chrisbst48/itgrundschutzcompendium_2023 huggingface dataset:
SYS.2.5.A7 Automatische Sperrung von Sitzungen (neu seit Vorjahres-Edition)
Nach einer definierten Zeit der Inaktivität SOLLTEN Verbindungen zwischen zugreifendem und virtuellem Client beendet werden. Falls der Einsatzzweck des jeweiligen virtuellen Clients dies zulässt, SOLLTEN die virtuellen Clients in einen inaktiven Zustand versetzt werden, nachdem die Verbindung beendet ist. Nachdem ein zugreifender Client seine Terminalserver-Sitzung beendet hat, SOLLTE die aktive Sitzung auf dem virtuellen Client gesperrt werden.
SYS.2.5.A8 Härtung der virtuellen Clients (neu seit Vorjahres-Edition)
• Weiterleitungen von Peripheriegeräten oder externen Datenträgern von zugreifenden an die virtuellen Clients • Deaktivierung von Netzdiensten, die in der Virtualisierungsinfrastruktur nicht benötigt werden Hierbei SOLLTEN die folgenden Aspekte berücksichtigt werden: • Einschränkung der Datenübertragung zwischen zugreifenden und virtuellen Clients • Explizite Freigabe der Ausführung von Anwendungen Die virtuellen Clients SOLLTEN gehärtet werden.
SYS.2.5.A9 Einbindung der virtuellen Clients in das Patch- und Änderungsmanagement (neu seit Vorjahres-Edition)
Die Client-Anwendungen SOLLTEN zentral provisioniert werden. Dazu SOLLTE eine geeignete zentral verwaltbare Lösung eingesetzt werden. Templates für die virtuellen Clients SOLLTEN regelmäßig aktualisiert und getestet werden.
SYS.2.6 Virtual Desktop Infrastructure
IT-System R2
SYS.2.6.A1 Planung des Einsatzes einer VDI (neu seit Vorjahres-Edition)
Die VDI-Komponenten und die genutzte Virtualisierungsinfrastruktur MÜSSEN aufeinander abgestimmt geplant werden. Die Leistungsanforderungen und Anzahl der benötigten virtuellen Clients sowie die daraus resultierenden Anforderungen an die Dimensionierung der VDI MÜSSEN identifiziert werden. Die VDI-Komponenten MÜSSEN anhand dieser Dimensionierungsanforderungen bedarfsgerecht geplant werden. Bei der Dimensionierung der VDI MUSS berücksichtigt werden, ob und wie sich die Anforderungen hieran über den geplanten Einsatzzeitraum der VDI-Lösung ändern. Der Support MUSS für den gesamten geplanten Einsatzzeitraum der VDI-Lösung bei der Planung mitberücksichtig werden. Die Anzahl virtueller Clients und deren benötigte Leistung pro Virtualisierungsserver MUSS festgelegt werden.
SYS.2.6.A10 Monitoring von Verfügbarkeit und Nutzungsgrad der VDI (neu seit Vorjahres-Edition)
• Verfügbarkeit der von der VDI-Komponente bereitgestellten Dienste Der Zustand der VDI-Komponenten SOLLTE zentral überwacht werden. Es SOLLTEN mindestens folgende Parameter für jede VDI-Komponente überwacht werden: • Erreichbarkeit der benötigten Netzschnittstellen • Auslastung der CPU und des Arbeitsspeichers
SYS.2.6.A11 Monitoring von sicherheitsrelevanten Ereignissen der VDI (neu seit Vorjahres-Edition)
• fehlgeschlagene Updates an virtuellen Clients Die VDI-Komponenten SOLLTEN regelmäßig auf Schwachstellen überprüft werden. Für die VDI-Komponenten SOLLTEN mindestens die folgenden Ereignisse an ein zentrales Monitoring weitergeleitet werden: • erfolgreiche und fehlgeschlagene Updates an VDI-Komponenten • erfolgreiche und fehlgeschlagene Anmeldeversuche • Konfigurationsänderungen an VDI-Komponenten oder virtuellen Clients
SYS.2.6.A12 Verteilung von virtuellen Clients auf Virtualisierungsservern (neu seit Vorjahres-Edition)
Diese Grenzwerte SOLLTEN in der VDI-Managementkomponente genutzt werden, um bei hoher Auslastung die virtuellen Clients auf verschiedene Virtualisierungsserver zu verteilen. Pro Virtualisierungsserver SOLLTE die maximale Leistung festgelegt werden, die dieser für virtuelle Clients zur Verfügung stellen darf.
