Checkliste

Umsetzungshinweise

1. Identifizierungs- und Authentisierungsmechanismus
   
   1. Sicherheitskritische Parameter, wie Passwörter, Benutzer-Kennung, usw., dürfen nicht unverschlüsselt auf dem Rechner gespeichert werden.
      Zum Speichern von Passwörtern eignet sich eine verschlüsselte Datei auf dem Rechner.
      Als Alternative eignet sich ein Passwort-Verwaltungsprogramm, um beispielsweise mehrere Passwörter zu speichern.
   2. Zugangsverfahren muss auf eine Fehleingabe reagieren, indem der Zugang zum Telearbeitsrechner gesperrt oder die Abstände vergrößert werden.
       Windows + r → gpedit.msc → Computerkonfiguration → Windows-Einstellungen → Sicherheitseinstellungen → Kontorichtlinien → Kontosperrungsrichtlinien
   3. Vorgaben für die sicherheitskritischen Parameter umsetzen.
      Windows + r → gpedit.msc → Computerkonfiguration → Windows-Einstellungen → Sicherheitseinstellungen → Kontorichtlinien → Kennwortrichtlinien
   4. Nach zeitweiser Inaktivität der Tastatur oder Maus muss automatisch eine Bildschirmsperre aktiviert werden, die erst nach erneuter Identifikation und Authentisierung deaktiviert wird.
      Einstellungen (Windows + i) → System → Netzwerkbetrieb und Energiesparen
2. Zugriffskontrolle
   1. Der Telearbeitsrechner muss mindestens über die zwei getrennten Benutzergruppen Benutzer und Administrator verfügen.
      Der Telearbeiter soll in die Gruppe Benutzer aufgenommen werden.
      lokale Benutzer und Gruppen → Gruppen oder Benutzer
   2. Mittels einer differenzierten Rechtestruktur (lesen, schreiben, ausführen, ...) muss der Zugriff auf Dateien und Programme geregelt sein.
      Rechtsklick → Eigenschaften → Sicherheit → Bearbeiten
3. Protokollierung
   
   1. Auf dem Telearbeitsrechner sollen besondere Ereignisse automatisch protokolliert werden. Die Ergebnisse sollen in einer benutzerdefinierten Ansicht angezeigt werden.
      Windows + r → eventvwr.exe → Benutzerdefinierte Ansicht erstellen → Protokolle: Windows-Protokolle → Ereignis-IDs: 4634, 4624, 4648, 4672 (Anmeldung)
      
   2. Damit Unberechtigte keinen Zugriff auf die Ereignisanzeige haben oder diese manipulieren können, muss der Zugriff eingeschränkt werden.
      Windows + r → REGEDIT.exe →  Computer → HKEY_LOCAL_MACHINE → SYSTEM → CurrentControlSet → Services → EventLog → Neuer Wert → Datentyp: REG_DWORD → Name: RestrictGuestAccess → Wert: 1
      
4. Verschlüsselungskomponente
   
   1. Alle Laufwerke des Telearbeitsrechners müssen mit einer geeigneten Software verschlüsselt sein. Windows stellt die vorinstallierte Verschlüsselungssoftware BitLocker bereit.
      Systemsteuerung → BitLocker-Laufwerksverschlüsselung → BitLocker aktivieren (Anweisungen folgen)
   2. Schlüssel (auch mittlerweile nicht mehr benutzte) dürfen nie ungeschützt, das heißt auslesbar oder unverschlüsselt, abgelegt werden. Sie müssen getrennt vom verschlüsselten Gerät aufbewahrt werden.
5. Benutzerumgebung
   1. Alle nicht benötigten Anwendungen und Komponenten müssen deaktiviert werden.
   2. Programme, die der Telearbeiter nicht nutzen darf, müssen beschränkt werden. Ermöglichen kann man dies, indem man das Programm im AppLocker hinterlegt.
      lokale Sicherheitsrichtlinien → Anwendungsrichtlinien → AppLocker → Ausführbare Regeln → Rechtsklick → Neue Regel erstellen → verweigern → Programm auswählen
   3. Unerwünschte Hardware kann über den Gerätemanager blockiert werden.
      Gerätemanager → Rechtsklick → Gerät deaktivieren
   4. Dem Telearbeiter darf es nicht möglich sein, unerlaubte Fremdsoftware auf dem Telearbeitsrechner zu installieren.
      Da die Installation von Software nur für Benutzer der Gruppe Administrator möglich ist, kann ein Telearbeiter ohne Administrator Rechte auch keine Software installieren.
6. Virenschutz
   
   1. Auf dem Telearbeitsrechner muss ein aktiviertes Computer-Viren-Prüfprogramm installiert sein. 
      Als Virenschutz Sophos  verwenden. Das Standard-Installationspaket kann über die Webseite der Stabsstelle Sicherheit Informationstechnischer Systeme (ST-SIS) heruntergeladen werden.
   2. Vor dem Einspielen von Daten von auswechselbaren Datenträgern, vor der Weitergabe von Datenträgern beziehungsweise beim Senden und Empfangen von Daten muss ein Virencheck durchgeführt werden.
      Rechtsklick auf die zu überprüfende Datei oder den Ordner → Mit Sophos Anti-Virus überprüfen
7. Fernwartung (Remote Administration)
   
   1. Zur Fernwartung ist das Online-Fernhilfe-Tool ISL Light 4 zu nutzen. Dabei ist darauf zu achten, dass die Fernadministration nur durch autorisierte Supportmitarbeiter (Administratoren) der FSU Jena durchzuführen ist.
      
8. VPN Verbindung
   
   1. Für eine sichere Kommunikation zwischen dem Telearbeitsrechner und dem internen Universitätsnetz kommt eine VPN-Verbindung zum Einsatz.
      Um eine VPN-Verbindung aufzubauen, steht die Software Cisco AnyConnect Client zur Verfügung.

   2. Damit die Kommunikation nachvollziehbar ist, wird die VPN-Verbindung in der Ereignisanzeige protokolliert. 
      Relevante Ereignis-IDs für die Filterung sind: 3020, 2085, 2084.

9. Datensicherung
   
   1. Bei der Datensicherung auf externen Festplatten ist darauf zu achten, dass die Backup-Datenträger verschlossen aufbewahrt werden.
      Zusätzlich muss der externe Datenträger verschlüsselt sein.
      Systemsteuerung → BitLocker-Laufwerksverschlüsselung → BitLocker aktivieren (Anweisungen folgen)
      
   2. Die Daten sollten außerdem in der Cloud gesichert werden, damit die Daten bei Verlust des Telearbeitsrechners erhalten bleiben.
10. Power Shell 
    
    1. Die Richtungseinstellung: "Lokale Skripts und remote signierte Skripts zulassen" muss aktiviert werden.
       Dadurch werden alle lokalen Skripts zur Ausführung zugelassen. 
       Skripts aus dem Internet müssen von einem vertrauenswürdigen Herausgeber signiert sein.
       Windows + r → gpedit.msc → Computerkonfiguration → Administrative Vorlagen → Windows-Komponenten → Windows Power Shell → Skriptausführung aktivieren → aktivieren → Ausführungsrichtlinie → Lokale Skripts und remote signierte Skripts zulassen
11. Firewall
    
    1. Die Firewall muss auf dem Telearbeitsrechner aktiviert sein.
       Systemsteuerung → System und Sicherheit → Windows Defender Firewall → Windows Defender Firewall ein- oder ausschalten