Artikel

Unsere Publikationen

CloudSecurity

Die besonderen Anforderungen einer IoT PKI

Von Michael Veser | 19.06.2023

Eine Public-Key-Infrastruktur (PKI) ist ein wichtiger Aspekt moderner Informationssicherheit. Seit Jahren gilt es als Standard, dass alle sensiblen Verbindungen verschlüsselt werden. Auch wenn es Ihnen vielleicht nicht bewusst ist: Sie haben ständig mit den verschiedensten PKIs zu tun! Die Tatsache, dass Sie dies im Alltag kaum wahrnehmen, ist ein Qualitätsmerkmal gut...

Weiterlesen...

SecurityArchitecture

Wie Ihnen ein Key Management System bei der DSG Compliance helfen kann

Von Michael Veser | 19.06.2023

Das neue Schweizer Datenschutzgesetz (revDSG) tritt am 1. September 2023 in Kraft und ist nicht zuletzt aufgrund der im Gesetz verankerten persönlichen Strafbarkeit im Falle von Verstössen in aller Munde. Auch wenn die Revision für viele Unternehmen zunächst abschreckend wirkt, finden sich bei genauerer Betrachtung zahlreiche Überschneidungen mit vorhandenen Security...

Weiterlesen...

CloudSecurity

Netzwerkdienste – unerreichbar gut

Von Daniel Brunner | 30.09.2022

Auch in Zeiten von Cloud-Diensten nimmt die Komplexität nicht ab, sondern zu. Nach Jahren des Customizings von Softwarelösungen wurde eine neue Abstraktion gesucht, um den Lifecycle von Produkten und den Herstellerwechsel zu vereinfachen. In der Folge setzte man vermehrt auf die Standardkomponenten von Software, und die Hersteller entwickelten eigene...

Weiterlesen...

RiskManagement

Cyber Resilience mit dem IKT Minimalstandard

Von Bruno Blumenthal | 03.06.2022

Das Bundesamt für wirtschaftliche Landesversorgung (BWL) hat 2018 den IKT Minimalstandard publiziert. Dieser soll als Empfehlung Unternehmen dabei helfen, sich besser vor Cyberangriffen zu schützen. Zielpublikum des Minimalstandards sind primär Betreiber kritischer Infrastrukturen, der Standard soll aber grundsätzlich für alle Organisationen anwendbar sein. Der...

Weiterlesen...

CloudSecurity

Die Herausforderungen bei Online-Meetings: Wie Ihr Meeting zum Erfolg wird

Von Daniel Brunner | 02.06.2022

Selten war die Welt mehr vernetzt als heute: Die Leute tauschen sich mehr aus und es gibt mehr Informationen für alle und über alles. Nun sollte man also meinen, dass ein Online-Meeting ganz einfach durchzuführen sei, besonders wenn eine Firma jahrelange Erfahrungen damit hat. Dennoch gestaltet sich die Organisation eines Online-Meetings mitunter schwierig. Schauen...

Weiterlesen...

CyberSecurity

Basiswissen DevSecOps

Von Daniel Brunner | 01.06.2022

DevSecOps ist eine Erweiterung des bestehenden Ansatzes, Entwicklung (Development) und Betrieb (Operations) bei einem einzigen Team anzusiedeln. Mit DevSecOps wird auch die Sicherheit (Security) im selben Team angesiedelt und erhält damit eine zentrale Rolle.

Mit DevSecOps wechselt man in der Regel von einer Welt, in der die meisten Dienste zentral verwaltet werden,...

Weiterlesen...

CyberSecurity

Identify und Protect vor Detect und Response

Von Bruno Blumenthal | 17.01.2022

In den letzten Jahren hat sich die Erkenntnis durchgesetzt, dass es längst nicht mehr ausreicht, nur präventive Schutzmassnahmen gegen Cyberangriffe zu ergreifen. Die Erkennung von Cyberangriffen und die rasche Reaktion auf Attacken sind vermehrt in den Fokus gerückt, nicht zuletzt auch aufgrund von Standards wie dem NIST Cybersecurity Framework oder dem IKT...

Weiterlesen...

IdentityFederation

Die Schattenseite der Collaboration-Plattformen

Von Thomas Kessler | 01.12.2021

Wer mit mehreren Partnerfirmen auf unterschiedlichen Collaboration-Plattformen zusammenarbeitet, der kennt sie: plattformspezifische Logins, zunehmend mit einer ebenfalls plattformspezifischen 2-Faktor-Authentifizierung.

Wer für das Identity and Access Management (IAM) einer Firma verantwortlich ist, der fürchtet sie: Collaboration-Accounts, die nach Abschluss der...

Weiterlesen...