SYS.2.6.A13 Verwendung getrennter VDI-Lösungen für unterschiedliche Benutzendengruppen (neu seit Vorjahres-Edition)
In diesem Fall SOLLTE jeweils eine eigene VDI-Lösung pro Benutzendengruppe verwendet werden. Es SOLLTE geprüft werden, ob es Benutzendengruppen gibt, die sich in ihren Berechtigungen so stark unterscheiden, dass die Nutzung einer gemeinsamen VDI-Lösung nicht sinnvoll ist.
SYS.2.6.A14 Verwendung von nicht-persistenten virtuellen Clients (neu seit Vorjahres-Edition)
Nicht zurückgesetzte virtuelle Clients SOLLTEN NICHT von mehreren unterschiedlichen Benutzenden verwendet werden. Nachdem sie benutzt wurden oder zu einem definierten Zeitpunkt SOLLTEN die virtuellen Clients auf ihren Grundzustand, d. h. auf das zugrundeliegende Template, zurückgesetzt oder bei Bedarf neu provisioniert werden. Diese Zeitfenster SOLLTEN dokumentiert und an die Betroffenen kommuniziert werden.
SYS.2.6.A15 Hochverfügbare Bereitstellung der VDI-Komponenten (neu seit Vorjahres-Edition)
Jede Komponente SOLLTE darüber hinaus redundant an die relevanten Netze angeschlossen werden. Falls die VDI-Komponenten virtualisiert betrieben werden, SOLLTEN Mechanismen der Virtualisierungsinfrastruktur für die Hochverfügbarkeit eingesetzt werden. Die VDI-Komponenten SOLLTEN redundant ausgelegt werden. Falls die VDI-Komponenten auf physischen IT-Systemen betrieben werden, SOLLTEN diese IT-Systeme über redundante Stromversorgung und Datenspeicher verfügen.
SYS.2.6.A16 Integration der VDI in ein SIEM (neu seit Vorjahres-Edition)
Wird ein Security Information and Event Management (SIEM) genutzt, SOLLTEN die VDI-Komponenten darin eingebunden werden. Im SIEM SOLLTEN die überwachten Ereignisse automatisiert hinsichtlich Anomalien inklusive Angriffsmustern analysiert werden.
SYS.2.6.A2 Sichere Installation und Konfiguration der VDI-Komponenten (neu seit Vorjahres-Edition)
Empfehlungen von dem herstellenden Unternehmen der VDI-Lösung für die sichere Konfiguration MÜSSEN berücksichtigt werden. • die Kommunikation zwischen VDI-Komponenten abgesichert wird sowie • virtuelle Clients sicher den Benutzenden oder Gruppen hiervon zugewiesen werden. Die Konfigurationen der VDI-Komponenten MÜSSEN geeignet dokumentiert werden. Wenn die VDI-Komponenten installiert und konfiguriert werden, MUSS mindestens berücksichtigt werden, wie: • auf betrieblich und technisch notwendige Funktionen beschränkt wird,
SYS.2.6.A3 Sichere Installation und Konfiguration der virtuellen Clients mithilfe der VDI (neu seit Vorjahres-Edition)
In der für die VDI verwendeten Virtualisierungsinfrastruktur SOLLTEN virtuelle Clients NICHT unabhängig von der VDI erzeugt werden. Virtuelle Clients SOLLTEN NICHT manuell in die VDI-Lösung integriert werden. Die VDI-Lösung SOLLTE genutzt werden, um die virtuellen Clients zu installieren und zu konfigurieren.
SYS.2.6.A4 Netzsegmentierung der VDI-Komponenten (neu seit Vorjahres-Edition)
Die VDI-Komponenten inklusive der virtuellen Clients SOLLTEN bei der Netzsegmentierung gesondert berücksichtigt werden. Dedizierte Netzsegmente SOLLTEN mindestens für das Administrationsnetz der VDI-Komponenten und für die Netze der internen Kommunikation zwischen VDI-Komponenten eingerichtet werden. Netze SOLLTEN dabei mindestens mit Hilfe der Virtualisierungsinfrastruktur getrennt werden.
