Informationssicherheit

Richtlinien und Pläne

Kaseya verfügt über ein umfassendes Regelwerk an Richtlinien und Plänen zur Informationssicherheit, die sich am NIST-Rahmenwerk orientieren und die Grundlage für das formelle Programm zur Informationssicherheit bilden:

• Sicherheitsrichtlinie
• Richtlinie zur zulässigen Nutzung
• Plan für das Vorfallmanagement und die Reaktion auf Vorfälle
• Richtlinie zum Patch-Management
• Richtlinie zum Schwachstellenmanagement
• Richtlinie zur Datenverwaltung
• Risikomanagementrichtlinie
• Richtlinie zum Risikomanagement bei Dritten
• Notfallplan
• Notfallwiederherstellungsplan
• Verschlüsselungsrichtlinie
• Richtlinie zum Änderungsmanagement
• Richtlinie zur Vermögensverwaltung
• Richtlinie zur Entsorgung elektronischer Daten
• Richtlinie zum Softwareentwicklungszyklus
• Richtlinie zur physischen Sicherheit

Die Richtlinien werden von der Geschäftsleitung von Kaseya geprüft und genehmigt, jährlich vom GRC-Team unter direkter Mitwirkung und Aufsicht des CISO von Kaseya erstellt und gepflegt sowie den Mitarbeitern mit der Auflage einer jährlichen Überprüfung und Zustimmung mitgeteilt.

Diese Richtlinien werden im Rahmen der AICPA-SOC-2-Prüfungen der Kaseya- IT Complete -Module mehrmals jährlich überprüft und geprüft.

Einhaltung von Sicherheitsvorschriften

Das Kaseya GRC-Team führt jährlich mehrere interne Prüfungen durch, um sicherzustellen, dass die internen Kontrollen weiterhin effektiv funktionieren und das Unternehmen jederzeit für externe Prüfungen gerüstet ist.

Dank unserer konsequenten internen Vorkehrungen konnten wir in der Vergangenheit bei SOC-2-Typ-II-Prüfungen für eine Vielzahl von „ IT Complete “-Modulen stets ein Ergebnis ohne Beanstandungen erzielen. Dieses hervorragende Ergebnis unterstreicht das langjährige Engagement von Kaseya für ein effektiv funktionierendes Sicherheitsprogramm.

Darüber hinaus unterstützt dieses Team die Bemühungen im Bereich der Einhaltung rechtlicher Vorschriften und Datenschutzbestimmungen und trägt dazu bei, Kaseya auf die Erfüllung weiterer Sicherheitsstandards vorzubereiten, sofern dies vom Unternehmen und seinen Kunden als notwendig erachtet wird.

Sicherheitsschulungen und Sensibilisierung

Die Mitarbeiter erhalten bei ihrer Einstellung, jährlich und bei Bedarf Schulungen und Fortbildungen zum Thema Sicherheit. Die Schulungen decken ein breites Spektrum an Themen ab, darunter sicherer Umgang mit Computern, zulässige Nutzung, Ransomware, Endgerätesicherheit, sicheres Surfen, Sicherheit von Zugangsdaten, Social Engineering und Phishing sowie weitere für die Belegschaft relevante Themen. Fachpersonal erhält gegebenenfalls zusätzliche rollenspezifische Schulungen.

Die Mitarbeiter von Kaseya werden regelmäßig getestet, um ihr Bewusstsein für Social-Engineering- und Phishing-Angriffe sowie ihre Anfälligkeit dafür zu überprüfen. Reagiert ein Mitarbeiter auf eine simulierte Phishing-Nachricht, werden zusätzliche Schulungen angeboten, um das Bewusstsein zu schärfen und bewährte Sicherheitspraktiken zu festigen.

Kaseya ist stolz darauf, die Module „ Graphus “ und „ BullPhish ID “IT Complete zu nutzen, um unseren Mitarbeitern diese wichtigen Schulungen und Prüfungen anzubieten.

