Sicher mobil unterwegs

Die Sicherheitsmaßnahmen für mobile Systeme sollten außerdem so angelegt sein, dass sie Anwender nicht überfordern und demotivieren. Rainer Knorpp, Berater bei der Danet Group, schlägt für die Sicherheit mobiler Anwendungen eine zweistufige Vorgehensweise vor. Die erste Stufe bildet das Access-Management, das aus insgesamt sechs Schritten besteht: Zuerst gilt es zu prüfen, ob der Zustand des Laptops auch der aktuellen Sicherheitspolitik entspricht (Assess). Zweitens muss sich der Anwender einwandfrei zu erkennen geben können (Authentifizierung). Dann erfolgt im dritten Schritt die Freigabe der Daten und Funktionen, die der Mitarbeiter mit seinem mobilen Endgerät nutzen darf (Autorisierung). "Aus Gründen der Bedienerfreundlichkeit empfiehlt sich eine Authentifizierung mittels Einmalpasswörtern statt über Smartcards", sagt der Berater. Erst nach der erfolgreichen Authentisierung erfolgt die Verbindung über einen VPN-Tunnel (Access). Im Weiteren sollte die IT-Zentrale prüfen, wann und wo der Angestellte sein mobiles Endgerät nutzt und was er damit abruft (Audit). Schließlich muss die IT-Abteilung regelmäßig Spuren löschen, die durch den Zugang entstanden sind (Abolish). Dazu gehören zum Beispiel Internet-Adressen und Cookies.

Stufe zwei ist die Integration des Access- in das Identity-Management. Hier werden die Nutzer zentral mit entsprechenden Attributen (User-ID, Benutzername, E-Mail-Adresse, Telefonnummer, Gruppeninformationen) versehen und die Genehmigungsprozesse definiert. Die Synchronisation und Aktualisierung der Benutzerdaten erfolgt durch direkte Verbindungen zwischen Access- und Identity-Management automatisch. "Das hat den Charme, dass sich ein Anwender nicht mehr über den externen Zugang in das Firmennetz einwählen kann, sobald er einmal im Identity-Management-System gesperrt oder gelöscht wurde", so Knorpp.