Machen Sie keine Kompromisse bei den Qualifikationen

In der heutigen Folge spricht Martin Littmann, CISO der Kelsey-Seybold-Klinik in Houston, erneut über Anmeldeinformationen. Die Systeme zu deren Erstellung und Schutz sind von entscheidender Bedeutung. Hören Sie seine Meinung zu diesen Systemen.

Anmeldeinformationen

Martin beschreibt genau, was Anmeldeinformationen ausmacht. Anmeldeinformationen sind der Benutzername und das Passwort, die für die Anmeldung bei einem Konto erstellt werden. Martin versucht zu klären, wie man erkennt, ob die Person, die ein Konto nutzt, autorisiert ist.

Er erläutert seine Methode zur Identifizierung. Früher basierte diese Methode weitgehend auf Vertrauen, da die Technologie noch nicht weit genug fortgeschritten war. Heutzutage ist es sehr wichtig, mithilfe von Technologie festzustellen, ob die Kontoaktivität normal oder ungewöhnlich ist. Die Verwendung des Login-Standorts ist dabei sehr wichtig. Die Korrelation der Aktivitäten von Personen und die Feststellung, ob sie ungewöhnlich sind, ist eine gute Möglichkeit, abnormale Aktivitäten zu identifizieren und zu kennzeichnen.

Risikomanagement

Wie lässt sich das auf das Risikomanagement übertragen? Wenn Sie verdächtige Trends bemerken, führen Sie eine neue Herausforderung ein, die der Benutzer beantworten muss, um seine Identität zu authentifizieren. Lernen Sie, zwischen Bedrohungen und einfach schlechter IT zu unterscheiden.

Normales Verhalten ist der Zeitpunkt des Zugriffs, die Dauer des Zugriffs und der Ort des Zugriffs. Nutzen Sie diese Informationen, um das Normale zu identifizieren und das Risiko einzuschätzen.

Häufige Fragen

Sicherheitspersonal hat Zugriff auf Analysetools und verfügt daher über eine Fülle von Informationen. Sie können helfen, Gefährdungen zu erkennen. Daher erhalten sie häufig eine Flut von Fragen. Obwohl sie nicht auf alles zugreifen können, gibt es viele Informationen, auf die Sicherheitspersonal zugreifen kann. Andere Mitglieder des Unternehmens können diese Informationen nutzen, um die Produktivität zu bestimmen.

Ein Ratschlag: Stellen Sie die Fakten dar, ohne Annahmen zu treffen.

Martins Schritte zum Kontoschutz

Gibt es einen Standard für die Kontoerstellung? Ist der automatisierte Prozess lückenlos und kann er nicht überschrieben werden? Wie wird die Länge und Stärke des Passworts festgelegt? Wie läuft die Passworterstellung ab?

Martins Rat

Auf Richtlinienebene gibt es bestimmte Anforderungen, die ein Passwort erfüllen muss. Allerdings muss auch die Technologie dahinter stehen, um diese Anforderungen durchzusetzen.

Marin empfiehlt Unternehmen, in den Schutz ihrer Anmeldeinformationen zu investieren. Die Kennwortrichtlinie muss sinnvoll und spezifisch sein.

Kennwortrotation und -sperrung

Was denkt Martin über diese Themen? Er glaubt, dass längere Passwörter sicherer sind, aber ein häufiges Ändern des Passworts nicht hilft, da die Leute das Passwort vereinfachen. Er ist kein Fan von 90-Tage-Passwörtern, ist aber der Meinung, dass Passwörter in bestimmten Fällen geändert werden sollten.

Martin empfiehlt außerdem die Verwendung eines Passwort-Tresors.

Seien Sie diskret

Denken Sie daran, dass Ihre persönlichen Daten abgefragt werden können. Auch die Verwendung der Daten anderer zur Beantwortung Ihrer persönlichen Fragen kann zu Ihrem Schutz beitragen.

Abschließender Rat

Wenn Sie bei der Zwei-Faktor-Authentifizierung eine App verwenden können, anstatt eine SMS zu erhalten, nutzen Sie diese. Nutzen Sie bei Passwort-Tresoren nicht die Browserfunktion zum Speichern von Passwörtern, sondern eine dedizierte App.

Martin Littmann

Martin Littmann ist CTO und CISO der Kelsey-Seybold Clinic und verantwortlich für IT-Architektur und -Strategie, Infrastruktur, Netzwerk- und Informationssicherheit. Martin hat einen Bachelor of Science in Geologie und begann seine Karriere als Geologe für geothermische Exploration. Später wechselte er in die IT-Entwicklung und -Architektur und sammelte 30 Jahre Erfahrung im gesamten IT-Spektrum, darunter Anwendungsentwicklung und -bereitstellung, Infrastruktur, Informationssicherheit und Kundenservice. In den letzten 19 Jahren konzentrierte er sich stark auf kritische Infrastrukturen sowie Informations- und Cybersicherheit und ist derzeit Healthcare Cross Sector Chief der InfraGard-Niederlassung in Houston.

Erfahren Sie mehr auf LinkedIn