geschäftsverantwortlichen.
In der Beratung zur Informationssicherheit geht es üblicherweise um Themengebiete wie Cybersecurity, Identitäts- un Zugriffsmanagement oder Managementsysteme zur Informationssicherheit. Diese Bereiche...
Informationelle Selbstbestimmung: Wie gehen wir mit der anstehenden Umwälzung um?
Von Thomas Kessler 14.05.2018
Die für jedermann spürbare Auswirkung der Europäischen Datenschutzgrundverordnung (DSGVO) erschöpft sich bislang in de mühseligen Bestätigung von Cookie Policies. Hinter den Kulissen ist aber eine Umwälzung im Gange, die das heutig Selbstverständnis der Sicherheitsverantwortlichen in den Grundfesten erschüttern kann. Diese Umwälzung ist i verschiedenen neuen...
Tod dem Passwort – Es lebe das Passwort
Von Adrian Bachmann 29.03.2018
Das Passwort lebt immer nochSchon bereits vor einigen Jahren kündigten die Medien (siehe z.B. [1]) aber auch Fachkreise den Tod von Passwörter an. Biometrie in allen Facetten (z.B. Fingerabdruck, Iris, Handvenen, Herzrate, Stimme) ist nur ein Beispiel, welche den nahen Tod herbeiführen sollte. Jahre später hantieren wir auch in Zeiten von Blockchain und...
Unbezahlbar: Neue Swift-Regeln für Finanzdienstleister
Von André Clerc 21.11.2017
Um ein Haar wäre es Hackern im vergangenen Jahr gelungen, einen der grössten Betrugsfälle aller Zeiten durchzuziehen un eine knappe Milliarde US-Dollar zu erbeuten. Der SWIFT-Verbund macht nun Druck, die IT-Security in dem Bankennetzwer flächendeckend zu stärken.
Es war eine Aktion, die das Zeug zum Krimi hatte. Im Februar 2016 schafften es bis heute unbekannte...
Informationssicherheit beim Cloud Computing
Von Thomas Kessler 07.11.2017
Cloud Computing in der (Arzt-)PraxisBeim Cloud Computing (oder «Rechnen in der Wolke») befinden sich Informatikanwendungen oder Daten nicht mehr lokal bei Anwender, sondern zentral bei einem Cloud-Service-Anbieter. Diese Verschiebung der IT in die Cloud hat auch in de Anwendungsfälle unterschiedlich:
- Am weitesten verbreitet ist der Datenaustausch über die Cloud....
Informationssicherheit bei der EPD-Anbindung
Von Thomas Kessler 08.09.2017
Wenn sich eine Gesundheitseinrichtung einer EPD-Stammgemeinschaft und damit dem nationalen EPD Vertrauensrau anschliesst, dann bleibt dies nicht ohne Auswirkungen auf die internen Prozesse und Systeme. Dieser Artikel beleuchte den Handlungsbedarf speziell im Bereich der Informationssicherheit.
Spitäler und Heime müssen sich bis 2020 respektive 2022 einer EPD...
SWIFT rüstet auf im Kampf gegen Cyber-Attacken
Von Alex Rhomberg 08.07.2017
Herr Dr. Rhomberg, es war ein Hackerangriff, wie ihn die Bankenwelt bis dahin noch nicht kannte: Im Februar 201 schafften es Hacker, gefälschte Überweisungen über mehr als 950 Millionen US Dollar bei der Bank Bangladesh ins SWIF Netzwerk einzuspeisen. Wie konnte es dazu kommen?
Es zeigte sich, dass zum einen die betroffene Bank erhebliche Mängel in der Sicherheit...
Das EPD als Lackmustest für die informationelle Selbstbestimmung
Von Adrian Bachmann 16.08.2016
Das elektronische Patientendossier (EPD) und die informationelle Selbstbestimmung sind zwei Themen, über die wir in de kommenden Jahren viel hören, lesen und nachdenken werden. Lassen Sie uns darüber sprechen, weshalb das EPD zum Prüfstei für die informationelle Selbstbestimmung wird.
Am 19. Juni 2015 hat das Parlament das Bundesgesetz über das elektronische...
Prevention, Detection and Response: Wieso reine Prävention nicht (mehr) reicht
Von Adrian Bachmann 25.09.2015
Viren, Würmer, Trojaner, Phishing, Drive-by Attacken und Social Engineering sind nur eine kleine Auswahl de möglichen Angriffsmittel, welche von kriminellen Kreisen eingesetzt werden um gewinnbringende Angriffe au Informationssysteme vorzunehmen. Die Professionalisierung der kriminellen Seite hat dabei erschreckende Ausmass angenommen. Längst sind es nicht mehr (nur)...