Geschäftskontinuitätsplanung (BCP) und Notfallwiederherstellung (DR)

Im Rahmen des Informationssicherheitsprogramms von Kaseya ist eine Abteilung für Geschäftsfortführungsplanung (BCP) und Notfallwiederherstellung (DR) eingerichtet, die ein genaues Verzeichnis der kritischen Geschäftsprozesse und ihrer Abhängigkeiten, der Störungsresilienz, der Wiederherstellungsziele sowie der Kontinuitäts- und Notfallpläne führt. Dies geschieht mithilfe von Business-Impact-Analysen (BIAs), auf deren Grundlage die Kontinuitäts- und Wiederherstellungspläne erstellt und gemeinsam mit den Prozess- und Technologieverantwortlichen gepflegt werden.

Kaseya testet in regelmäßigen Abständen die Kontinuitäts-, Notfall- und Wiederherstellungspläne im Rahmen routinemäßiger Wartungsarbeiten sowie durch Simulationsübungen mit Fachpersonal.

Indem wir unseren wichtigsten Geschäftsprozessen Priorität einräumen und aktuelle, dokumentierte Notfallpläne pflegen, gewährleistet Kaseya die Widerstandsfähigkeit des Unternehmens gegenüber Vorfällen, die die Verfügbarkeit von Schlüsselprozessen beeinträchtigen könnten, auf die wir angewiesen sind, um einen hervorragenden Service zu bieten.

Risikomanagement bei Dritten (TPRM)

Da die Risiken durch Angreifer, die Schwachstellen in Geschäftsbeziehungen und technologischen Lieferketten ausnutzen, zunehmen, müssen Unternehmen ein hohes Sicherheitsniveau aufrechterhalten und strenge Anforderungen an wichtige Anbieter, Lieferanten und Geschäftspartner stellen.

Die TPRM-Funktion von Kaseya bewertet die Sicherheitspraktiken im Netzwerk des Unternehmens aus neuen und bestehenden Drittanbietern mit dem Ziel, ein Netzwerk von Lieferanten aufzubauen, die über angemessene und überprüfbare Sicherheitsstandards sowie strenge vertragliche Sicherheitsanforderungen verfügen, die unsere Geschäftsbeziehungen regeln. Diese Funktion nutzt eine Kombination aus verschiedenen Bewertungsmethoden, darunter Fragebögen, interaktive Befragungen, Vor-Ort-Besuche und technologische Lösungen, die eine kontinuierliche Bewertung der Sicherheitslage ermöglichen.

Wenn das TPRM-Team eine kritische Sicherheitslücke identifiziert hat, die sich auf wichtige Lieferanten auswirken könnte, nutzt Kaseya Lösungen zur kontinuierlichen Überwachung der Sicherheitslage, um potenziell betroffene Anbieter zu ermitteln und die Kontaktaufnahme mit diesen zu priorisieren.

Persönliche Sicherheit

Die Sicherheit der gesamten Kaseya-Organisation und der Module „ IT Complete “ hängt von vertrauenswürdigen internen und externen Parteien ab. Kaseya-Mitarbeiter werden im Rahmen des Einstellungsprozesses einer Hintergrundüberprüfung unterzogen, sofern dies rechtlich zulässig ist und je nach Positionsebene, Rolle und Verantwortungsbereich erforderlich ist. Zusätzlich zur Durchsicht und Bestätigung der Sicherheitsrichtlinien und des Verhaltenskodexes vor Arbeitsantritt erhalten die Mitarbeiter Schulungen zu den Sicherheitsrichtlinien des Unternehmens und den Erwartungen hinsichtlich der Informationssicherheit. Die Einrichtung und Löschung von Konten sowie Zugriffsberechtigungen und Entfernungsverfahren sind mit den Ein- und Austrittsverfahren verknüpft, die die Einstellung und Kündigung regeln.

Physische Sicherheit

Kaseya verfügt über Richtlinien und Verfahren zur physischen Sicherheit, die für Unternehmensniederlassungen, Produktionsstätten und Rechenzentren gelten, die zur Bereitstellung der Kaseya- IT Complete smodule und -Dienste genutzt werden. Die Teams für Informationssicherheit, Anlagenmanagement und Rechenzentrumsbetrieb sind dafür verantwortlich, sicherzustellen, dass für jede Einrichtung gemäß den Richtlinien angemessene logische und physische Zugangskontrollen implementiert sind. Die Teams führen regelmäßig Audits der Einrichtungen und Kontrollmaßnahmen durch, um sicherzustellen, dass diese angemessen getestet, gewartet und überwacht werden. Zu den Kontrollmaßnahmen zählen unter anderem Zugangskontrollsysteme, Kameras und Aufzeichnungen, die Verwaltung von Temperatur- und Feuchtigkeitssensoren, Besucherverfahren sowie Tests der Ausfallsicherheit von Generatoren und USV-Anlagen. Diese Überprüfungsmaßnahmen gewährleisten, dass die Einrichtungen ausfallsicher sind und nur von berechtigten Personen genutzt werden können.