SYS.2.6.A5 Standardisierter Zugriff auf virtuelle Clients (neu seit Vorjahres-Edition)
Falls eine zusätzliche Software für diese Zugriffe auf den zugreifenden Clients eingesetzt wird, SOLLTE diese Software standardisiert und zentralisiert bereitgestellt werden. Die Mechanismen und Dienste der VDI-Lösung SOLLTEN genutzt werden, um die Zugriffe auf die virtuellen Clients zu steuern und abzusichern.
SYS.2.6.A6 Verwendung einer dedizierten Infrastruktur für virtuelle VDI-Komponenten (neu seit Vorjahres-Edition)
Falls die VDI-Komponenten virtualisiert betrieben werden, SOLLTEN sie auf einer dedizierten Virtualisierungsinfrastruktur betrieben werden.
SYS.2.6.A7 Härtung der virtualisierten Clients durch die VDI-Lösung (neu seit Vorjahres-Edition)
Die Betriebssysteme der Clients SOLLTEN ausschließlich über die Managementkomponente der VDI-Lösung konfiguriert werden. Eine individuelle Konfiguration bestehender virtueller Clients über die Virtualisierungsinfrastruktur SOLLTE mit technischen Mitteln unterbunden werden. Die Möglichkeiten der VDI-Lösung SOLLTEN für die Härtung der virtuellen Clients entsprechend den Anforderungen des Bausteins SYS.2.5 Client-Virtualisierung genutzt werden.
SYS.2.6.A8 Härtung der VDI-Lösung (neu seit Vorjahres-Edition)
Die Authentisierung SOLLTE nur erfolgen, nachdem die Benutzenden mit der VDI interagiert haben. Eine automatische Anmeldung an der VDI SOLLTE nicht möglich sein.
SYS.2.6.A9 Einbindung der virtuellen Clients in das Patch- und Änderungsmanagement (neu seit Vorjahres-Edition)
Die virtuellen Clients SOLLTEN auch im ausgeschalteten Zustand gepatcht werden, falls dies von der VDI-Lösung unterstützt wird. Die virtuellen Clients SOLLTEN, wenn möglich, zentral über die Managementkomponenten der VDI-Lösung verwaltet werden. Die Templates, aus denen virtuelle Clients erzeugt werden, SOLLTEN regelmäßig aktualisiert werden.
SYS.3.1 Laptops
IT-System R2
SYS.3.1.A1 Regelungen zur mobilen Nutzung von Laptops
Es MUSS klar geregelt werden, was Mitarbeitende bei der mobilen Nutzung von Laptops berücksichtigen müssen. Die Benutzenden MÜSSEN auf die Regelungen hingewiesen werden. Es MUSS insbesondere festgelegt werden, welche Laptops mobil genutzt werden dürfen, wer sie mitnehmen darf und welche grundlegenden Sicherheitsmaßnahmen dabei zu beachten sind.
SYS.3.1.A10 Abgleich der Datenbestände von Laptops
Wenn ein Synchronisationstool benutzt wird, SOLLTE sichergestellt sein, dass Synchronisationskonflikte aufgelöst werden können. Außerdem SOLLTEN die Benutzenden angewiesen werden, die Synchronisationsprotokolle zu prüfen. Es SOLLTE geregelt werden, wie Daten von Laptops in den Informationsverbund der Institution übernommen werden. Der Synchronisationsvorgang SOLLTE protokolliert werden.
SYS.3.1.A11 Sicherstellung der Energieversorgung von Laptops
Alle Benutzenden SOLLTEN darüber informiert werden, wie sie die Energieversorgung von Laptops im mobilen Einsatz optimal sicherstellen können. Vorhandene Ersatzakkus SOLLTEN in geeigneten Hüllen gelagert und transportiert werden.
SYS.3.1.A12 Verlustmeldung für Laptops
Wenn verlorene Laptops wieder auftauchen, SOLLTE untersucht werden, ob sie eventuell manipuliert wurden. Benutzende SOLLTEN umgehend melden, wenn ein Laptop verloren gegangen ist oder gestohlen wurde. Dafür SOLLTE es in der Institution klare Meldewege geben. Die darauf eingesetzte Software inklusive des Betriebssystems SOLLTE komplett neu installiert werden.
SYS.3.1.A13 Verschlüsselung von Laptops
In Laptops verbaute Datenträger wie Festplatten oder SSDs SOLLTEN verschlüsselt werden.
