M 4.229 Sicherer Betrieb von PDAs
Verantwortlich für Initiierung: IT-Sicherheitsbeauftragter, Leiter IT
Verantwortlich für Umsetzung: Administrator, Benutzer
Die sinnvolle Nutzung von PDAs erfordert im Allgemeinen eine Kopplung mit anderen IT-System, beispielsweise dem Arbeitsplatzrechner. Die Installation und Konfiguration der dafür benötigten Hard- und Software sollte zentral geregelt sein und durchgeführt werden. Ohne entsprechende Tests und Freigaben sollte keinerlei Installation erfolgen.
Es sind Vorgaben zu den Sicherheitsmechanismen und -einstellungen der eingesetzten PDAs notwendig. Diese müssen in einer PDA-Sicherheitsrichtlinie für Benutzer verständlich dokumentiert werden, da deren korrekte Nutzung stark in der Hand der Benutzer liegt. Daher ist explizit zu verbieten, dass die Konfiguration geändert wird. Außerdem müssen die Benutzer für Sinn und Zweck der gewählten Einstellungen sensibilisiert werden. Soweit technisch möglich, sollten Sicherheitsmechanismen so gewählt und konfiguriert werden, dass die Benutzer möglichst wenig Einflussmöglichkeiten haben.
PDAs sind nicht dafür konzipiert, dass verschiedene Benutzer damit arbeiten sollen. Daher gibt es auch im allgemeinen keine ausgefeilten Mechanismen zur Rollentrennung. Das bedeutet insbesondere, dass es keine nur für Administratoren zugreifbare Bereiche gibt. Benutzer können also nicht daran gehindert werden, sicherheitsrelevante Konfigurationsänderungen durchzuführen. Dies kann nur durch entsprechende Regelungen und Sensibilisierung der Benutzer erreicht werden. Hilfreich ist es außerdem, regelmäßig die Einstellungen zu kontrollieren bzw. diese durch Administrationstools bei der Synchronisierung wieder auf die vorgegebenen Werte zurückzusetzen.
Die Sicherheit aller zur Synchronisation mit dem PDA benutzten Endgeräte ist wesentlich für die Sicherheit des PDAs selber. Wenn auf den Endgeräten Daten oder Programme manipuliert worden sind, können diese auf den PDA durchgereicht werden, ohne das erkannt werden kann.
Daten oder Programme, die auf einem PDA installiert werden sollen, können in speziellen Verzeichnissen auf dem Benutzer-PC abgelegt werden, so dass sie bei der nächsten Synchronisation automatisch auf den PDA transferiert werden. Der Zugriff auf diese Verzeichnisse sollte soweit wie möglich beschränkt werden. Die Benutzer sollten außerdem regelmäßig diese Verzeichnisse daraufhin inspizieren, ob sich dort ihnen unbekannte Dateien befinden. Die Synchronisationssoftware sollte so konfiguriert werden, dass vor der Installation von Programmen eine Rückfrage beim Benutzer erfolgt. Der Synchronisationsvorgang sollte nicht unbeobachtet ablaufen, auch die Informationen, welche Dateien jeweils transferiert werden, können entscheidende Hinweise enthalten.
Bei der Installation von Applikationen sind natürlich die üblichen Vorgaben zu beachten, d. h. es muss ein geordnetes Test- und Freigabeverfahren erfolgen.
Die Synchronisation sollte protokolliert werden, bei nahezu allen PDAs kann dies entsprechend konfiguriert werden. Die Synchronisationsprotokolle sollten dann regelmäßig zumindest überflogen werden, um festzustellen, ob unbefugte Synchronisationsvorgänge stattgefunden haben.
In der Sicherheitsrichtlinie sollte festgehalten werden, welche Daten und Programme auf den PDAs gespeichert werden dürfen. Davon hängen auch weitere Sicherheitsmaßnahmen ab. Beispielsweise hat ein PDA, auf dem ausschließlich Termine und Adressen gespeichert werden, einen niedrigeren Schutzbedarf als ein PDA, auf dem kryptographische Schlüssel und Zugangsparameter für andere IT-Systeme und Netze abgelegt sind.