Anwendungssicherheit

Ein zentrales Ziel der Informationssicherheitsstrategie von Kaseya ist es, erstklassige Produktsicherheit zu gewährleisten, insbesondere im Hinblick auf die Softwaresicherheit der Module von „ IT Complete “.

Daher integriert das Informationssicherheitsteam Software-Sicherheitsprozesse und -Technologien in die formalen Softwareentwicklungszyklen, die die Produktentwicklung regeln. Zu diesen grundlegenden Aktivitäten, die von spezialisierten Anwendungssicherheitsexperten und Beauftragten für Softwaresicherheit unterstützt werden, gehören Bedrohungsmodellierung, statische und dynamische Analyse, Sicherheitsregressionstests, Überprüfungen auf sicheren Code sowie Penetrationstests.

Offensive Sicherheit

Kaseya beschäftigt ein Team von hauptberuflichen Sicherheitsforschern, die in den Bereichen Hacking von Webanwendungen, Penetrationstests, Erforschung und Entwicklung von Exploits, Fuzzing und fortgeschrittenem Social Engineering zertifiziert sind.

Das Offensive-Security-Team sorgt durch seine täglichen Aktivitäten für ein beispielloses Maß an Softwaresicherheit. Dazu gehören unter anderem:

• Produktbasierte Penetrationstests – Suche nach Schwachstellen, die von anderen Technologien und Verfahren möglicherweise übersehen wurden.
• Dienstbasierte Penetrationstests – Auswahl eines bestimmten, über das Netzwerk zugänglichen Dienstes und Überprüfung aller Instanzen dieses Dienstes auf Schwachstellen in der gesamten Betriebsumgebung.
• Zielorientierte Red-Team-Übungen – mit dem Ziel, eine bestimmte Mission zu erfüllen, und zwar mit allen Mitteln, die einem Angreifer zur Verfügung stehen würden.
• Erfassung und Verwaltung der Angriffsfläche – Suche nach exponierten Diensten und Schwachstellen, die im Graubereich zwischen den Produkten bestehen.
• Fortgeschrittene Social-Engineering-Tests – Nachahmung fortgeschrittener, gezielter Angriffe und Nachbildung der Techniken und Vorgehensweisen, die von hochmotivierten Angreifern eingesetzt werden.
• Forschung und Entwicklung im Bereich Exploits – Identifizierung, Erstellung von Proof-of-Concepts und Offenlegung von Exploits in Software und Technologien (einschließlich Produkten der Lieferkette), die zur Bereitstellung von Modulen und Diensten von „ IT Complete “ verwendet werden.
• „Purple-Teaming“-Maßnahmen – Überprüfung der Cyberabwehr und der Reaktionsfähigkeiten gemeinsam mit dem Security Operations Center und den Teams für das Bedrohungsmanagement.

Standard zur Überprüfung der Anwendungssicherheit (ASVS)

Die Qualität von Penetrationstests wird durch den Testumfang, die Testdauer, die Kompetenz der Prüfer und die Bandbreite der abgedeckten Angriffsmethoden beeinflusst. Um bei unseren Penetrationstests Konsistenz und Qualität zu gewährleisten, hält sich Kaseya an die Anforderungen des „Application Security Verification Standard“ (ASVS) des Open Web Application Security Project (OWASP). Unser qualifiziertes und kompetentes Team für offensive Sicherheit führt Tests durch, die den Anforderungen der ASVS-Stufe 2 entsprechen, die für die meisten Anwendungen und Websites mit hohen Sicherheitsanforderungen empfohlen werden.

Dieser Fokus auf die Qualität der Penetrationstests gibt Kaseya Vertrauen in die Sicherheit der „ IT Complete “-Module.

