Anlage 2: Zusätzliche Anforderungen für mittle Praxen

• Bevor eine App in einer Institution eingeführt wird, muss sichergestellt werden, dass sie nur die minimal benötigten App-Berechtigungen für ihre Funktion erhält. Nicht unbedingt notwendige Berechtigungen müssen hinterfragt und gegebenenfalls unterbunden werden.
• Sicherheitsrelevante Berechtigungseinstellungen müssen so fixiert werden, dass sie nicht durch Benutzer oder Apps geändert werden können.
• Wo dies technisch nicht möglich ist, müssen die Berechtigungseinstellungen regelmäßig geprüft und erneut gesetzt werden.

• Es muss durch die Entwickler einer Internet-Anwendung mittels einer Autorisierungskomponente sichergestellt werden, dass Benutzer nur Aktionen durchführen können, zu denen sie berechtigt sind.
• Jeder Zugriff auf geschützte Inhalte und Funktionen muss kontrolliert werden, bevor er ausgeführt wird.
• Sollte es nicht möglich sein, Zugriffsrechte zuzuweisen, muss dafür ein zusätzliches Sicherheitsprodukt eingesetzt werden.

• vgl. Anlage 1 - Anforderung Nr. 10
• Auf https achten, Plug-In/ Erweiterung wie HTTPS Everywhere verwenden

• Der verfügbare Funktionsumfang des IT-Systems sollte für einzelne Benutzer oder Benutzergruppen so eingeschränkt werden, dass sie nur genau die Rechte besitzen und nur auf die Funktionen zugreifen können, die sie für ihre Aufgabenwahrnehmung benötigen („Need-to-know-Prinzip“).
• Zugriffsberechtigungen sollten hierfür möglichst restriktiv vergeben werden.
• Es sollte regelmäßig überprüft werden, ob die Berechtigungen, insbesondere für Systemverzeichnisse und -dateien, den Vorgaben der Sicherheitsrichtlinie entsprechen.
• Auf Systemdateien sollten möglichst nur die Systemadministratoren zugreifen können.
• Der Kreis der zugriffsberechtigten Administratoren sollte möglichst klein gehalten werden.
• Auch System-Verzeichnisse sollten nur die notwendigen Privilegien für die Benutzer zur Verfügung stellen.

• In reinen Windows-Netzen sollte zur zentralen Authentisierung für Single Sign On (SSO) ausschließlich Kerberos
  eingesetzt werden.
• Eine Gruppenrichtlinie sollte die Verwendung älterer Protokolle verhindern.
• Der Schutz des Local Credential Store (LSA) sollte aktiviert werden (PPL, Protected Mode Light).
• Die Speicherung der LAN-Manager-Hashwerte bei Kennwortänderungen sollte per Gruppenrichtlinie deaktiviert werden.
• Die Überwachungseinstellungen sollten gemeinsam mit den Serverkomponenten von DirectAccess sorgfältig auf die Anforderungen des Informationsverbunds abgestimmt werden.
• Es sollte eine Protokollierung auf Clientseite sichergestellt werden.

• Es sollte eine verbindliche Richtlinie für Mitarbeiter zur Benutzung von mobilen Geräten erstellt werden.
• Diese sollte festlegen, wie mobile Geräte genutzt und gepflegt werden sollen.
• Darin sollten die Themen Aufbewahrung und Verlustmeldung behandelt werden.
• Außerdem sollte verboten werden, Verwaltungssoftware zu deinstallieren oder das Gerät zu rooten.

• Sprachassistenten sollten nur eingesetzt werden, wenn sie zwingend notwendig sind. Andernfalls sollten sie deaktiviert werden.
• Generell sollte ein Sprachassistent nicht genutzt werden können, wenn das Gerät gesperrt ist.

• Werden Mobiltelefone für dienstliche Zwecke verwendet, muss eine Nutzungs- und Sicherheitsrichtlinie erstellt werden.
• Jedem Benutzer eines Mobiltelefons muss ein Exemplar der Sicherheitsrichtlinie ausgehändigt werden.
• Es muss regelmäßig überprüft werden, ob die Sicherheitsrichtlinie eingehalten wird.
• Die Sicherheitsleitlinie zur dienstlichen Nutzung von Mobiltelefonen sollte Bestandteil der Schulung zu Sicherheitsmaßnahmen sein.

• Es sollte geregelt sein, welche Daten über Mobiltelefone übertragen werden dürfen.
• Die dafür erlaubten Schnittstellen sollten festgelegt werden.
• Außerdem sollte beschlossen werden, wie die Daten bei Bedarf zu verschlüsseln sind.

• Es sollte klare schriftliche Regeln dazu geben, ob, wie und zu welchen Anlässen Wechseldatenträger mitgenommen werden dürfen.
• Darin sollte festgelegt sein, welche Datenträger von wem außer Haus transportiert werden dürfen und welche Sicherheitsmaßnahmen dabei zu beachten sind.

Wichtige Ereignisse auf Netzkomponenten und auf den Netzmanagement-Werkzeugen sollten automatisch an
ein zentrales Management-System übermittelt und dort protokolliert werden.

• Es sollten mindestens folgende Ereignisse protokolliert werden:
  • unautorisierte Zugriffe bzw. Zugriffsversuche,
  • Leistungs- oder Verfügbarkeitsschwankungen des Netzes,
  • Fehler in automatischen Prozessen (z. B. bei der Konfigurationsverteilung) sowie
  • eingeschränkte Erreichbarkeit von Netzkomponenten.