Lektion 5 von 6 · Video
Dienstleister und ihr Zugang
Der Fortschritt wird nur auf diesem Gerät gespeichert. Mit einem kostenlosen LFW-Konto geräteübergreifend speichern.
Lehrplan0 von 6 erledigt
Dienstleister erhalten namentlichen, begrenzten und befristeten Zugang auf Grundlage eines Vertrags, der festhält, dass Konten, Domain und Daten der Einrichtung gehören und dass Sicherheitsvorfälle gemeldet werden.
Notizen
Schritt 1 von 6
Einstieg
Die meisten öffentlichen Einrichtungen sind bei der Website auf Dienstleister angewiesen: eine Entwicklungsfirma, einen Hoster, einen Managed Service Provider, einen Anbieter von Sitzungssoftware, einen Zahlungsdienstleister. Dienstleister brauchen Zugang, um ihre Arbeit zu tun. Sie halten damit auch die Schlüssel zu Ihrem Webauftritt, oft mehr davon als irgendeine mitarbeitende Person.
Diese Lektion zeigt, wie Sie Dienstleistern geben, was sie brauchen, und die Kontrolle behalten.
Schritt 2 von 6
Zuerst die Eigentumsfrage
Stellen Sie vor jedem Zugang sicher, dass das Wichtige der Einrichtung gehört:
- Die Domain ist auf den Namen der Einrichtung registriert, mit Kontakten der Einrichtung, in einem Konto, das die Einrichtung kontrolliert. Ein Dienstleister kann delegierten Zugriff haben. Domaininhaber sollte er nicht sein.
- Hosting und kostenpflichtige Dienste liegen nach Möglichkeit im Konto der Einrichtung, oder der Vertrag regelt, wie sie übertragen werden.
- Inhalte und Daten lassen sich jederzeit in einem brauchbaren Format exportieren, und auf Anfrage, wenn der Vertrag endet.
- Administratorzugang zu jedem System bleibt bei mindestens zwei Ihrer eigenen Leute, auch wenn der Dienstleister die Arbeit macht.
Wenn einer dieser Punkte heute nicht zutrifft, schreiben Sie es auf. Am einfachsten lässt es sich bei der Vertragsverlängerung beheben.
Schritt 3 von 6
Namentlicher, begrenzter, befristeter Zugang
Für die Mitarbeitenden von Dienstleistern gelten dieselben Regeln wie für Ihre eigenen:
- Namentliche Konten: Jede Person beim Dienstleister hat einen eigenen Zugang mit ihrer eigenen dienstlichen E-Mail-Adresse. Kein gemeinsames „Dienstleister“-Konto.
- Kleinste Rolle: Wer in der Entwicklung eine Vorlage repariert, braucht vielleicht für einen Tag Administratorzugang. Eine Person, die nur Inhalte liefert, braucht die Rolle Redakteur.
- Zweistufige Anmeldung: Pflicht für jedes Dienstleisterkonto. Das Ziel 3.F der CISA verlangt in seinen Hinweisen zur Betriebstechnik (Operational Technology) MFA für alle Konten, auf die aus der Ferne zugegriffen werden kann, einschließlich Konten von Dienstleistern und für Wartung.
- Befristung: Legen Sie für einmalige Arbeiten ein Enddatum fest und entfernen Sie den Zugang, wenn es erreicht ist.
- Im Inventar: Jedes Dienstleisterkonto wird mit dem Namen des Dienstleisters und dem Vertrag erfasst.
Bitten Sie den Dienstleister um eine Liste seiner Mitarbeitenden, die Zugang zu Ihren Systemen haben, und darum, Ihnen mitzuteilen, wenn jemand von dieser Liste ausscheidet.
Schritt 4 von 6
Was im Vertrag stehen sollte
Vielleicht schreiben Sie den Vertrag nicht selbst, aber Sie können der zuständigen Person sagen, was die Website braucht. Die Cybersecurity Performance Goals der CISA enthalten zwei Lieferkettenziele, die es wert sind, angesprochen zu werden:
- Meldung von Vorfällen (Ziel 1.D): Anbieter und Dienstleister informieren den Auftraggeber innerhalb einer festgelegten Frist über Sicherheitsvorfälle.
- Managed Service Provider (Ziel 1.E): Verstehen Sie, was der Vertrag abdeckt, und schließen Sie Sicherheitslücken, die außerhalb davon liegen.
Verlangen Sie außerdem:
- dass Domain, Konten, Inhalte und Daten der Einrichtung gehören,
- eine aktuell gehaltene Liste der Mitarbeitenden des Dienstleisters mit Zugang,
- zweistufige Anmeldung bei jedem Zugang des Dienstleisters,
- eine Regelung für das Vertragsende: Export der Daten, Übertragung der Konten und Entfernung des Zugangs.
