CISO: Neue IT-Sicherheitsmaßnahmen im MD Niedersachsen
Seit dem 1. Juni 2023 ist Stefan Scheibe als CISO im MD Niedersachsen tätig und übernimmt damit die Verantwortung für die Informationssicherheit in unserem Unternehmen. Er ist seit 2010 Mitarbeiter des MD Niedersachsen und sammelte langjährige Erfahrung im Geschäftsbereich Informationstechnologie, zuletzt als Teamleiter Infrastruktur.
Was sind die Aufgaben des CISO?
Die Aufgaben des CISO sind vielfältig und haben das Ziel, die Informationssicherheit im MD Niedersachsen zu gewährleisten. Dazu gehört die Umsetzung einer Informationssicherheitsstrategie mit Richtlinien, Verfahren und Standards, um die Sicherheit von Informationen, Daten und Systemen kontinuierlich weiterzuentwickeln.
Neben der Sensibilisierung der Mitarbeiterinnen und Mitarbeiter für das Thema Informationssicherheit und den sicheren Umgang mit Daten, gehört auch das Thema „Incident Response“ (Reaktion auf Sicherheitsvorfälle) zu den Aufgaben. Zum Beispiel im Falle eines IT-Sicherheitsvorfalles, wie dem kürzlich erfolgten Cyber-Angriff. Als elementares Mitglied des Krisenstabes liegt der Fokus des CISO auf der engen Abstimmung mit dem IT-Leiter und der Koordination von internen und externen Spezialisten und Dienstleistern. Die Untersuchung und Aufarbeitung des jeweiligen Vorfalls in Zusammenarbeit mit Dienstleistern und Sicherheitsbehörden gehören zu seinen Aufgaben.
Seine erste Bewährungsprobe als CISO war somit direkt der Cyber-Angriff auf den MDN am 9. Juni 2023.
Welche zentralen Sicherheitsmaßnahmen wurden aufgrund des Cyber-Angriffs von der IT umgesetzt, die unmittelbare Auswirkungen auf die Nutzerinnen und Nutzer des MD Niedersachsen hatten?
1. Passwort-Änderung:
Eine Maßnahme zur Erhöhung der Sicherheit ist die Änderung der Passwortrichtlinie von 8 auf 12 Zeichen. Ein 8-stelliges Passwort, bestehend aus Sonderzeichen, Ziffern sowie Klein- und Großbuchstaben, kann von einem Angreifer mit moderner Technologie innerhalb weniger Stunden geknackt werden.
„Mit 12 Zeichen steigt die Anzahl der möglichen Kombinationen so drastisch an, dass die Entschlüsselungszeit von wenigen Stunden auf mehrere tausend Jahre ansteigen würde. Dies ist auch für persönliche Passwörter äußerst empfehlenswert. Komplexe Passwörter erhöhen das Sicherheitsniveau maßgeblich, rät Stefan Scheibe.
2. VPN-Verbindung:
Eine weitere wichtige Maßnahme ist die Beschränkung der VPN-Verbindungen auf die in der Dienstvereinbarung GLAZ (Gleitende Arbeitszeit) festgelegten Arbeitszeiten von montags bis freitags von 06:00 bis 22:00 Uhr. VPN-Verbindungen außerhalb dieser Zeiten sind nicht mehr möglich. Dies hat für die Sicherheitssysteme des Medizinischen Dienstes den wichtigen Vorteil, dass Anomalien im Netzwerk und in den Systemen wesentlich schneller und vor allem effizienter erkannt werden können.
3. SSL-Inspection:
Dabei handelt es sich um eine Technologie, die das Aufbrechen von SSL/TLS-basiertem Verkehr durch Netzwerk- und Sicherheitsgeräte wie Firewalls beschreibt und den Inhalt dieser Verbindung aktiv überprüft. Der Vorteil dieser Technologie ist, dass die Sicherheitssysteme des MDs den Datenverkehr im Netzwerk effizienter und schneller auf Anomalien untersuchen können.
Beispiel:
Mitarbeiterinnen und Mitarbeiter recherchieren im Internet. Dabei kommt es immer häufiger vor, dass Angreifer so genannte Malware, das können z.B. Viren oder Trojaner sein, auf verschiedenen Webseiten im Internet platzieren. Diese Malware wird dann bei der Recherche auf einer Internetseite im Hintergrund auf den Computer geladen, ohne dass die Mitarbeitenden dies überhaupt bemerken. Da diese Verbindung heutzutage verschlüsselt ist, können die Sicherheitssysteme diese Kommunikation nicht überprüfen. Erst wenn die Malware auf den jeweiligen Rechner geladen wurde, haben Sicherheitssysteme überhaupt die Möglichkeit, einen Alarm auszulösen. Mit der angesprochenen SSL-Inspection wird diese verschlüsselte Kommunikation aufgebrochen und bereits beim Aufrufen von Webseiten überprüft. Dies hat den Vorteil, dass Computer deutlich weniger Malware erhalten und Mitarbeitende, Systeme und Informationen besser geschützt werden können.
Dies hat zur Folge, dass Mitarbeitende, die sich z.B. privat bei einem E-Mail-Dienst wie Web.de oder GMX.de anmelden, auch hier die verschlüsselte Kommunikation aufgebrochen und von den Sicherheitssystemen mitgelesen wird.
Ziel dieser Technologie ist nicht die Kontrolle der Mitarbeitenden, sondern der Schutz des MD, der Mitarbeitenden und der im MD verarbeiteten Informationen. Um es ganz klar zu sagen: „Niemand wird systematisch gecheckt oder ausgespäht. Es geht um eine rein vorsorgliche Möglichkeit“, betonte Scheibe.
Es ist vorgesehen, die Dienstvereinbarung über die Nutzung des Internets entsprechend anzupassen. Eine Anpassung der Dienstvereinbarung ist naturgemäß nicht sofort möglich und wird in der Regel einige Zeit in Anspruch nehmen. Da die Maßnahme aus Sicherheitsgründen und wegen ihrer Bedeutung keinen Aufschub duldet, wird sie als vorläufige Maßnahme nach § 74 NPersVG durchgeführt und ist mit dem Personalrat abgestimmt.
Gemeinsam mit den Kolleginnen und Kollegen der IT wurden im Zuge des Cyber-Angriffs neben diesen Maßnahmen bereits zahlreiche weitere Maßnahmen umgesetzt.