PKI

Die Eleganz von Let's Encrypt in einer internen PKI

Von Nishanthan Sithampary, André Clerc | 01.12.2021

Welcher Administrator kennt das nicht? Ein ablaufendes TLS-Zertifikat reisst eine wichtige Applikation runter und legt im schlimmsten Fall wichtige Dienste flächendeckend lahm. Die Fehleranalyse erweist sich als schwierig und zeitaufwändig, da Fehlermeldungen in Logs wie «Unable to connect to server» oder «Service unreachable» nicht viel über die eigentliche...

Weiterlesen...

StrongAuthentication

Modern Authentication – Token Exchange

Von Thomas Bühler | 29.06.2021

Moderne Authentisierungsprotokolle sind in Zeiten von Cloud und zunehmender standortübergreifender Zusammenarbeit nicht mehr wegzudenken. Nachdem Kerberos jahrzehntelang den Benchmark in der On-Premise-Welt setzte, verabschiedete OASIS im Jahr 2002 SAML V1.0 und ermöglichte somit erstmals eine standardisierte SSO-Integration von Webanwendungen. Im Jahr 2005 stellten...

Weiterlesen...

IAM

Kurzfassung des SolarWinds-Angriff

Von Thomas Bühler | 16.03.2021

Advanced-Persistent-Threat-Cyberattacken (APT), Identity Access Management (IAM) und Authentication Management sind Themen im Bereich der Informationssicherheit, mit denen sich die meisten Sicherheitsleute wohl bereits einmal befasst haben. Doch wieso führen gerade Mängel im IAM und im Authentication Management immer wieder dazu, dass APT-Angriffe möglich werden? Und...

Weiterlesen...

CyberSecurity

SWIFT CSP: Was sich für BIC-Nutzer im Jahr 2021 ändert

Von Markus Günther | 16.03.2021

Das Jahr 2021 bringt für SWIFT-Nutzer zwei Änderungen. Erstens die Notwendigkeit eines Independent Self-Assessments und zweitens eine neue Version des Customer Security Controls Framework (CSCF) in der Version 2022. Während Letzteres eine kalkulierbare Neuerung darstellt, handelt es sich bei Ersterem um eine ernst zu nehmende Verschärfung.

Was sich für BIC-Nutzer im...

Weiterlesen...

StrongAuthentication

2-Faktor-Authentifizierung von Gesundheitsfachpersonen

Von Thomas Kessler | 09.03.2021

Eine 2-Faktor Authentifizierung der Benutzer sollte beim Zugriff auf Cloud-Services im Gesundheitswesen zur Selbstverständlichkeit werden. Damit dies gelingt, benötigen Spitäler und Heime ein elektronisches Äquivalent zum Personalausweis.

Passwörter sind die Achillesferse der IT-Sicherheit

Beim Login mit Benutzername und Passwort beweist der Benutzer seine Identität,...

Weiterlesen...

CyberSecurity

Bedrohungsanalyse der Ransomware EKANS - Wie Honda seine Produktion einstellen musste

Von Gregor Walter | 15.12.2020

Im Juni dieses Jahres musste Honda aufgrund einer Cyberattacke Teile der Produktion an unterschiedlichen Standorten einstellen. Die Angreifer haben bekannte Sicherheitslücken ausgenutzt, um Zugang zum internen Netz zu erhalten, und haben die erhaltenen Informationen in die Ransomware einprogrammiert. Die Malware wurde dann intern verteilt und hat auf den infizierten...

Weiterlesen...

SecurityArchitecture

Zentrales Authentisierungs- und Autorisierungsmanagement - Eine Chance für die Zukunft

Von Thomas Bühler | 12.10.2020

IT-Architekten stehen heutzutage vor der Herausforderung, vielseitige Anforderungen des Fachbereichs, der Sicherheit und der Regulatoren erfüllen zu müssen. Die Themen reichen von der Cloud-Integration über die Multi-Faktor-Anmeldung bis hin zur App-Integration und das unter dem Aspekt des stetig steigenden Schutzbedarfs, welcher wiederum neue Ansätze erfordert....

Weiterlesen...

CyberSecurity

In our SOC we trust: Über die Wichtigkeit von Vertrauen

Von Bruno Blumenthal | 25.11.2019

In den gängigen Blueprints zum Aufbau eines Security Operation Centers (SOC) fehlt häufig ein wichtiges Element, nämlich das Vertrauen in das SOC durch die Organisation, die es zu schützen hat. Wenn der unvermeidliche kritische Vorfall eintritt, ist dies von grösster Bedeutung, denn das Management soll sich auf die Analysen und Empfehlungen seines SOC verlassen...

