Seminar Teedy – Sicherheit, Verschlüsselung und Audit

Dokumente enthalten häufig vertrauliche Informationen und benötigen Schutz über Anmeldung und Berechtigungen hinaus. Das Seminar verbindet Schutzbedarfsanalyse, minimale Rechte, Verschlüsselung, Sitzungs- und Geheimnisschutz, Auditprotokolle sowie ein geregeltes Reaktionsverfahren.

Inhaltsverzeichnis

1. Seminarprofil
2. Zielgruppe
3. Voraussetzungen
4. Lernziele
5. Seminarinhalte
6. Praxisübungen
7. Methodik

Seminarprofil

Die Inhalte werden als technisches und organisatorisches Kontrollsystem behandelt. Sicherheitsfunktionen werden konfiguriert und geprüft; gleichzeitig werden Grenzen, Schlüsselverantwortung, Protokollschutz, Patchverfahren und Notfallentscheidungen dokumentiert. Eine rechtliche Zertifizierung oder pauschale Compliancezusage ist nicht Bestandteil.

Zielgruppe

IT-Sicherheit, Systemadministration, Datenschutzkoordination, Informationsmanagement, Revision, technische Anwendungsbetreuung und Sicherheitsverantwortliche.

Voraussetzungen

Grundkenntnisse in Teedy-Administration, Benutzer- und Berechtigungsmodellen, TLS, Backup und allgemeiner IT-Sicherheit.

Lernziele

• Schutzbedarf, Bedrohungen und technische Kontrollen nachvollziehbar zuordnen.
• Berechtigungen, Sitzungen, Netzwerkzugriffe und Geheimnisse systematisch härten.
• Datei-, Transport- und Sicherungsverschlüsselung samt Schlüsselverantwortung einordnen.
• Auditereignisse schützen, auswerten und in regelmäßige Kontrollen überführen.
• Patch-, Vorfall- und Wiederherstellungsverfahren mit klaren Zuständigkeiten etablieren.

Seminarinhalte

1. Schutzbedarf, Bedrohungen und Kontrollen bestimmen

Sicherheitsmaßnahmen werden aus Vertraulichkeit, Integrität, Verfügbarkeit und konkreten Nutzungsszenarien abgeleitet.

1. Schritt 1: Dokumentklassen nach Schutzbedarf bewerten und besonders sensible Bestände kennzeichnen.
2. Schritt 2: Interne, externe und technische Bedrohungsszenarien erfassen.
3. Schritt 3: Auswirkungen von Fehlberechtigung, Manipulation, Datenverlust und Ausfall beschreiben.
4. Schritt 4: Kontrollziele, Verantwortliche und erforderliche Nachweise je Risiko festlegen.

2. Rollenmodell und Schutzbedarf vorbereiten

Organisatorische Aufgaben werden in eine nachvollziehbare Matrix aus Dokumentklassen, Rollen und zulässigen Aktionen überführt.

1. Schritt 1: Dokumentarten, Organisationseinheiten und typische Bearbeitungsrollen erfassen.
2. Schritt 2: Schutzbedarf und notwendige Trennung von Aufgaben je Dokumentklasse bestimmen.
3. Schritt 3: Lesen, Bearbeiten, Teilen, Freigeben, Löschen und Administrieren rollenbezogen zuordnen.
4. Schritt 4: Ausnahmen, Vertretungen und zeitlich begrenzte Rechte als geregelte Fälle dokumentieren.

3. Dokumentrechte und Freigaben kontrollieren

Zugriffe werden entlang des Dokumentenlebenszyklus und nach dem Prinzip der minimalen Berechtigung vergeben.

1. Schritt 1: Standardrechte für neue Dokumente anhand definierter Gruppen setzen.
2. Schritt 2: Lese-, Bearbeitungs-, Freigabe- und Verwaltungsrechte getrennt prüfen.
3. Schritt 3: Temporäre Freigaben und geteilte Inhalte in die Berechtigungskontrolle einbeziehen.
4. Schritt 4: Jede relevante Änderung mit Testkonten und einem konkreten Dokumentfall verifizieren.

