Artikel

Artikel unserer Consultants

PQC_Hammer

Post Quantum Cryptography – halten die eingesetzten Schlösser stand?

Von Markus Günther 11.09.2024

Einkaufen, bargeldlos bezahlen, online bestellen, Verträge ohne Kugelschreiber signieren – unser Alltag ist bequemer denn je. Vieles kostet uns wenig Anstrengung, und wir denken kaum über die komplexe Mechanik nach, die hinter diesen Prozessen steckt. Das Vertrauen in die Verlässlichkeit unserer digitalen Welt ist hoch. Aber ist dieses Vertrauen wirklich...

Weiterlesen...

Iceberg

Sicherheitskultur ist mehr als Awareness

Von Markus Günther 08.07.2024

In seinem neusten Bericht hat das Cyber Safety Review Board (CSRB), eine Sonderkommision der US-Regierung, Microsoft eine «unzureichende Sicherheitskultur» attestiert. Diese wurde als eine wichtige Ursache für einen massiven, weltweiten Sicherheitsvorfall im Jahr 2023 identifiziert. Während diese klare, öffentliche Anklage überrascht, zeigt sie auf, was passieren...

Weiterlesen...

SecurityStrategy

Chat-Applikationen durch das SOC effektiv überwachen

Von Michael Veser 17.06.2024

Chat-Applikationen sind zu einem wesentlichen Bestandteil unseres digitalen Lebens geworden und bieten eine Plattform für Echtzeitkommunikation und Interaktion. Gleichzeitig sind sie aufgrund ihrer weiten Verbreitung und zentralen Bedeutung zunehmend Ziele für Cyberangriffe geworden. Angreifer versuchen häufig, die Chatbots zu ungewollten Aktionen zu verleiten. Dies...

Weiterlesen...

SolutionEvaluation

Wie Sie unternehmenseigene Daten in eine generative AI-Applikation einbringen können

Von Michael Veser 10.06.2024

Dieser Artikel erläutert technische Grundlagen von generativen AI Systemen. Er dient dem besseren Verständnis unserer Artikel zu Security Fragestellungen rund um den Einsatz von AI Systemen.

Auch wenn die öffentlichen Modelle wie ChatGPT bereits ein grosses Wissensspektrum bieten, kann durch den Einsatz von unternehmenseigenen Daten der praktische Nutzen stark erhöht...

Weiterlesen...

SolutionEvaluation

Wie Daten zur Nutzung mit AI-Modellen gespeichert werden

Von Michael Veser 10.06.2024

Dieser Artikel erläutert technische Grundlagen von generativen AI Systemen. Er dient dem besseren Verständnis unserer Artikel zu Security Fragestellungen rund um den Einsatz von AI Systemen.

In der Welt der Künstlichen Intelligenz spielen Large Language Models (LLMs) eine zunehmend zentrale Rolle bei der Verarbeitung und Analyse menschlicher Sprache. Um diese...

Weiterlesen...

CyberSecurity

Gegen den eingekauften Sicherheitsvorfall - Supply Chain Risk Management

Von Bruno Blumenthal 18.03.2024

Lieferanten und Dienstleister haben einen wesentlichen Einfluss auf die Sicherheit eines Unternehmens. Kein Unternehmen agiert isoliert. Medienwirksame Vorfälle wie SolarWinds (2020) oder Xplain (2023) zeigen wie gross die Auswirkung von Sicherheitsvorfällen bei Lieferanten sein kann. Supply Chain Risk Management (SCRM) oder Third Party Risk Management (TPRM) rücken...

Weiterlesen...

CloudSecurity

Die besonderen Anforderungen einer IoT PKI

Von Michael Veser 19.06.2023

Eine Public-Key-Infrastruktur (PKI) ist ein wichtiger Aspekt moderner Informationssicherheit. Seit Jahren gilt es als Standard, dass alle sensiblen Verbindungen verschlüsselt werden. Auch wenn es Ihnen vielleicht nicht bewusst ist: Sie haben ständig mit den verschiedensten PKIs zu tun! Die Tatsache, dass Sie dies im Alltag kaum wahrnehmen, ist ein Qualitätsmerkmal gut...

Weiterlesen...