SYS.3.1.A14 Geeignete Aufbewahrung von Laptops
Abhängig vom Schutzbedarf der darauf gespeicherten Daten SOLLTEN Laptops auch in den Räumen der Institution außerhalb der Nutzungszeiten gegen Diebstahl gesichert bzw. verschlossen aufbewahrt werden. Alle Benutzenden SOLLTEN darauf hingewiesen werden, wie Laptops außerhalb der Institution sicher aufzubewahren sind.
SYS.3.1.A15 Geeignete Auswahl von Laptops
Anhand der Ergebnisse SOLLTEN alle infrage kommenden Geräte bewertet werden. Die Beschaffungsentscheidung SOLLTE mit dem IT-Betrieb abgestimmt sein. Bevor Laptops beschafft werden, SOLLTE eine Anforderungsanalyse durchgeführt werden.
SYS.3.1.A16 Zentrale Administration und Verwaltung von Laptops
Ein Tool zum zentralen Laptop-Management SOLLTE möglichst alle eingesetzten Betriebssysteme unterstützen. Es SOLLTE eine geeignete Regelung definiert werden, wie Laptops zentral zu administrieren und verwalten sind.
SYS.3.1.A17 Sammelaufbewahrung von Laptops
Der dafür genutzte Raum SOLLTE den Anforderungen aus dem Baustein INF.5 Raum sowie Schrank für technische Infrastruktur entsprechen. Nicht benutzte Laptops SOLLTEN in einem geeignet abgesicherten Raum vorgehalten werden.
SYS.3.1.A18 Einsatz von Diebstahl-Sicherungen
Bei mechanischen Sicherungen SOLLTE besonders auf ein gutes Schloss geachtet werden. Es SOLLTE geregelt werden, welche Diebstahlsicherungen für Laptops eingesetzt werden sollen.
SYS.3.1.A2 ENTFALLEN
Diese Anforderung ist entfallen.
SYS.3.1.A3 Einsatz von Personal Firewalls
Die Personal Firewall MUSS so konfiguriert werden, dass die Benutzenden nicht durch Warnmeldungen belästigt werden, die sie nicht interpretieren können. Die Filterregeln MÜSSEN regelmäßig getestet werden. Die Filterregeln der Firewall MÜSSEN so restriktiv wie möglich sein. Auf Laptops MUSS eine Personal Firewall aktiv sein, wenn sie außerhalb von Netzen der Institution eingesetzt werden.
SYS.3.1.A4 ENTFALLEN
Diese Anforderung ist entfallen.
SYS.3.1.A5 ENTFALLEN
Diese Anforderung ist entfallen.
SYS.3.1.A6 Sicherheitsrichtlinien für Laptops
Für Laptops SOLLTE eine Sicherheitsrichtlinie erstellt werden, die regelt, wie die Geräte benutzt werden dürfen. Die Benutzenden SOLLTEN hinsichtlich des Schutzbedarfs von Laptops und der dort gespeicherten Daten sensibilisiert werden. Auch SOLLTEN sie auf die spezifischen Gefährdungen bzw. die entsprechenden Anforderungen für die Nutzung aufmerksam gemacht werden. Sie SOLLTEN außerdem darüber informiert werden, welche Art von Informationen sie auf Laptops verarbeiten dürfen.
SYS.3.1.A7 Geregelte Übergabe und Rücknahme eines Laptops
Gemeinsam mit einem Laptop SOLLTE ein Merkblatt für den sicheren Umgang mit dem Gerät ausgehändigt werden. Wenn Laptops von verschiedenen Personen abwechselnd genutzt werden, SOLLTE geregelt werden, wie sie sicher übergeben werden können. Auch SOLLTE geregelt werden, wie sie wieder sicher zurückzunehmen sind. Vor der Weitergabe eines Laptops SOLLTEN eventuell vorhandene schützenswerte Daten sicher gelöscht werden. Falls der Laptop vor der Weitergabe nicht neu aufgesetzt wird, SOLLTE sichergestellt sein, dass sich auf dem IT-System und allen damit verbundenen Datenträgern keine Schadsoftware befindet.
SYS.3.1.A8 Sicherer Anschluss von Laptops an Datennetze
Es SOLLTE geregelt werden, wie Laptops sicher an eigene oder fremde Datennetze und an das Internet angeschlossen werden. Nur zugelassene Laptops SOLLTEN sich am internen Netz der Institution anmelden können.