4. Konten, Sitzungen und Netzwerk härten

Identitäten, Sitzungen, Ports und interne Dienste werden auf den notwendigen Umfang reduziert.

1. Schritt 1: Administrative und fachliche Konten trennen und Altberechtigungen bereinigen.
2. Schritt 2: Sitzungsdauer, Abmeldung und Nutzung geteilter Arbeitsplätze kontrollieren.
3. Schritt 3: Veröffentlichte Ports, Proxykonfiguration und Datenbankzugriff auf notwendige Quellen begrenzen.
4. Schritt 4: Fehlgeschlagene Anmeldungen und auffällige Zugriffsmuster in die Überwachung aufnehmen.

5. Geheimnisse, Schlüssel und Verschlüsselung verwalten

Kennwörter, Tokens, Zertifikate und Schlüssel erhalten geregelte Speicher-, Zugriffs-, Rotations- und Wiederherstellungsverfahren.

1. Schritt 1: Technische Geheimnisse und ihre Speicherorte vollständig inventarisieren.
2. Schritt 2: Geheimnisse aus Quellcode, Images und frei lesbarer Dokumentation entfernen.
3. Schritt 3: Transport-, Datei- und Sicherungsverschlüsselung samt Schlüsselverantwortung unterscheiden.
4. Schritt 4: Rotation, Verlustfall und Wiederherstellung mit gesichertem Schlüsselmaterial praktisch prüfen.

6. Auditprotokolle schützen und auswerten

Auditdaten werden als Kontrollquelle für Anmeldung, Administration, Zugriff und Änderung behandelt.

1. Schritt 1: Relevante Ereignisse sowie Mindestkontext aus Zeit, Benutzer, Objekt und Aktion festlegen.
2. Schritt 2: Aufbewahrung, Zugriffsschutz und Integrität der Protokolle organisieren.
3. Schritt 3: Regelmäßige Auswertung und Schwellen für auffällige Ereignisse definieren.
4. Schritt 4: Einen Beispielvorfall vom Protokolleintrag bis zur fachlichen und technischen Klärung verfolgen.

7. Patch- und Sicherheitsvorfälle behandeln

Änderungen und Vorfälle folgen einer festen Reihenfolge aus Bewertung, Eindämmung, Wiederherstellung und Nachbereitung.

1. Schritt 1: Informationswege, Dringlichkeit und Verantwortlichkeit für Updates oder Schwachstellen festlegen.
2. Schritt 2: Sicherung, Test, Wartungsfenster, Rollback und Funktionsprüfung vorbereiten.
3. Schritt 3: Bei einem Vorfall Protokolle sichern, Zugriffe begrenzen und betroffene Geheimnisse wechseln.
4. Schritt 4: Ursache, Auswirkung, Wiederherstellung und vorbeugende Maßnahmen dokumentieren.

8. Wiederherstellung in isolierter Umgebung nachweisen

Eine Rücksicherung gilt erst nach erfolgreichem Start und fachlicher Funktionsprüfung als belastbar.

1. Schritt 1: Leere Zielumgebung mit passender Laufzeit und Datenbank bereitstellen.
2. Schritt 2: Konfiguration, Geheimnisse, Datenbank und Dokumentdateien in definierter Reihenfolge einspielen.
3. Schritt 3: Anmeldung, Suche, Dokumentabruf, OCR und Berechtigungen prüfen.
4. Schritt 4: Zeitbedarf, Abweichungen und fehlende Dokumentationsschritte erfassen und verbessern.

Praxisübungen

1. Schutzbedarfs- und Kontrollmatrix für vertrauliche Personal-, Vertrags- und Projektdokumente.
2. Härtungsprüfung einer vorbereiteten Testumgebung mit Konten-, Netzwerk- und Geheimnisfehlern.
3. Auditfall vom auffälligen Ereignis bis zur dokumentierten Klärung.
4. Simulation eines kompromittierten technischen Geheimnisses mit Rotation und Funktionsprüfung.

Methodik

Risikoanalyse, Konfigurationsprüfung und technische Tests werden miteinander verbunden. Jede Maßnahme wird auf Zweck, Nachweisbarkeit und Wiederherstellbarkeit geprüft.