SecurityArchitecture

Wie Ihnen ein Key Management System bei der DSG Compliance helfen kann

Von Michael Veser 19.06.2023

Das neue Schweizer Datenschutzgesetz (revDSG) tritt am 1. September 2023 in Kraft und ist nicht zuletzt aufgrund der im Gesetz verankerten persönlichen Strafbarkeit im Falle von Verstössen in aller Munde. Auch wenn die Revision für viele Unternehmen zunächst abschreckend wirkt, finden sich bei genauerer Betrachtung zahlreiche Überschneidungen mit vorhandenen Security...

Weiterlesen...

CloudSecurity

Netzwerkdienste – unerreichbar gut

Von Daniel Brunner 30.09.2022

Auch in Zeiten von Cloud-Diensten nimmt die Komplexität nicht ab, sondern zu. Nach Jahren des Customizings von Softwarelösungen wurde eine neue Abstraktion gesucht, um den Lifecycle von Produkten und den Herstellerwechsel zu vereinfachen. In der Folge setzte man vermehrt auf die Standardkomponenten von Software, und die Hersteller entwickelten eigene...

Weiterlesen...

RiskManagement

Cyber Resilience mit dem IKT Minimalstandard

Von Bruno Blumenthal 03.06.2022

Das Bundesamt für wirtschaftliche Landesversorgung (BWL) hat 2018 den IKT Minimalstandard publiziert. Dieser soll als Empfehlung Unternehmen dabei helfen, sich besser vor Cyberangriffen zu schützen. Zielpublikum des Minimalstandards sind primär Betreiber kritischer Infrastrukturen, der Standard soll aber grundsätzlich für alle Organisationen anwendbar sein. Der...

Weiterlesen...

CloudSecurity

Die Herausforderungen bei Online-Meetings: Wie Ihr Meeting zum Erfolg wird

Von Daniel Brunner 02.06.2022

Selten war die Welt mehr vernetzt als heute: Die Leute tauschen sich mehr aus und es gibt mehr Informationen für alle und über alles. Nun sollte man also meinen, dass ein Online-Meeting ganz einfach durchzuführen sei, besonders wenn eine Firma jahrelange Erfahrungen damit hat. Dennoch gestaltet sich die Organisation eines Online-Meetings mitunter schwierig. Schauen...

Weiterlesen...

CyberSecurity

Basiswissen DevSecOps

Von Daniel Brunner 01.06.2022

DevSecOps ist eine Erweiterung des bestehenden Ansatzes, Entwicklung (Development) und Betrieb (Operations) bei einem einzigen Team anzusiedeln. Mit DevSecOps wird auch die Sicherheit (Security) im selben Team angesiedelt und erhält damit eine zentrale Rolle.

Mit DevSecOps wechselt man in der Regel von einer Welt, in der die meisten Dienste zentral verwaltet werden,...

Weiterlesen...

CyberSecurity

Identify und Protect vor Detect und Response

Von Bruno Blumenthal 17.01.2022

In den letzten Jahren hat sich die Erkenntnis durchgesetzt, dass es längst nicht mehr ausreicht, nur präventive Schutzmassnahmen gegen Cyberangriffe zu ergreifen. Die Erkennung von Cyberangriffen und die rasche Reaktion auf Attacken sind vermehrt in den Fokus gerückt, nicht zuletzt auch aufgrund von Standards wie dem NIST Cybersecurity Framework oder dem IKT...

Weiterlesen...

IdentityFederation

Die Schattenseite der Collaboration-Plattformen

Von Thomas Kessler 01.12.2021

Wer mit mehreren Partnerfirmen auf unterschiedlichen Collaboration-Plattformen zusammenarbeitet, der kennt sie: plattformspezifische Logins, zunehmend mit einer ebenfalls plattformspezifischen 2-Faktor-Authentifizierung.

Wer für das Identity and Access Management (IAM) einer Firma verantwortlich ist, der fürchtet sie: Collaboration-Accounts, die nach Abschluss der...

Weiterlesen...

PKI

Die Eleganz von Let's Encrypt in einer internen PKI

Von André Clerc, Nishanthan Sithampary 01.12.2021

Welcher Administrator kennt das nicht? Ein ablaufendes TLS-Zertifikat reisst eine wichtige Applikation runter und legt im schlimmsten Fall wichtige Dienste flächendeckend lahm. Die Fehleranalyse erweist sich als schwierig und zeitaufwändig, da Fehlermeldungen in Logs wie «Unable to connect to server» oder «Service unreachable» nicht viel über die eigentliche...

Weiterlesen...

