Projekterfolge

elleta erstellte eine Inhaltsübersicht mit allen benötigten Kapiteln und Themenbereichen, die für eine umfassende IT-Richtlinie unverzichtbar vorausgesetzt werden mussten. Es wurde jedoch darauf geachtet, dass der Umfang der Richtlinie nicht zu gross wurde. elleta wollte vermeiden, dass die Richtlinie aufgrund ihres Umfanges von den Mitarbeitenden als zu kompliziert empfunden wurde und dadurch keine Beachtung mehr fand.

Anschliessend wurde deren Inhalte im Detail ausgearbeitet und in der Organisation durch Schulung der verschiedenen Mitarbeitergruppen eingeführt.

elleta führte folgende Aufgaben durch:

• Festlegung Prüfungsumfang und Verantwortlichkeiten
• Analyse Ist-Situation und Abgleich mit Datenschutz-Vorgaben
• Definition erforderliche Massnahmen
• Unterstützung bei Implementierung
• zusätzliche Unterstützung bei der Implementierung der wichtigsten ISMS-Massnahmen

Für die Analyse der vorhandenen Schwachstellen, auch der kleinsten, musste eine Detailanalyse durchgeführt werden.

Die Ergebnisse wurden der Geschäftsleitung und den Aufsichtsorganen präsentiert. Da die meisten Personen nicht über einschlägiges Fachwissen verfügten, war die besondere Herausforderung, die Präsentation so aufzubereiten, dass trotzdem genau verstanden wurde, welche der analysierten Feststellungen welche Risiken für die Organisation bargen. Im Rahmen einer eingehenden Diskussion und aufgrund einer aufbereiteten Risikogegenüberstellung konnten jedoch die einzelnen Feststellungen durch alle Beteiligten gut eingeordnet und in der Folge daraus Massnahmen abgeleitet werden.

Die anschliessende Implementierung der Massnahmen erfolgte zusammen mit den verantwortlichen IT-Partnern des Kunden schrittweise und unter Aufsicht von elleta. In folgenden Bereichen wurden Massnahmen umgesetzt:

• Erstellung und Implementierung von IT-Benutzer-Richtlinien
• Durchführung von Mitarbeiterschulunge
• Sensibilisierung im Umgang mit IT-Hilfsmittel
• Implementierung Rollenkonzept
• Technische Verbesserungen und Massnahme
• Umsetzung von Massnahmen im Zusammenhang mit externen Dienstleister
• Verbesserung der Schwachstellen bei Lieferante
• Durchführung Penetrationtest

Die ERP-Datenbank wurde aus fraktionellen Schattenkopien wiederhergestellt, die Datenkonsistenz verifiziert.

elleta analysierte den Hergang und zusammen mit den ERP-Verantwortlichen wurden dokumentierte und nachvollziehbare Abgleiche mit dem deklarierten Datenbestand gemacht. Es folgten Integritätstests, die Bewertung und Dokumentation des entstandenen Schadens (Risikoklassifizierung) und daraus resultierende Massnahmen, ebenso die Gewährleistung des Audit-Trails in der ERP-Software (Time Stamp), eine Dokumentation der Nachbuchungen mit Sicherheitsanpassungen und Korrekturen im ERP-System.

Im ersten Schritt wurden sämtliche Datenquellen und Speicherorte der Dokumente erhoben. Anschliessend folgte die Einführung eines unternehmensweiten Klassifikationssystems, dem alle vorhandenen Dokumententypen zugeordnet werden konnten. Damit die Komplexität reduziert werden konnte, konzentrierte elleta sich in einer ersten Phase auf die Dokumentenklassen mit höherer oder sehr hoher Vertraulichkeit.

Anhand der vorhandenen Verarbeitungs- und Kommunikationsprozesse folgten Überlegungen, welche technischen Funktionen aus dem Microsoft AIP Konzept implementiert werden mussten, damit das Projektziel erreicht werden konnte.

Nach Abschluss der konzeptionellen Überlegungen wurde ein Pilotbetrieb in einer ausgewählten Abteilung aufgenommen. Der Pilotbetrieb brachte weitere, wertvolle Erkenntnisse, welche der eingeführten Funktionen praxistauglich waren und wo nachjustiert werden musste. Nach Abschluss dieses Vorganges folgte das Roll-out auf weitere Abteilungen.

Als Grundlage für die geplanten Schulungen orientierte sich elleta an den bestehenden Benutzerbestimmungen und erweiterte diese, wo nötig, mit den neuesten Erkenntnissen aus dem Securityumfeld.

Aufbauend auf den Benutzerbestimmungen wurde ein Schulungskonzept entwickelt. Bei diesem Schulungskonzept wurde berücksichtigt, dass Mitarbeiter am Hauptsitz mit einer Präsenzschulung informiert werden sollten, währenddem für Mitarbeiter in den Auslandsniederlassungen die Schulung über ein Remote-Videokonferenzsystem erfolgte. Zur Unterstützung und Sicherstellung eines optimalen Sicherheitsstandards wurden in den Auslandsniederlassungen zusätzlich Security-Koordinatoren bestimmt, die einen regelmässigen Austausch mit dem Hauptsitz pflegen sollen.

Die Schulung selbst war sehr erfolgreich, da sich elleta individuell auf die teilweise unterschiedlichen Situationen der Länderniederlassungen einstellte und vorbereitete. Ebenfalls sehr positiv verliefen die Schulungen via Videokonferenz, obwohl anfänglich aufgrund der geografischen Distanz sowie der Mentalitäts- und Sprachunterschiede Vorbehalte vorhanden waren.

Voraussetzung für die Schaffung eines unternehmensweiten Berechtigungssystems (Identity Management System) war, die verschiedenen verteilten Berechtigungssyteme in den Applikationen, auf den Zugangssystemen, Filesystemen, etc. zu überblicken und die Hintergründe für diese Berechtigungsvielfalt zu verstehen.

Nach eingehender Analyse stellte sich heraus, dass ein rollenbasierender Berechtigungsansatz trotz der zahlreichen Unterschiede gewählt werden kann.

Das neue Rollen- und Berechtigungsmodell wurde danach schrittweise mit den Kunden entwickelt und die jeweils erforderlichen Rechte den Rollen zugewiesen. Um eine möglichst effiziente und transparente Rechteverwaltung im operativen Betrieb gewährleisten zu können, wurde im Einzelfall entschieden, welche Rechte zwingend zentral und welche Rechte weiterhin dezentral verwaltet werden müssen. Wichtig dabei war die Implementierung einer zweckmässigen Rechteverwaltungsorganisation um sicherzustellen, dass die Rechtevergabe fehlerfrei und lückenlos erfolgen konnte. Als Ergebnis der elleta Tätigkeiten lag ein umfassendes Berechtigungskonzept vor, welches dem Kunden die Implementierung eines zentralen Identity Management Systems ermöglichte.

Da die gewünschte Lösung im schweizerischen / liechtensteinischen Raum betrieben werden sollte, suchte sich elleta einen vertrauenswürdigen und professionellen Betriebspartner für eine PaaS (Plattform as a Service) Infrastruktur.

Gemeinsam mit diesem Partner und nach Abstimmung mit den Vorstellungen des Kunden wurde die gewünschte Lösung darauf aufgebaut. Die Lösung beinhaltet neben einem voll funktionsfähigen Microsoft Office Paket auch einzelne, kundenspezifische Anwendungen. Der Zugang erfolgt über verschlüsselte Kanäle mit einem Dualauthentifizierungsverfahren.