SYS.3.1.A9 Sicherer Fernzugriff mit Laptops
Aus öffentlich zugänglichen Netzen DARF NUR über einen sicheren Kommunikationskanal auf das interne Netz der Institution zugegriffen werden.
SYS.3.2.1 Allgemeine Smartphones und Tablets
IT-System R2
SYS.3.2.1.A1 Festlegung einer Richtlinie für den Einsatz von Smartphones und Tablets
Bevor eine Institution Smartphones oder Tablets bereitstellt, betreibt oder einsetzt, MUSS eine generelle Richtlinie für die Nutzung und Kontrolle der Geräte festgelegt werden. Hierbei MUSS unter anderem festgelegt werden, wer mit Smartphones auf welche Informationen der Institution zugreifen darf.
SYS.3.2.1.A10 Richtlinie für Mitarbeitende zur Benutzung von mobilen Geräten(umbenannt von Richtlinie für Mitarbeiter zur Benutzung von mobilen Geräten in Vorjahres-Edition)
Eine verbindliche Richtlinie für Mitarbeitende zur Benutzung von mobilen Geräten SOLLTE erstellt werden. Außerdem SOLLTE verboten werden, Verwaltungssoftware zu deinstallieren, das Gerät zu rooten oder sicherheitsrelevante Konfigurationen zu ändern. Die Themen Aufbewahrung und Verlustmeldung SOLLTEN darin behandelt werden. Diese SOLLTE festlegen, wie mobile Geräte genutzt und gepflegt werden sollen.
SYS.3.2.1.A11 Verschlüsselung des Speichers
Schützenswerte Daten auf zusätzlich verwendeten Speichermedien, wie SD-Karten, SOLLTEN verschlüsselt werden. Der nichtflüchtige Speicher des mobilen Geräts SOLLTE verschlüsselt werden.
SYS.3.2.1.A12 Verwendung nicht personalisierter Gerätenamen
Der Gerätename SOLLTE keine Hinweise auf die Institution oder die Benutzenden enthalten.
SYS.3.2.1.A13 Regelungen zum Screensharing und Casting
Es SOLLTE entschieden werden, ob und wie Funktionen zur Übertragung von Bildschirminhalten, Audio oder Video (Screensharing oder Casting) eingesetzt werden sollen. Hierzu SOLLTE eine entsprechende Vereinbarung mit den Benutzenden getroffen werden. Die Funktionen SOLLTEN organisatorisch oder technisch geregelt werden.
SYS.3.2.1.A14 ENTFALLEN
Diese Anforderung ist entfallen.
SYS.3.2.1.A15 ENTFALLEN
Diese Anforderung ist entfallen.
SYS.3.2.1.A16 Deaktivierung nicht benutzter Kommunikationsschnittstellen
Kommunikationsschnittstellen SOLLTEN nur bei Bedarf und nur in geeigneten Umgebungen aktiviert werden. Wird ein MDM verwendet, SOLLTEN die Schnittstellen zentral über das MDM verwaltet werden.
SYS.3.2.1.A17 ENTFALLEN
Diese Anforderung ist entfallen.
SYS.3.2.1.A18 Verwendung biometrischer Authentisierung
Im Zweifelsfall oder bei einem schlechteren Schutz SOLLTEN biometrische Verfahren NICHT genutzt werden. Die Benutzenden SOLLTEN für die Fälschbarkeit von biometrischen Merkmalen sensibilisiert werden. Wenn biometrische Verfahren zur Authentisierung (z. B. ein Fingerabdrucksensor) genutzt werden sollen, SOLLTE geprüft werden, ob dadurch ein ähnlich hoher oder höherer Schutz im Vergleich zu einem Gerätepasswort erzielt werden kann.
SYS.3.2.1.A19 Verwendung von Sprachassistenten
Sprachassistenten SOLLTEN nur eingesetzt werden, wenn sie zwingend notwendig sind. Andernfalls SOLLTEN sie deaktiviert werden. Generell SOLLTE ein Sprachassistent nicht genutzt werden können, wenn das Gerät gesperrt ist.