StrongAuthentication

Modern Authentication – Token Exchange

Von Thomas Bühler 29.06.2021

Moderne Authentisierungsprotokolle sind in Zeiten von Cloud und zunehmender standortübergreifender Zusammenarbeit nicht mehr wegzudenken. Nachdem Kerberos jahrzehntelang den Benchmark in der On-Premise-Welt setzte, verabschiedete OASIS im Jahr 2002 SAML V1.0 und ermöglichte somit erstmals eine standardisierte SSO-Integration von Webanwendungen. Im Jahr 2005 stellten...

Weiterlesen...

IAM

Kurzfassung des SolarWinds-Angriff

Von Thomas Bühler 16.03.2021

Advanced-Persistent-Threat-Cyberattacken (APT), Identity Access Management (IAM) und Authentication Management sin Themen im Bereich der Informationssicherheit, mit denen sich die meisten Sicherheitsleute wohl bereits einmal befass haben. Doch wieso führen gerade Mängel im IAM und im Authentication Management immer wieder dazu, dass APT-Angriff möglich werden? Und...

Weiterlesen...

CyberSecurity

SWIFT CSP: Was sich für BIC-Nutzer im Jahr 2021 ändert

Von Markus Günther 16.03.2021

Das Jahr 2021 bringt für SWIFT-Nutzer zwei Änderungen. Erstens die Notwendigkeit eines Independent Self-Assessments un zweitens eine neue Version de Customer Security Controls Framework (CSCF) in de Version 2022. Während Letzteres eine kalkulierbare Neuerung darstellt, handelt es sich bei Ersterem um eine ernst z nehmende Verschärfung.

Was sich für BIC-Nutzer im Jahr...

Weiterlesen...

StrongAuthentication

2-Faktor-Authentifizierung von Gesundheitsfachpersonen

Von Thomas Kessler 09.03.2021

Eine 2-Faktor Authentifizierung der Benutzer sollte beim Zugriff auf Cloud-Services im Gesundheitswesen zur Selbstverständlichkeit werden. Damit dies gelingt, benötigen Spitäler und Heime ein elektronisches Äquivalent zum Personalausweis.

Passwörter sind die Achillesferse der IT-Sicherheit

Beim Login mit Benutzername und Passwort beweist der Benutzer seine Identität,...

Weiterlesen...

CyberSecurity

Bedrohungsanalyse der Ransomware EKANS - Wie Honda seine Produktion einstellen musste

Von Gregor Walter 15.12.2020

Im Juni dieses Jahres musste Honda aufgrund einer Cyberattacke Teile der Produktion an unterschiedlichen Standorte einstellen. Die Angreifer haben bekannte Sicherheitslücken ausgenutzt, um Zugang zum internen Netz zu erhalten, un haben die erhaltenen Informationen in die Ransomware einprogrammiert. Die Malware wurde dann intern verteilt und hat au den infizierten PCs...

Weiterlesen...

SecurityArchitecture

Zentrales Authentisierungs- und Autorisierungsmanagement - Eine Chance für die Zukunft

Von Thomas Bühler 12.10.2020

IT-Architekten stehen heutzutage vor der Herausforderung, vielseitige Anforderungen des Fachbereichs, der Sicherheit un der Regulatoren erfüllen zu müssen. Die Themen reichen von der Cloud-Integration über die Multi-Faktor-Anmeldung bis hi zur App-Integration und das unter dem Aspekt des stetig steigenden Schutzbedarfs, welcher wiederum neue Ansätz erfordert.

Nehmen...

Weiterlesen...

CyberSecurity

In our SOC we trust: Über die Wichtigkeit von Vertrauen

Von Bruno Blumenthal 25.11.2019

In den gängigen Blueprints zum Aufbau eines Security Operation Centers (SOC) fehlt häufig ein wichtiges Element, nämlic das Vertrauen in das SOC durch die Organisation, die es zu schützen hat. Wenn der unvermeidliche kritische Vorfal eintritt, ist dies von grösster Bedeutung, denn das Management soll sich auf die Analysen und Empfehlungen seines SO verlassen können....

Weiterlesen...

ISMS

ISMS 2020 – Tiger im Schafspelz

Von Daniel Felix Maurer 02.09.2019

Manch einer will nur noch Reissaus nehmen, wenn er liest, was in Wikipedia unter dem Stichworten Information Securit Management System und ISO/IEC 27001 und 27002 gelistet ist. Von Verfahren und Regeln ist da die Rede, dauerhaf aufrecht zu erhalten und erst noch fortlaufend zu verbessern. So etwas Langweiliges! Das riecht nach harter Arbeit Anstrengung und Fleiss...