Die aktuellsten Informationen zur ASVS finden Sie unter: https://owasp.org/www-project-application-security-verification-standard/

Reifegradmodell für Gebäudesicherheit (BSIMM)

Die Kaseya Software Security Initiative (SSI) unterhält eine Software Security Group (SSG), die sich aus einem Netzwerk von leitenden Führungskräften aus dem Bereich Software-Engineering, erfahrenen Softwareentwicklern, Führungskräften aus dem Bereich Informationssicherheit sowie Experten für die Sicherheit eingebetteter Software aus dem gesamten Unternehmen zusammensetzt.

Die SSG hat das „Building Security in Maturity Model“ (BSIMM) einheitlich als ihr primäres Rahmenwerk für Anwendungssicherheit eingeführt und integriert damit branchenführende Praktiken der Softwaresicherheit in die Entwicklung und Wartung der Module „ IT Complete “.

Im Gegensatz zu anderen Rahmenwerken für Anwendungssicherheit wird das BSIMM jährlich aktualisiert, wobei die im Rahmen eines Netzwerks aus über 400 Mitgliedsunternehmen beobachteten Maßnahmen zur Softwaresicherheit bewertet werden. Der dynamische Charakter der Benchmark-Aktivitäten und die Tatsache, dass das Rahmenwerk unabhängig bewertet wird, sprechen Kaseya besonders an, da wir bestrebt sind, führende Praktiken im Bereich der Softwaresicherheit zu entwickeln und aufrechtzuerhalten.

Die Einführung von BSIMM bei Kaseya und unser Ziel, einen durchschnittlichen „High-Water-Mark“-Reifegrad von Stufe 2 zu erreichen und aufrechtzuerhalten, gewährleisten eine kontinuierliche Verbesserung der Software-Sicherheitsprogramme in unserem Unternehmen.

Programm zur Offenlegung von Sicherheitslücken und Bug-Bounty-Programm

Wie bei jeder Softwareentwicklung ist es möglich, dass trotz der für die „ IT Complete “-Module implementierten fortschrittlichen und mehrschichtigen Anwendungssicherheitsmaßnahmen Schwachstellen übersehen werden.

Die Aufdeckung dieser Sicherheitslücken kann sowohl durch Kunden als auch durch Sicherheitsforscher erfolgen. Da wir den Wert einer engen Zusammenarbeit mit unseren Kunden und der Gemeinschaft der Sicherheitsforscher erkennen, begrüßen wir eine verantwortungsbewusste, professionelle und diskrete Offenlegung im Rahmen unseres aktiven Programms zur Offenlegung von Sicherheitslücken (VDP).

VDP-Programme sind eine gängige und sichere Möglichkeit für jeden, der eine Sicherheitslücke entdeckt, diese auf verantwortungsvolle Weise an uns zu melden, sodass vor der öffentlichen Bekanntgabe ausreichend Zeit für die Überprüfung und Behebung des Problems bleibt.

Unser VDP umfasst eine Bug-Bounty-Komponente. Dies ist von Vorteil, da die Prämien für jedermann zugänglich sind – im Gegensatz zu einem privaten Bug-Bounty-Programm, bei dem die Teilnahme eingeschränkt ist. Für Schwachstellenmeldungen, die erhebliche geschäftliche Auswirkungen auf unsere Kunden, Produkte oder Dienstleistungen haben, bieten wir unter Umständen eine finanzielle Belohnung an.

Kaseya behält sich vor, außergewöhnliche Beiträge zur Sicherheit der „ IT Complete “-Module und die daraus resultierende Risikominderung für alle unsere Kunden anzuerkennen, indem die Meldenden in eine „Hall of Fame“ aufgenommen werden.

Auf Bedrohungen basierende Cyberabwehr

Wir müssen uns stets über die Akteure hinter Cyberangriffen und deren Vorgehensweisen im Klaren sein, um die Cyber-Risikolandschaft, in der wir agieren, zu verstehen und einschätzen zu können, wie sie sich in Zukunft entwickeln könnte. Wir nutzen Cyber-Bedrohungsinformationen, um Einblicke in die Vorgehensweisen dieser Akteure zu gewinnen, und wenden dieses Wissen auf die Cyberabwehr- und Intrusionsüberwachungsmaßnahmen an, die wir im Rahmen unseres Sicherheitsprogramms einsetzen. Diese auf Bedrohungsinformationen basierende Cyberabwehr ist für uns und unsere Kunden von entscheidender Bedeutung, um Cyberrisiken effektiv zu bewältigen.