SYS.3.2.1.A2 Festlegung einer Strategie für die Cloud-Nutzung
Die Benutzenden MÜSSEN regelmäßig bezüglich der Nutzung solcher Cloud-Dienste sensibilisiert werden. Die Institution MUSS im Zusammenhang mit Smartphones und Tablets eine generelle Strategie für die Cloud-Nutzung sowie für den Schutz und die Kontrolle der Informationen festlegen. Die erlaubte Nutzung von Cloud-Diensten für Informationen der Institution MUSS geklärt und festgelegt werden. Es MUSS festgelegt werden, ob und in welchem Umfang Cloud-Dienste bei privater Nutzung der Geräte erlaubt sind.
SYS.3.2.1.A20 ENTFALLEN
Diese Anforderung ist entfallen.
SYS.3.2.1.A21 ENTFALLEN
Diese Anforderung ist entfallen.
SYS.3.2.1.A22 Einbindung mobiler Geräte in die interne Infrastruktur via VPN
Statt durch Passwörter SOLLTEN sich die Geräte über Zertifikate gegenüber der internen Infrastruktur authentisieren. Mobile Endgeräte SOLLTEN nur mittels eines VPN in die Infrastruktur der Institution integriert werden. Hierzu SOLLTE ein geeignetes Verfahren ausgewählt und eingesetzt werden.
SYS.3.2.1.A23 ENTFALLEN
Diese Anforderung ist entfallen.
SYS.3.2.1.A24 ENTFALLEN
Diese Anforderung ist entfallen.
SYS.3.2.1.A25 Nutzung von getrennten Arbeitsumgebungen
Dienstliche Daten SOLLTEN ausschließlich in der dienstlichen Umgebung verbleiben. Wenn möglich, SOLLTEN dafür nur zertifizierte Produkte (z. B. nach Common Criteria) beschafft werden. Ist es den Mitarbeitenden erlaubt, dienstliche Geräte auch privat zu nutzen, SOLLTEN Lösungen für getrennte Arbeitsumgebungen auf dem Endgerät eingesetzt werden.
SYS.3.2.1.A26 Nutzung von PIM-Containern
Informationen auf den mobilen Endgeräten SOLLTEN gekapselt werden, zum Beispiel in einem PIM-Container. Zusätzlich SOLLTEN die Daten durch eine separate Authentisierung und eine vom Betriebssystem unabhängige Daten- und Transportverschlüsselung abgesichert werden.
SYS.3.2.1.A27 Einsatz besonders abgesicherter Endgeräte
Institutionen SOLLTEN abhängig vom Schutzbedarf besonders abgesicherte mobile Endgeräte einsetzen, die für die Verarbeitung von Informationen nach gesetzlichen Informationsschutz-Klassifizierungen zertifiziert sind.
SYS.3.2.1.A28 Verwendung der Filteroption für Webseiten
Ist der Proxy nur im internen Netz erreichbar, SOLLTEN die Endgeräte über eine VPN-Verbindung wahlweise permanent oder basierend auf den verwendeten Apps geeignet eingebunden werden. Sind die mobilen Endgeräte nicht in eine vorhandene Proxy- oder Reputations-Infrastruktur der Institution eingebunden, SOLLTEN für Webbrowser Filteroptionen auf Basis von Allowlists oder Blocklists oder Inhaltsfilter Dritter verwendet werden. Wird in der Institution bereits ein Reputationsdienst oder ein entsprechender Proxy-Server verwendet, SOLLTE dieser als globaler HTTP-Proxy für alle installierten Browser hinterlegt werden.
SYS.3.2.1.A29 Verwendung eines institutionsbezogenen APN
Alle Geräte, die diesen APN verwenden, SOLLTEN vom Mobilfunk-Provider einen mit der Institution abgestimmten IP-Adressbereich erhalten. Für die Authentisierung SOLLTE ein komplexes Passwort mit maximal 64 Stellen mit dem Mobilfunk-Provider vereinbart werden. Beim Einsatz eines institutionsbezogenen APN SOLLTE die Authentisierung auf Basis des Protokolls CHAP realisiert werden. Es SOLLTE geprüft werden, ob ein institutionsbezogener Zugangspunkt zum Mobilfunknetz (APN, Access Point Name) zur Eingrenzung des erlaubten Geräte-Pools verwendet werden kann.
