Stadtwerke Tübingen GmbH nutzt zertifizierte IT-Sicherheit

Firewall-Projekt beim Energieversorger

Seite: 2/3

Um ein Unternehmensnetzwerk zu schützen, entscheidet die Firewall anhand der festgelegten Regeln, welche Datenpakete sie ins Netzwerk hinein- und welche sie wieder herauslässt. Die Mehrzahl der Firewall-Systeme unterstützt eine proxy-basierte Authentifizierung, womit nur die Dienste, die mit Proxies (wie HTTP oder FTP) arbeiten, benutzerspezifisch vergeben werden können.

Es ist allerdings durchaus sinnvoll die Authentifizierung regelbasiert zu erweitern. Dann kann der Administrator einem Benutzer oder einer Benutzergruppe beliebig viele Dienste individuell zuordnen und diese Dienste mit allen bekannten Zusatzoptionen wie Proxy oder Webfilter versehen.

Meldet sich ein Benutzer dann von seinem Rechner aus bei der Firewall an, werden alle zugeordneten Dienste für den betreffenden Rechner freigeschaltet. Ein Admin kann also nach sehr fein abgestimmten Regeln filtern und unerlaubten Netzwerkverkehr verhindern.

Die IT-Profis der Stadtwerke und ihr Partner EnTeCo waren gut vorbereitet, um die ausgewählte Lösung in die Praxis umzusetzen: Innerhalb von etwa einer Woche analysierten und modifizierten sie die bestehen Firewall-Richtlinien und richteten die notwendigen Schnittstellen zu allen Systemen und Anwendungen der IT-Infrastruktur ein.

Anforderungen an die Risikoanalyse

Die Anforderungen an die Risiko- und Schwachstellenanalyse sind auch und gerade im kommunalen Umfeld stetig gewachsen. Zu den ursprünglich weitgehend technischen Fragestellungen sind weitere hinzugekommen. Sie ergeben sich aus den gesetzlichen Datenschutz-grundlagen, Verordnungen, Verwaltungsvorschriften, internen Policies und nicht zuletzt den Richtlinien für bestimmte Branchen wie beispielsweise der Energiewirtschaft.

Die heterogene Systemstruktur trifft hier zusätzlich auf eine IT-Landschaft mit offenen Marktplätzen für Anbieter und Kunden. Daraus entstehen mit Blick auf die Informationssicherheit ein entsprechend komplexes Anforderungsprofil mit neuartigen Bedrohungsszenarien und –potentialen. Diese resultieren zum einen aus den neu im Netz entstandenen Angriffspunkten wie beispielsweise offenen Zugangspunkten für die Fernwartung und den Remote-Zugriff von Dienstleistern. Immer mehr Netze sind IP-basiert, nicht selten in einer Monokultur angelegt. Hier kann sich Malware der aktuellen Generation besonders schnell und schadenseffektiv ausbreiten. Zudem kommt bei Energieversorgern oftmals die eigentliche Business-IT mit den Versorgungsnetzen und -systemen zusammen. Bedrohungen einer als eher anfällig einzustufenden Business-IT können potentiell auf andere Netze übergreifen. Nicht gerade ein wünschenswertes Szenario.

Ein Sicherheitsaudit bietet an dieser Stelle die Möglichkeit, nach innen und außen zu dokumentieren, dass das Unternehmen den Datenschutzrichtlinien entsprechend agiert.

Tamo Stöver, Gateprotect-Datenschutzauditor (TÜV): „Die höheren Anforderungen an IT-Sicherheit und Risikomanagement, der Druck auch im kommunalen Umfeld immer effizienter zu arbeiten sowie das unübersichtlich gewordene Angebot an IT-Sicherheitslösungen haben Gateprotect dazu bewogen, einen solchen Zertifizierungsprozess anzubieten.“

(ID:38836640)