Bedrohungsmanagement

Bei der Konzeption von Cyberabwehrmaßnahmen ist es wichtig, die Angreifer zu kennen, die möglicherweise versuchen, Ihrem Unternehmen Schaden zuzufügen.

Wir müssen uns stets der Bedrohungen bewusst sein, indem wir versuchen, diese auf strukturierte Weise zu identifizieren, zu bewerten, einzustufen und darauf zu reagieren. Die hauptamtlichen Bedrohungsmanagement-Analysten von Kaseya sammeln, werten aus, geben weiter und erstellen umsetzbare Berichte auf der Grundlage strategischer, taktischer, technischer und operativer Cyber-Bedrohungsinformationen (CTI) aus Open-Source-Intelligence (OSINT) und kommerziellen Informationsquellen.

Das Ergebnis ist ein umfassendes Verständnis des Bedrohungsprofils für unsere Branche und unser Unternehmen sowie der Taktiken, Techniken und Vorgehensweisen (TTPs), die Angreifer möglicherweise gegen uns einsetzen könnten. Durch das Bedrohungsmanagement sorgen wir für ein Maß an Bedrohungsbewusstsein, das das Informationssicherheitsprogramm agiler im Umgang mit Bedrohungen und Schwachstellen macht und die Cyber-Resilienz des Programms insgesamt stärkt.

Überwachung auf unbefugte Zugriffe

In einer Welt, in der man davon ausgeht, dass Sicherheitsverletzungen auftreten werden, müssen wir stets bereit sein, auf Cyberangriffe und Eindringversuche zu reagieren.

Kaseya verfügt über ein internes SOC-Team (Security Operations Center) sowie ein Sicherheitsentwicklungsteam, die alle Aktivitäten im Zusammenhang mit der Überwachung auf unbefugte Zugriffe verwalten. Dies wird durch eine Kombination aus intern bereitgestellter und gewarteter SIEM-Technologie (Security Information and Event Management) sowie durch den Einsatz von externen MDR-Anbietern ( Managed Detection and Response ) erreicht.

Dieser mehrschichtige Ansatz ermöglicht es uns, Clouds, Netzwerke, Endgeräte und SaaS-Protokolle auf Eindringversuche zu analysieren und so einen umfassenden Überblick über Cyberangriffe zu gewinnen.

Die Abteilung für Sicherheitsentwicklung bei Kaseya stellt sicher, dass die vom SOC eingesetzten Technologien einwandfrei funktionieren. Sie unterstützt das SIEM bei der Erfassung und Auswertung von Protokollquellen sowie bei der Entwicklung von Erkennungsmechanismen.

Das Kaseya SOC reagiert rund um die Uhr auf Sicherheitsvorfälle, die aufgrund von Regeln zur Überwachung von Eindringversuchen sowie Warnmeldungen aus dem SIEM und vom MDR-Anbieter als untersuchungswürdig eingestuft werden. Wird ein Sicherheitsvorfall als gültig und bedeutsam eingestuft, wird gemäß den Richtlinien von Kaseya zum Vorfallmanagement und zur Vorfallreaktion ein Vorfall gemeldet.

Vorfallmanagement und Reaktion auf Vorfälle

Kaseya verfügt über Richtlinien und Verfahren zum Vorfallmanagement und zur Vorfallreaktion, die sich an den Best-Practice-Leitlinien zur effizienten und effektiven Abwicklung des Lebenszyklus einer Vorfallreaktion orientieren, wie sie vom NIST in der Sonderveröffentlichung 800-61 dokumentiert sind.

Kaseya verfügt über dokumentierte Reaktionsverfahren und Leitfäden für die Meldung, Eskalation, Eindämmung und Behebung von Vorfällen, um eine effiziente und effektive Bearbeitung und Behebung von Sicherheitsvorfällen zu gewährleisten. Wir stellen sicher, dass diejenigen Mitarbeiter, die potenzielle Sicherheitsvorfälle am ehesten erkennen und als Erste darauf reagieren, eine Ersthelfer-Schulung erhalten.

Wir nehmen die Dienste eines renommierten Anbieters für Incident-Response-Lösungen in Anspruch, der sofortige Unterstützung im Bereich der digitalen Forensik und des Incident Response (DFIR) leisten kann, falls das interne Incident-Response-Team von Kaseya zusätzliches Fachwissen, Unterstützung oder Kapazitäten zur Bewältigung eines Vorfalls benötigt.