Die ersten Viren und Trojanischen Pferde, die speziell für PDAs konzipiert worden sind, sind bereits veröffentlicht worden. Diese haben zwar noch keine großen Schäden verursacht, zeigen aber auf, dass Vorbeugung notwendig ist. Die meisten Hersteller von Virenschutz-Programmen haben mittlerweile auch PDA-Virenscanner in die Produktpalette mitaufgenommen. Nicht vergessen werden darf in diesem Zusammenhang auch der Virenschutz auf Seiten der zur Synchronisation eingesetzten PCs. Auch diese müssen mit aktuellen Virenschutz-Programmen ausgestattet sein. Im Büro sollte das eine Selbstverständlichkeit sein, nicht vergessen werden dürfen allerdings die Privat-PCs, mit denen eventuell noch synchronisiert wird.
Wenn über PDAs Internet-Dienste genutzt werden sollen, sollte neben einem E-Mail-Client ein Web-Browser installiert sein. Dieser sollte SSL bzw. TSL beherrschen, damit verschlüsselte Verbindungen hergestellt werden können, beispielsweise für den Zugriff auf unternehmens- oder behördeninterne Server. Einige der für PDAs verfügbaren Browser unterstützen auch aktive Inhalte, also Java, ActiveX und/oder Javascript. Wie bei anderen IT-Systemen ist aber auch hier zu beachten, dass je nach Art dieser Programme mit ihrem Ausführen eventuell ein Sicherheitsrisiko verbunden sein kann. Daher sollten aktive Inhalte im WWW-Browser im Regelfall abgeschaltet sein und nur aktiviert werden, wenn diese aus einer vertrauenswürdigen Quelle kommen, also z. B. von den WWW-Seiten eines ihnen bekannten Anbieters.
Auch wenn für fast alle PDAs Web-Browser verfügbar sind, kann die Nutzung von WAP-Browsern die bessere Alternative sein, da über WAP häufig dieselben Informationen kompakter und weniger grafiküberfrachtet angeboten werden. Dies gilt ebenso für Notebooks und sogar stationäre PCs, wenn die verfügbare Bandbreite der Internet-Anbindung zu wünschen übrig lässt. WAP-Browser sollten über WTLS (Wireless Transport Layer Security) verfügen. WTLS bietet die Überprüfung der Datenintegrität, Abhörsicherheit und Authentikation von Server und Client mittels Verschlüsselung und dient als Schutz vor Denial-of-Service-Attacken. WTLS basiert auf dem Industrie-Standard TLS, der eine Erweiterung des SSL-Protokolls ist.
Da kleine und mobile Geräte häufig aus den Augen verloren werden, müssen für den Einsatz in einer Institution Bestandsverzeichnisse über diese angelegt werden. Die Bestandsverzeichnisse sollten mindestens folgende Informationen enthalten: Identifizierungsmerkmale wie Gerätenummern oder Inventarnummern, Art des Gerätes, Betriebssystem, Installationsdatum und Konfigurationsbesonderheiten, Aufstellungsort (wenn stationär), Benutzer sowie Administratoren.
Prüffragen:
- Wird die Installation und Konfiguration von Hard- und Software für die Kopplung von PDA s mit IT -Systemen zentral durchgeführt und geregelt?
- Existiert eine verständliche PDA -Sicherheitsrichtlinie für Benutzer?
- Gibt es ein Test- und Freigabeverfahren für PDA -Applikationen?
- Wird die PDA -Synchronisation protokolliert und sporadisch überprüft?
- Sind PDA s und die zur Synchronisation eingesetzten PC s mit aktuellen Virenschutz-Programmen ausgestattet?
- Gibt es ein PDA -Bestandsverzeichnis?