SYS.3.2.1.A3 Sichere Grundkonfiguration für mobile Geräte
Nicht benötigte Funktionen SOLLTEN deaktiviert werden. Alle mobilen Endgeräte MÜSSEN so konfiguriert sein, dass sie das erforderliche Schutzniveau angemessen erfüllen. Dafür MUSS eine passende Grundkonfiguration der Sicherheitsmechanismen und -einstellungen zusammengestellt und dokumentiert werden. Die Freischaltung von Kommunikationsschnittstellen MUSS geregelt und auf das dienstlich notwendige Maß reduziert werden. Nicht benutzte Schnittstellen SOLLTEN deaktiviert werden.
SYS.3.2.1.A30 Einschränkung der App-Installation mittels Allowlist(umbenannt von Einschränkung der App-Installation mittels Whitelist in Vorjahres-Edition)
Wird ein MDM eingesetzt, SOLLTE es verhindern, dass andere Apps installiert werden oder alternativ unbefugt installierte Apps sofort wieder entfernen. Bei erhöhtem Schutzbedarf SOLLTEN auf den mobilen Endgeräten nur freigegebene und geprüfte Apps installiert werden dürfen.
SYS.3.2.1.A31 Regelung zu Mobile Payment
Es SOLLTE geregelt werden, ob Mobile Payment mit dienstlichen Smartphones und Tablets erlaubt wird.
SYS.3.2.1.A32 MDM Nutzung
Smartphones und Tablets SOLLTEN durch ein MDM-System verwaltet werden.
SYS.3.2.1.A33 Auswahl und Installation von Sicherheits-Apps
Falls möglich, SOLLTEN für das Endgerät geeignete Sicherheits-Apps ausgewählt werden. Die Sicherheits-Apps SOLLTEN automatisch, zum Beispiel durch ein MDM, installiert werden. Alle mobilen Endgeräte SOLLTEN vor Schadprogrammen geschützt werden.
SYS.3.2.1.A34 Konfiguration des verwendeten DNS-Servers
Bietet er es noch nicht an, SOLLTE es deaktiviert werden. Standard-Gateway-Einträge, wie beispielsweise DNS-Server der herstellenden oder entwickelnden Institutionen, SOLLTEN durch die des Providers oder durch eigene ersetzt werden. Sollte der Provider sogenanntes DNS-over-HTTPS (DoH) anbieten, SOLLTE dieses verwendet werden.
SYS.3.2.1.A35 Verwendung einer Firewall
Auf Smartphones und Tablets SOLLTE eine Firewall installiert und aktiviert sein.
SYS.3.2.1.A4 Verwendung eines Zugriffsschutzes
Bei jedem fehlgeschlagenen Versuch, das Gerät zu entsperren, SOLLTE sich die Wartezeit zu einem neuen Versuch verlängern. Nach mehreren fehlgeschlagenen Versuchen, den Bildschirm zu entsperren, SOLLTE sich das mobile Gerät in den Werkszustand zurücksetzen. Es SOLLTEN dabei die Daten oder die Verschlüsselungsschlüssel sicher vernichtet werden. Alle mobilen Geräte MÜSSEN nach einer angemessen kurzen Zeitspanne selbsttätig die Bildschirmsperre aktivieren. Diese Zeitspanne MUSS in Abhängigkeit zum angestrebten Schutzniveau stehen. Die Anzahl der Gerätesperrcodes, nach der sich ein Code wiederholen darf, SOLLTE festgelegt werden. Smartphones und Tablets MÜSSEN mit einem angemessen komplexen Gerätesperrcode geschützt werden. Es SOLLTE vermieden werden, dass die Benutzenden bei einem Passwortwechsel Kennworte nutzen, die erst vor Kurzem verwendet wurden. Die Bildschirmsperre MUSS genutzt werden. Die Anzeige von vertraulichen Informationen auf dem Sperrbildschirm MUSS deaktiviert sein.
SYS.3.2.1.A5 Updates von Betriebssystem und Apps
Apps SOLLTEN ebenfalls NICHT mehr eingesetzt werden, wenn sie nicht mehr durch die herstellende Institution unterstützt werden. Ältere Geräte, für die keine Aktualisierungen mehr bereitgestellt werden, MÜSSEN ausgesondert und durch von der herstellenden Institution unterstützte Geräte ersetzt werden. Bereits bei der Auswahl von zu beschaffenden mobilen Geräten MUSS die Institution darauf achten, dass die herstellende Institution angibt, über welchen geplanten Nutzungszeitraum Sicherheitsaktualisierungen für die Geräte bereitgestellt werden.