Lektion 1 von 6 · Video
Ein Inventar aller Zugänge
Der Fortschritt wird nur auf diesem Gerät gespeichert. Mit einem kostenlosen LFW-Konto geräteübergreifend speichern.
Lehrplan0 von 6 erledigt
Erfassen Sie jedes Konto, von dem der Webauftritt Ihrer Einrichtung abhängt, vom Domain-Registrar bis zu den Social-Media-Seiten, und halten Sie fest, wer jedes Konto kontrolliert.
Notizen
Schritt 1 von 7
Einstieg
Die Website einer öffentlichen Einrichtung ist nicht ein einzelnes Konto. Sie ist eine Kette: der Domain-Registrar, der DNS-Dienst, der Hoster, die Administrator-Zugänge der Website, der E-Mail-Newsletter, der Formulardienst, die Social-Media-Seiten, die Webanalyse, der Videokanal. Jedes Glied kann verloren gehen: durch eine ausgeschiedene Person, eine abgelaufene Karte oder einen Angreifer.
Dieser Kurs richtet sich an die Person, die für die Website verantwortlich ist: die Verwaltungskraft, die Kommunikationsleitung oder die IT-Fachkraft, die alles abdeckt und die Schlüssel hält. Er beginnt damit, zu wissen, welche Schlüssel es gibt.
Schritt 2 von 7
Warum mit einem Inventar beginnen
Ein Konto, von dem Sie nichts wissen, können Sie weder schützen noch wiederherstellen noch übergeben. Die Cross-Sector Cybersecurity Performance Goals (CPG 2.0) der US-Behörde CISA stellen dies an die erste Stelle der Ziele zur Identifikation: ein regelmäßig aktualisiertes Inventar aller organisatorischen Assets führen. Beim Webauftritt einer kleinen Einrichtung sind diese Assets überwiegend Konten.
Schritt 3 von 7
Wonach Sie suchen
Gehen Sie diese Kategorien durch. Die meisten Einrichtungen haben in jeder etwas.
Die Adresse
- Domain-Registrar (wo die Domain registriert und verlängert wird),
- DNS-Dienst (manchmal der Registrar, manchmal ein anderer Dienst),
- der .gov-Registrar get.gov, falls Sie eine .gov-Domain haben.
Die Website
- Hosting-Konto oder Control Panel,
- Administrator-Zugänge der Website (WordPress, Drupal oder ein anderes System),
- Sicherheitsdienste, etwa eine Firewall oder ein Backup-Dienst,
- Lizenzen für kostenpflichtige Plugins oder Themes.
Womit die Website verbunden ist
- Formular- und Zahlungsdienste,
- Software für Tagesordnungen und Sitzungen,
- Video und Streaming (YouTube, eine Sitzungsplattform),
- Karten, Kalender und andere eingebettete Dienste,
- Webanalyse.
Ihre Stimme an anderen Orten
- Social-Media-Seiten und -Konten,
- E-Mail-Newsletter-Dienst,
- der Warndienst für Notfälle, für den sich Personen anmelden, falls Ihre Einrichtung darüber sendet,
- Brancheneinträge, etwa das Google-Unternehmensprofil.
Schritt 4 von 7
So finden Sie die Konten, an die sich niemand erinnert
- Rechnungen: Gehen Sie ein Jahr Kartenabrechnungen und Rechnungen durch. Jeder kostenpflichtige Dienst steht darin.
- E-Mail: Durchsuchen Sie gemeinsame Postfächer und, sofern die Richtlinien es erlauben, die Postfächer ehemaliger Mitarbeitender nach „Verlängerung“, „Rechnung“, „E-Mail-Adresse bestätigen“, „Willkommen bei“ und „Passwort zurücksetzen“.
- DNS-Einträge: Ihre DNS-Einstellungen nennen Dienste, die in Ihrem Namen E-Mails versenden oder Ihre Domain verifiziert haben. Ihr Webdienstleister kann sie gemeinsam mit Ihnen durchgehen.
- Fragen: jede Abteilungsleitung, den Empfang und jeden Dienstleister, der an der Website gearbeitet hat.
Schritt 5 von 7
Was Sie zu jedem Konto festhalten
- den Dienst und was er steuert,
- die Anmeldeadresse (die Webseite, auf der Sie sich anmelden),
- die Login-E-Mail sowie die Wiederherstellungs-E-Mail und -Telefonnummer,
- jede namentlich bekannte Person mit Zugang und ihre Rolle,
- ob die zweistufige Anmeldung aktiv ist und mit welcher Methode,
- die verantwortliche Person,
- den Dienstleister oder Vertrag, falls vorhanden,
- Verlängerungsdatum und Kosten bei kostenpflichtigen Diensten.