Weiterlesen...

CyberSecurity

Wie Sie sicher in die Cloud migrieren

Von Bruno Blumenthal 20.08.2019

Security und die Cloud haben ein äusserst ambivalentes Verhältnis. Viele Security Spezialisten sind gegenüber der Clou noch immer skeptisch und betrachten diese in erster Linie als Risiko. Die Cloud kann aber auch eine Chance und de Security sogar dienlich sein. Mit der Migration einer Business Applikation in die Cloud verändern sich die Risiken. O diese Veränderung...

Weiterlesen...

SecurityArchitecture

EPD GFP-Verwaltung: Vision trifft auf Realität

Von Thomas Kessler 04.07.2019

Die Verwaltung der Gesundheitsfachpersonen im nationalen Health Provider Directory des elektronischen Patientendossier folgt einer langfristig ausgelegten Vision des Gesetzgebers. Dieser Artikel zeigt auf, wie diese Vision mit der heutige Realität in Verbindung gebracht werden kann.

Gesundheitsfachpersonen (GFP), die das elektronische Patientendossier nutzen wollen,...

Weiterlesen...

StrongAuthentication

2-Faktor-Authentifizierung: Nicht nur für das EPD wichtig!

Von Thomas Kessler 01.03.2019

Das EPDG verlangt eine 2-Faktor-Authentifizierung nicht nur von Patientinnen und Patienten, sondern auch von Gesundheitsfachpersonen und deren Hilfspersonen. Dieser Artikel zeigt auf, wie dies unter Nutzung der im Spital oder im Heim vorhandenen Mittel umgesetzt werden kann.

Der Identitätsdiebstahl ist eines der grossen Probleme der Informationssicherheit:...

Weiterlesen...

PKI

Industrie 4.0 (IIoT): Der Einzug der Kryptographie

Von André Clerc 11.02.2019

Durch die Digitalisierung in der Industrie (Industrie 4.0, IIoT) steigt die Anzahl der vernetzten physischen Geräte un Systeme im Internet rasant an und Experten gehen davon aus, dass die Gesamtzahl der angeschlossenen Sensoren und Device bis 2022 auf mehr als 50 Milliarden ansteigen wird. Ein Umstand, der zwar interessante Möglichkeiten eröffnet, aber auc grosse...

Weiterlesen...

SecurityArchitecture

Die Qual der Wahl: Android und iOS im Unternehmenseinsatz

Von André Clerc 18.12.2018

Mobile Devices wie Smartphones und Tablets spielen eine immer wichtigere Rolle im beruflichen wie im privaten Umfeld. I vielen Unternehmen sind iOS-Geräte von Apple als Standard gesetzt – aber wieso werden Geräte mit dem Androi Betriebssystem nicht auch eingesetzt? Mit über 88% Marktanteil dominiert Android den Internationalen Markt bei de mobilen Geräten und die...

Weiterlesen...

CyberSecurity

Das Sourcing eines SOC / CDC erfordert Überlegung

Von Daniel Felix Maurer 18.09.2018

Die Erkennung von und der Umgang mit Sicherheitsvorfällen, auch bekannt als Security Information and Event Managemen (SIEM) oder als «Detection and Response» gemäss NIST Cybersecurity Framework, wird – leider – immer wichtiger. Bei de Implementierung der SIEM-Prozesse spielt das Security Operations Center (SOC) bzw. das Cyber Defence Center (CDC) ein zentrale Rolle....

Weiterlesen...

Compliance

Datenschutz vs. Informationssicherheit?

Von Michael Roth 30.06.2018

Der Themenkomplex Datenschutz spielt im Design und Betrieb der Informationssicherheit immer wieder eine Rolle – nicht immer zur Freude der Geschäftsverantwortlichen.

In der Beratung zur Informationssicherheit geht es üblicherweise um Themengebiete wie Cybersecurity, Identitäts- un Zugriffsmanagement oder Managementsysteme zur Informationssicherheit. Diese Bereiche...

Weiterlesen...

Compliance

Informationelle Selbstbestimmung: Wie gehen wir mit der anstehenden Umwälzung um?