Die aktuellsten Informationen zu NIST SP 800-61 finden Sie unter: https://csrc.nist.gov/publications/sp

Purple Teaming

Das Kaseya Security Operations Center sowie die Teams für offensive Sicherheit und Bedrohungsmanagement führen regelmäßig koordinierte Tests und Übungen durch, bei denen die von Angreifern verwendeten Taktiken, Techniken und Verfahren (TTPs) simuliert werden. Diese Übungen ermöglichen es uns, die operative Wirksamkeit unserer Schutz- und Erkennungsmaßnahmen sowie unserer Prozesse zu überprüfen. Die Aktivitäten des „Purple Teams“ bieten zusätzlich zu den Audits eine weitere Sicherheit, dass die zentralen Prozesse zur Überwachung von Eindringversuchen gut funktionieren, und geben uns die Möglichkeit, Lücken und Verbesserungsmöglichkeiten auf koordinierte und durchdachte Weise sicher zu identifizieren. Wenn vom Bedrohungsmanagement neue oder aufkommende TTPs identifiziert werden, versuchen wir, diese nachzubilden und die Verteidigungsfähigkeiten unserer Umgebung zu bewerten. Das „Purple Team“ kann diese Analyse im Rahmen koordinierter Übungen oder mithilfe von Tools zur Nachahmung von Angreifern durchführen, die eine schnelle und kontinuierliche automatisierte Prüfung der TTPs ermöglichen.

Hunt-Teaming

In regelmäßigen Abständen ermittelt die Abteilung für Bedrohungsmanagement eine Reihe von Verhaltensweisen oder Indikatoren, die mit Angreifern und deren Vorgehensweisen in Verbindung stehen und potenziell auf unsere Betriebsumgebungen zutreffen könnten. Die Bedrohungsanalysten arbeiten direkt mit dem Sicherheitsteam zusammen, um unsere Umgebungen proaktiv nach Anzeichen für diese Verhaltensweisen und Indikatoren zu durchsuchen – eine Maßnahme, die als „Threat Hunting“ bezeichnet wird.

Cyber-Hygiene

Cyberhygiene wird durch die konsequente Umsetzung grundlegender IT-Fähigkeiten und Routineprozesse gewährleistet, die den einwandfreien Betriebszustand aufrechterhalten. Ein zentrales Ziel des strategischen Plans zur Informationssicherheit von Kaseya ist die kontinuierliche Gewährleistung der Cyberhygiene. Dies ist eine Verpflichtung zur ständigen Weiterentwicklung und Optimierung der grundlegenden Fähigkeiten, die Benutzer, Systeme, Netzwerke, Software und Daten schützen.

Vermögensverwaltung

Kaseya führt Bestandsverzeichnisse der internen IT-Ressourcen (des Unternehmens) sowie der Produktionsressourcen der Kunden, darunter Daten, Software sowie physische und virtuelle, mit dem Netzwerk verbundene Geräte. Die Pflege dieser Bestandsverzeichnisse ermöglicht es uns, stets den Überblick über den Umfang der Ressourcen zu behalten, die überwacht und geschützt werden müssen.

Die Vermögenswerte werden gemäß den Unternehmensrichtlinien klassifiziert und inventarisiert. Die Bestandslisten der Vermögenswerte werden gepflegt und regelmäßig geprüft, um ihre Relevanz und Richtigkeit sicherzustellen, da sie von entscheidender Bedeutung sind und ständig für kritische Schutzprozesse herangezogen werden, die gewährleisten, dass die grundlegende Cyberhygiene für Systeme und Daten, die uns gehören oder für die wir verantwortlich sind, aufrechterhalten wird.

Schwachstellenmanagement

Kaseya verfügt über Richtlinien und Verfahren, um sicherzustellen, dass Schwachstellen in System-, Software- und Netzwerkressourcen effektiv identifiziert, nachverfolgt und behoben werden.

Wir verfolgen einen risikobasierten Ansatz beim Schwachstellenmanagement, um Abhilfemaßnahmen zu priorisieren. Dieser Ansatz stützt sich auf Daten aus einer Vielzahl kommerzieller und Open-Source-Schwachstellenscanner, von Sicherheitsforschern, den Aktivitäten unseres Offensive-Security-Teams sowie auf Informationen zu Cyberbedrohungen aus unseren kommerziellen, Open-Source- und staatlichen Quellen.