Schreiben Sie keine Passwörter in das Inventar. Sie gehören in den Passwortmanager.
Schritt 6 von 7
Wo das Inventar liegt
Das Inventar ist eine Landkarte von allem, was sich anzugreifen lohnt. Bewahren Sie es im Passwortmanager der Einrichtung auf oder in einem Dokument, auf das nur die verantwortlichen Personen Zugriff haben. Niemals auf einem öffentlichen Gruppenlaufwerk und niemals als E-Mail-Anhang.
Zwei Personen sollten es öffnen können: Sie und eine benannte Vertretung. Lektion 6 behandelt, wie Sie es aktuell halten.
Schritt 7 von 7
Was Sie finden werden
Rechnen Sie mit Überraschungen: ein Konto auf den Namen einer ehemaligen Person, eine Wiederherstellungs-E-Mail bei einem privaten Gmail-Konto, ein Dienst, den niemand nutzt und der trotzdem eine Karte belastet, eine zweistufige Anmeldung, die an das Telefon einer ausgeschiedenen Person gebunden ist. Beheben Sie nicht alles heute. Markieren Sie jeden Fall; die nächsten Lektionen zeigen, was zu tun ist.
Quellen
- CISA, Cross-Sector Cybersecurity Performance Goals 2.0 (2.A, Manage Organizational Assets)
- get.gov, .gov domain registration, betrieben von der CISA
- CISA, Secure Our World
Transkript
Synthetische Sprecherstimme; später ersetzt sie eine aufgenommene Stimme.
- 0:00A public institution's website is not one account.
- 0:03It is a chain: the domain registrar, the DNS service, the host, the administrator logins, the newsletter, the forms, the social media pages.
- 0:13Any link can be lost to a departed employee, a lapsed card or an attacker.
- 0:18You cannot protect, recover or hand over an account you do not know about.
- 0:23CISA's Cybersecurity Performance Goals put it first among the identification goals: a regularly updated inventory of all organizational assets.
- 0:32Work through four categories.
- 0:34The address: the registrar, the DNS service, and get.gov if you have a .gov domain.
- 0:40The website: hosting, administrator logins, security services and paid licenses.
- 0:47Then what the website connects to: forms and payments, agenda software, video, maps and analytics.
- 0:54And your voice elsewhere: social media, the email newsletter, the alert service, and business listings.
- 1:02To find the ones nobody remembers: go through a year of card statements and invoices.
- 1:07Search mailboxes, if policy allows, for renewal, invoice and password reset.
- 1:12Read your DNS records with your web provider.
- 1:15And ask every department head.
- 1:18For each account, record what it controls, the sign-in address, the login and recovery details, every person who can get in, two-step sign-in, the owner, the vendor, and the renewal date and cost.
- 1:30Do not write passwords in the inventory.
- 1:34The inventory is a map of everything worth attacking.
- 1:37Keep it in the password manager, or a document with limited access.
- 1:41Never on a public shared drive, and never attached to an email.
- 1:45Two people should be able to open it.
- 1:48Your task.
- 1:49Create the inventory with these columns.
- 1:51Fill in the address and website first.
- 1:54Go through a year of billing and add every web service you find.
- 1:57Mark every account with one person, a personal recovery email, or no two-step sign-in.
Aufgabe
Ihre Aufgabe in Ihrer Einrichtung
Quiz
4 Fragen. Wählen Sie bei jeder eine Antwort und prüfen Sie dann. Zu jeder Antwort wird die Begründung angezeigt.
Antworten zeigen
- B. Wer es kontrolliert, kontrolliert die Adresse Ihrer Website und in der Regel auch Ihre E-Mail. Die Domain verweist auf die Website und auf den E-Mail-Dienst. Wenn Sie das Registrar-Konto verlieren, können Sie beides verlieren.
- A. In Rechnungsunterlagen und Kartenabrechnungen, dazu in einer Suche in alten E-Mails nach Verlängerungshinweisen. Kostenpflichtige Dienste hinterlassen eine Rechnung, und die meisten Dienste schicken Verlängerungs- und Bestätigungs-E-Mails.
- B. Im Passwortmanager oder an einem anderen zugriffsgeschützten Ort. Die Liste ist eine Landkarte von allem, was sich anzugreifen lohnt. Nur die verantwortlichen Personen sollten sie sehen.
- A. Organisatorische Assets verwalten (Manage organizational assets). Die CPG 2.0 der CISA verlangen ein regelmäßig aktualisiertes Inventar der organisatorischen Assets.
Sie haben auf diesem Gerät alle Lektionen von „Gemeinsame Konten und Offboarding“ erledigt. Ein kostenloses LFW-Konto speichert das und gibt Ihnen einen datierten Abschlussnachweis.