Schritt 5 von 6
Fernwartungswerkzeuge
Manche Dienstleister installieren Software, mit der sie einen Computer oder Server von außen steuern können. Wissen Sie, welche Werkzeuge installiert sind, wer sie benutzen kann und ob sie eine zweistufige Anmeldung verlangen. Entfernen Sie Werkzeuge, die nicht mehr gebraucht werden. Ein ungenutztes Fernwartungswerkzeug ist eine offene Tür.
Schritt 6 von 6
Wenn der Vertrag endet
Behandeln Sie das Ende eines Vertrags so, wie Lektion 4 ein Ausscheiden behandelt:
- Entfernen Sie jedes Dienstleisterkonto.
- Ändern Sie jedes gemeinsame Passwort, das der Dienstleister kannte.
- Übertragen Sie jedes Konto und jeden Dienst, die noch auf seinen Namen laufen.
- Vergewissern Sie sich, dass Sie einen vollständigen Export Ihrer Inhalte und Daten haben.
- Aktualisieren Sie das Inventar und die Kontaktdaten.
Quellen
- CISA, Cross-Sector Cybersecurity Performance Goals 2.0 (1.D, 1.E, 3.F)
- get.gov, .gov domain registration
- CISA, More than a Password: Multifactor Authentication
Transkript
Synthetische Sprecherstimme; später ersetzt sie eine aufgenommene Stimme.
- 0:00Vendors need access to do their work.
- 0:02They also hold the keys to your web presence, often more of them than any employee.
- 0:06This lesson covers how to give vendors what they need and keep control.
- 0:11Ownership comes first.
- 0:13The domain is registered in the institution's name.
- 0:16Hosting and paid services are in the institution's account.
- 0:19Content and data can be exported at any time.
- 0:22And administrator access stays with at least two of your own people.
- 0:27Give vendor staff the same rules as your own.
- 0:29Named accounts, one per person, with their own work email.
- 0:33No shared vendor account.
- 0:36Here is a fictional city's Users screen.
- 0:38The web design firm signs in as one shared account, with the most powerful role.
- 0:44Better: each person at the firm gets their own login, with the smallest role.
- 0:48A content contractor needs Editor.
- 0:51A developer fixing a template may need administrator access for a day, and then it ends.
- 0:57Require two-step sign-in on every vendor account.
- 1:00Set an end date for one-time work.
- 1:02Ask the vendor for a list of their staff with access, and to tell you when someone on it leaves.
- 1:08What the contract should say: vendors notify you of security incidents, with a time frame.
- 1:14Institutional ownership of the domain, accounts, content and data.
- 1:18A current staff list.
- 1:20And what happens at the end.
- 1:22Know which remote access tools are installed, who can use them, and whether they require two-step sign-in.
- 1:28An unused remote access tool is an open door.
- 1:32Your task.
- 1:33Mark every account a vendor can reach.
- 1:35Check who is the registrant of your domain.
- 1:38Ask each active vendor for their staff list, and compare it with what you see.
- 1:42Send the contract wish list to whoever manages your vendor contracts.
Aufgabe
Ihre Aufgabe in Ihrer Einrichtung
Quiz
4 Fragen. Wählen Sie bei jeder eine Antwort und prüfen Sie dann. Zu jeder Antwort wird die Begründung angezeigt.
Antworten zeigen
- B. Wenn der Vertrag endet, kontrolliert der Dienstleister die Adresse Ihrer Website. Der Domaininhaber kontrolliert die Domain. Das sollte Ihre Einrichtung sein.
- B. Jede Person mit eigenem Konto, der kleinsten nötigen Rolle und zweistufiger Anmeldung. Namentliche Konten zeigen, wer was getan hat, und lassen sich einzeln entfernen.
- B. Dass sie den Auftraggeber über Sicherheitsvorfälle informieren. Das Lieferkettenziel 1.D verlangt, dass Anbieter und Dienstleister den beschaffenden Auftraggeber über Sicherheitsvorfälle informieren.
- B. Er wird am selben Tag entfernt, und gemeinsame Zugangsdaten, die er kannte, werden geändert. Behandeln Sie das Ende eines Vertrags wie den Tag, an dem jemand geht.
Sie haben auf diesem Gerät alle Lektionen von „Gemeinsame Konten und Offboarding“ erledigt. Ein kostenloses LFW-Konto speichert das und gibt Ihnen einen datierten Abschlussnachweis.