Die Kombination aus umfassenden Daten zu Sicherheitslücken und Bedrohungen sowie einem detaillierten Verständnis der potenziell ausnutzbaren Angriffsfläche einer Sicherheitslücke ermöglicht es uns, das Cyberrisiko einzuschätzen, das von einer bestimmten Sicherheitslücke ausgehen kann.

Dieser Ansatz ermöglicht es uns zudem, schneller auf Zero-Day- und N-Day-Sicherheitslücken zu reagieren. Mithilfe von Schnellanalysen gewinnen wir ein detailliertes Verständnis hinsichtlich des Schweregrads der Schwachstelle, ihrer Ausnutzbarkeit, des Schwierigkeitsgrads bei der Ausnutzung, der hinter ihr stehenden Angreifer, ihrer Instrumentalisierung, potenzieller Gefährdungen sowie der Auswirkungen der Schwachstelle. Diese Schnellanalysen führen zu Maßnahmen, die Cyberrisiken rasch mindern, indem sie die Installation von Patches nach Risikopriorität beschleunigen.

Diese Fähigkeiten fließen in andere Bereiche unseres Sicherheitsprogramms ein, wie beispielsweise das Risikomanagement in Bezug auf Drittanbieter, um sicherzustellen, dass unsere wichtigen Geschäftspartner angemessen reagieren, sowie die Überwachung auf unbefugte Zugriffe, um zu gewährleisten, dass wir über wirksame Überwachungsmaßnahmen verfügen, um Angriffsversuche unter Ausnutzung solcher Schwachstellen zu erkennen.

Patch Management

Kaseya verfügt über Richtlinien und Verfahren, die sicherstellen, dass Sicherheitspatches für System-, Software- und Netzwerkressourcen effektiv identifiziert, nachverfolgt und angewendet werden. Patches werden so geprüft, getestet und freigegeben, dass sowohl die Sicherheit als auch die Verfügbarkeit der Ressourcen sowie der kritischen Geschäftsprozesse oder der Module von „ IT Complete “, die diese unterstützen, gewährleistet sind.

Kaseya nutzt eine Reihe von Lösungen, um die sichere Bereitstellung von Patches auf verwalteten Endgeräten zu automatisieren. Regelmäßige Patch-Prozesse sind darauf ausgelegt, eine zeitnahe Verteilung an die betroffenen Systeme zu gewährleisten. Darüber hinaus unterhalten wir jedoch auch einen Notfall-Patch-Prozess, der es uns ermöglicht, in Ausnahmesituationen Prioritäten zu setzen, um das Testen, die Verteilung und die Anwendung von Patches zu beschleunigen.

Veränderungsmanagement

Kaseya verfügt über Richtlinien und Verfahren, die sicherstellen, dass Änderungen an System-, Software- und Netzwerkressourcen dokumentiert, geprüft, genehmigt, geplant, implementiert und überwacht werden. Änderungen werden so getestet und freigegeben, dass sowohl die Sicherheit als auch die Verfügbarkeit der kritischen Geschäftsprozesse oder Kundenprodukte, die sie unterstützen, gewährleistet sind. Sie unterliegen formellen Change-Management-Prozessen und -Verfahren, die der Change-Management-Richtlinie entsprechen.

Änderungen werden anhand verschiedener Faktoren klassifiziert, darunter der Umfang der Änderung, die betroffenen Ressourcen, die Dauer der Wartungsarbeiten, die Auswirkungen auf den Betrieb, sicherheitsrelevante Aspekte, die Komplexität der Umsetzung oder Wiederherstellung und vieles mehr.

Die Einstufung legt fest, wann eine Änderung vorgenommen werden darf, welche Benachrichtigungspflichten gegenüber den Beteiligten bestehen und ob die Änderung einer Prüfung und Genehmigung bedarf.

Mehrmals im Jahr wird eine Prüfung der Änderungen durchgeführt, um mögliche Probleme bei der Einhaltung der Verfahren zum Änderungsmanagement zu erkennen und zu beheben.

Endgeräteschutz

Kaseya bietet Funktionen zum Schutz von Endgeräten und zur Sicherheit, die eine sichere Konfiguration, einen sicheren Betrieb, eine sichere Wartung und eine sichere Überwachung der IT-Ressourcen in Unternehmen und in der Produktion gewährleisten.