Weiterlesen...

ISMS

ISMS 2020 – Tiger im Schafspelz

Von Daniel Maurer | 02.09.2019

Manch einer will nur noch Reissaus nehmen, wenn er liest, was in Wikipedia unter dem Stichworten Information Security Management System und ISO/IEC 27001 und 27002 gelistet ist. Von Verfahren und Regeln ist da die Rede, dauerhaft aufrecht zu erhalten und erst noch fortlaufend zu verbessern. So etwas Langweiliges! Das riecht nach harter Arbeit, Anstrengung und Fleiss...

Weiterlesen...

CyberSecurity

Wie Sie sicher in die Cloud migrieren

Von Bruno Blumenthal | 20.08.2019

Security und die Cloud haben ein äusserst ambivalentes Verhältnis. Viele Security Spezialisten sind gegenüber der Cloud noch immer skeptisch und betrachten diese in erster Linie als Risiko. Die Cloud kann aber auch eine Chance und der Security sogar dienlich sein. Mit der Migration einer Business Applikation in die Cloud verändern sich die Risiken. Ob diese...

Weiterlesen...

SecurityArchitecture

EPD GFP-Verwaltung: Vision trifft auf Realität

Von Thomas Kessler | 04.07.2019

Die Verwaltung der Gesundheitsfachpersonen im nationalen Health Provider Directory des elektronischen Patientendossiers folgt einer langfristig ausgelegten Vision des Gesetzgebers. Dieser Artikel zeigt auf, wie diese Vision mit der heutigen Realität in Verbindung gebracht werden kann.

Gesundheitsfachpersonen (GFP), die das elektronische Patientendossier nutzen wollen,...

Weiterlesen...

StrongAuthentication

2-Faktor-Authentifizierung: Nicht nur für das EPD wichtig!

Von Thomas Kessler | 01.03.2019

Das EPDG verlangt eine 2-Faktor-Authentifizierung nicht nur von Patientinnen und Patienten, sondern auch von Gesundheitsfachpersonen und deren Hilfspersonen. Dieser Artikel zeigt auf, wie dies unter Nutzung der im Spital oder im Heim vorhandenen Mittel umgesetzt werden kann.

Der Identitätsdiebstahl ist eines der grossen Probleme der Informationssicherheit:...

Weiterlesen...

PKI

Industrie 4.0 (IIoT): Der Einzug der Kryptographie

Von André Clerc | 11.02.2019

Durch die Digitalisierung in der Industrie (Industrie 4.0, IIoT) steigt die Anzahl der vernetzten physischen Geräte und Systeme im Internet rasant an und Experten gehen davon aus, dass die Gesamtzahl der angeschlossenen Sensoren und Devices bis 2022 auf mehr als 50 Milliarden ansteigen wird. Ein Umstand, der zwar interessante Möglichkeiten eröffnet, aber auch grosse...

Weiterlesen...

SecurityArchitecture

Die Qual der Wahl: Android und iOS im Unternehmenseinsatz

Von André Clerc | 18.12.2018

Mobile Devices wie Smartphones und Tablets spielen eine immer wichtigere Rolle im beruflichen wie im privaten Umfeld. In vielen Unternehmen sind iOS-Geräte von Apple als Standard gesetzt – aber wieso werden Geräte mit dem Android Betriebssystem nicht auch eingesetzt? Mit über 88% Marktanteil dominiert Android den Internationalen Markt bei den mobilen Geräten und die...

Weiterlesen...

CyberSecurity

Das Sourcing eines SOC / CDC erfordert Überlegung

Von Daniel Maurer | 18.09.2018

Die Erkennung von und der Umgang mit Sicherheitsvorfällen, auch bekannt als Security Information and Event Management (SIEM) oder als «Detection and Response» gemäss NIST Cybersecurity Framework, wird – leider – immer wichtiger. Bei der Implementierung der SIEM-Prozesse spielt das Security Operations Center (SOC) bzw. das Cyber Defence Center (CDC) eine zentrale...

Weiterlesen...

Compliance

Datenschutz vs. Informationssicherheit?

Von Michael Roth | 30.06.2018

Der Themenkomplex Datenschutz spielt im Design und Betrieb der Informationssicherheit immer wieder eine Rolle – nicht immer zur Freude der Geschäftsverantwortlichen.

In der Beratung zur Informationssicherheit geht es üblicherweise um Themengebiete wie Cyber Security, Identitäts- und Zugriffsmanagement oder Managementsysteme zur Informationssicherheit. Diese Bereiche...

Weiterlesen...

Compliance

Informationelle Selbstbestimmung: Wie gehen wir mit der anstehenden Umwälzung um?