Von Thomas Kessler 14.05.2018

Die für jedermann spürbare Auswirkung der Europäischen Datenschutzgrundverordnung (DSGVO) erschöpft sich bislang in de mühseligen Bestätigung von Cookie Policies. Hinter den Kulissen ist aber eine Umwälzung im Gange, die das heutig Selbstverständnis der Sicherheitsverantwortlichen in den Grundfesten erschüttern kann. Diese Umwälzung ist i verschiedenen neuen...

Weiterlesen...

StrongAuthentication

Tod dem Passwort – Es lebe das Passwort

Von Adrian Bachmann 29.03.2018

Das Passwort lebt immer noch

Schon bereits vor einigen Jahren kündigten die Medien (siehe z.B. [1]) aber auch Fachkreise den Tod von Passwörter an. Biometrie in allen Facetten (z.B. Fingerabdruck, Iris, Handvenen, Herzrate, Stimme) ist nur ein Beispiel, welche den nahen Tod herbeiführen sollte. Jahre später hantieren wir auch in Zeiten von Blockchain und...

Weiterlesen...

Compliance

Unbezahlbar: Neue Swift-Regeln für Finanzdienstleister

Von André Clerc 21.11.2017

Um ein Haar wäre es Hackern im vergangenen Jahr gelungen, einen der grössten Betrugsfälle aller Zeiten durchzuziehen un eine knappe Milliarde US-Dollar zu erbeuten. Der SWIFT-Verbund macht nun Druck, die IT-Security in dem Bankennetzwer flächendeckend zu stärken.

Es war eine Aktion, die das Zeug zum Krimi hatte. Im Februar 2016 schafften es bis heute unbekannte...

Weiterlesen...

CloudSecurity

Informationssicherheit beim Cloud Computing

Von Thomas Kessler 07.11.2017

Cloud Computing in der (Arzt-)Praxis

Beim Cloud Computing (oder «Rechnen in der Wolke») befinden sich Informatikanwendungen oder Daten nicht mehr lokal bei Anwender, sondern zentral bei einem Cloud-Service-Anbieter. Diese Verschiebung der IT in die Cloud hat auch in de Anwendungsfälle unterschiedlich:

  • Am weitesten verbreitet ist der Datenaustausch über die Cloud....

Weiterlesen...

Compliance

Informationssicherheit bei der EPD-Anbindung

Von Thomas Kessler 08.09.2017

Wenn sich eine Gesundheitseinrichtung einer EPD-Stammgemeinschaft und damit dem nationalen EPD Vertrauensrau anschliesst, dann bleibt dies nicht ohne Auswirkungen auf die internen Prozesse und Systeme. Dieser Artikel beleuchte den Handlungsbedarf speziell im Bereich der Informationssicherheit.

Spitäler und Heime müssen sich bis 2020 respektive 2022 einer EPD...

Weiterlesen...

CyberSecurity

SWIFT rüstet auf im Kampf gegen Cyber-Attacken

Von Alex Rhomberg 08.07.2017

Herr Dr. Rhomberg, es war ein Hackerangriff, wie ihn die Bankenwelt bis dahin noch nicht kannte: Im Februar 201 schafften es Hacker, gefälschte Überweisungen über mehr als 950 Millionen US Dollar bei der Bank Bangladesh ins SWIF Netzwerk einzuspeisen. Wie konnte es dazu kommen?

Es zeigte sich, dass zum einen die betroffene Bank erhebliche Mängel in der Sicherheit...

Weiterlesen...

Compliance

Das EPD als Lackmustest für die informationelle Selbstbestimmung

Von Adrian Bachmann 16.08.2016

Das elektronische Patientendossier (EPD) und die informationelle Selbstbestimmung sind zwei Themen, über die wir in de kommenden Jahren viel hören, lesen und nachdenken werden. Lassen Sie uns darüber sprechen, weshalb das EPD zum Prüfstei für die informationelle Selbstbestimmung wird.

Am 19. Juni 2015 hat das Parlament das Bundesgesetz über das elektronische...

Weiterlesen...

CyberSecurity

Prevention, Detection and Response: Wieso reine Prävention nicht (mehr) reicht

Von Adrian Bachmann 25.09.2015

Viren, Würmer, Trojaner, Phishing, Drive-by Attacken und Social Engineering sind nur eine kleine Auswahl de möglichen Angriffsmittel, welche von kriminellen Kreisen eingesetzt werden um gewinnbringende Angriffe au Informationssysteme vorzunehmen. Die Professionalisierung der kriminellen Seite hat dabei erschreckende Ausmass angenommen. Längst sind es nicht mehr (nur)...

Weiterlesen...