Zu den technischen und prozessbezogenen Fähigkeiten gehören der Einsatz von Endgeräteschutzlösungen (z. B. Anti-Malware oder Endpoint Detection and Response), Konfigurationsmanagement-Lösungen und Datenverschlüsselung.

Diese Lösungen werden zentral von den Teams für Informationssicherheit, der internen IT und der Produktionstechnik bei Kaseya verwaltet.

Identitäts- und Zugriffsmanagement (IAM)

Kaseya Information Security arbeitet mit der internen IT-Abteilung zusammen, um sicherzustellen, dass die Systemkonten der Mitarbeiter einem formellen Prozess für die Zuweisung und Aufhebung von Zugriffsrechten folgen, der mit den Einstellungs- und Kündigungsverfahren der Personalabteilung verknüpft ist. Jeder Benutzer erhält eindeutige Anmeldedaten und ist verpflichtet, sowohl ein sicheres Passwort als auch eine Multi-Faktor-Authentifizierung (MFA) einzurichten. Kaseya unterhält zentral verwaltete SSO-Plattformen, die abgesichert sind, um einen sicheren Zugriff auf Systeme und Dienste zu gewährleisten. Der Zugriff erfolgt nach dem „Need-to-know“-Prinzip unter Durchsetzung des Prinzips der geringsten Berechtigungen und ist rollenbasiert. Es werden regelmäßige Überprüfungen der Konten und Zugriffsrechte durchgeführt, um sicherzustellen, dass die routinemäßigen Sicherheitsmaßnahmen ordnungsgemäß funktionieren.

E-Mail-Sicherheit

Kaseya Information Security arbeitet mit der internen IT-Abteilung zusammen, um sicherzustellen, dass bei den E-Mail-Lösungen des Unternehmens sichere Protokolle und Konfigurationen eingehalten werden. Zu den Maßnahmen zum E-Mail-Schutz gehören unter anderem die Verschlüsselung von E-Mails während der Übertragung (z. B. STARTTLS und SSL/TLS), das Blockieren häufig vorkommender bösartiger Anhangstypen, MFA für den Zugriff auf die E-Mail-Plattform, die Deaktivierung weniger sicherer E-Mail-Zugriffsprotokolle (z. B. IMAP, usw.), Anti-Spoofing-Lösungen (z. B. SPF, DKIM und DMARC) sowie den Einsatz zusätzlicher Ebenen von E-Mail-Sicherheitsfiltern zur Reduzierung von E-Mail-basierten Bedrohungen (z. B. Phishing, Spam usw.).

Netzwerksicherheit

Die Abteilung für Informationssicherheit bei Kaseya arbeitet eng mit der IT- und Netzwerktechnik zusammen, um Netzwerksicherheitsmaßnahmen und -prozesse zu implementieren und zu warten, die die Abwehr von Bedrohungen und eine zuverlässige Zugriffskontrolle gewährleisten. Kaseya unterhält eine Reihe moderner, benutzer- und anwendungsorientierter Firewalls, die in der Lage sind, Bedrohungen im verschlüsselten und unverschlüsselten Datenverkehr frühzeitig zu erkennen und abzuwehren, um unsere Unternehmensnetzwerke und Nutzer zu schützen.

Produktionsnetzwerke nutzen eine Kombination aus physischen, virtuellen und Cloud-basierten Netzwerkfunktionen, um eine Netzwerksicherheitsarchitektur zu implementieren, die klar abgegrenzte Sicherheitszonen festlegt, um den Zugriff auf und von wichtigen Infrastruktursystemen zu kontrollieren und gleichzeitig eine Produktintegration auf Weltklasseniveau zu ermöglichen. Der Zugriff richtet sich nach der Kritikalität eines Systems, der Einstufung der Datensensibilität und dem Risiko.

Die Prozesse zum Schwachstellenmanagement und zur Patch-Verwaltung im Netzwerk werden aufrechterhalten. Herstellerhinweise werden überwacht, und Netzwerkgeräte werden auf Schwachstellen überprüft. Aktualisierte Netzwerkbetriebssysteme werden mindestens einmal jährlich installiert, oder häufiger, wenn ein Herstellerhinweis oder eine Schwachstelle dies erforderlich macht.