Von Thomas Kessler | 14.05.2018

Die für jedermann spürbare Auswirkung der Europäischen Datenschutzgrundverordnung (DSGVO) erschöpft sich bislang in der mühseligen Bestätigung von Cookie Policies. Hinter den Kulissen ist aber eine Umwälzung im Gange, die das heutige Selbstverständnis der Sicherheitsverantwortlichen in den Grundfesten erschüttern kann. Diese Umwälzung ist in verschiedenen neuen...

Weiterlesen...

StrongAuthentication

Tod dem Passwort – Es lebe das Passwort

Von Adrian Bachmann | 29.03.2018

Das Passwort lebt immer noch

Schon bereits vor einigen Jahren kündigten die Medien (siehe z.B. [1]) aber auch Fachkreise den Tod von Passwörtern an. Biometrie in allen Facetten (z.B. Fingerabdruck, Iris, Handvenen, Herzrate, Stimme) ist nur ein Beispiel, welches den nahen Tod herbeiführen sollte. Jahre später hantieren wir auch in Zeiten von Blockchain und...

Weiterlesen...

Compliance

Unbezahlbar: Neue Swift-Regeln für Finanzdienstleister

Von André Clerc | 21.11.2017

Um ein Haar wäre es Hackern im vergangenen Jahr gelungen, einen der grössten Betrugsfälle aller Zeiten durchzuziehen und eine knappe Milliarde US-Dollar zu erbeuten. Der SWIFT-Verbund macht nun Druck, die IT-Security in dem Bankennetzwerk flächendeckend zu stärken.

Es war eine Aktion, die das Zeug zum Krimi hatte. Im Februar 2016 schafften es bis heute unbekannte...

Weiterlesen...

CloudSecurity

Informationssicherheit beim Cloud Computing

Von Thomas Kessler | 07.11.2017

Cloud Computing in der (Arzt-)Praxis

Beim Cloud Computing (oder «Rechnen in der Wolke») befinden sich Informatikanwendungen oder Daten nicht mehr lokal beim Anwender, sondern zentral bei einem Cloud-Service-Anbieter. Diese Verschiebung der IT in die Cloud hat auch in der Anwendungsfälle unterschiedlich:

  • Am weitesten verbreitet ist der Datenaustausch über die Cloud....

Weiterlesen...

Compliance

Informationssicherheit bei der EPD-Anbindung

Von Thomas Kessler | 08.09.2017

Wenn sich eine Gesundheitseinrichtung einer EPD-Stammgemeinschaft und damit dem nationalen EPD Vertrauensraum anschliesst, dann bleibt dies nicht ohne Auswirkungen auf die internen Prozesse und Systeme. Dieser Artikel beleuchtet den Handlungsbedarf speziell im Bereich der Informationssicherheit.

Spitäler und Heime müssen sich bis 2020 respektive 2022 einer EPD...

Weiterlesen...

CyberSecurity

SWIFT rüstet auf im Kampf gegen Cyber-Attacken

Von Alex Rhomberg | 08.07.2017

Herr Dr. Rhomberg, es war ein Hackerangriff, wie ihn die Bankenwelt bis dahin noch nicht kannte: Im Februar 2016 schafften es Hacker, gefälschte Überweisungen über mehr als 950 Millionen US Dollar bei der Bank Bangladesh ins SWIFT Netzwerk einzuspeisen. Wie konnte es dazu kommen?

Es zeigte sich, dass zum einen die betroffene Bank erhebliche Mängel in der Sicherheit...

Weiterlesen...

Compliance

Das EPD als Lackmustest für die informationelle Selbstbestimmung

Von Adrian Bachmann | 16.08.2016

Das elektronische Patientendossier (EPD) und die informationelle Selbstbestimmung sind zwei Themen, über die wir in den kommenden Jahren viel hören, lesen und nachdenken werden. Lassen Sie uns darüber sprechen, weshalb das EPD zum Prüfstein für die informationelle Selbstbestimmung wird.

Am 19. Juni 2015 hat das Parlament das Bundesgesetz über das elektronische...

Weiterlesen...

CyberSecurity

Prevention, Detection and Response: Wieso reine Prävention nicht (mehr) reicht

Von Adrian Bachmann | 25.09.2015

Viren, Würmer, Trojaner, Phishing, Drive-by Attacken und Social Engineering [1] sind nur eine kleine Auswahl der möglichen Angriffsmittel, welche von kriminellen Kreisen eingesetzt werden um gewinnbringende Angriffe auf Informationssysteme vorzunehmen. Die Professionalisierung der kriminellen Seite hat dabei erschreckende Ausmasse angenommen. Längst sind es nicht mehr...

Weiterlesen...