E&R Logo

Informationssicherheit bei der Entgelt und Rente AG (Teil 3)

Im dritten und letzten Teil der dreiteiligen Reihe gibt die Entgelt und Rente AG ihren Kunden weitere Einblicke in die Maßnahmen und Verfahren zur Informationssicherheit.

Wissenswertes

Informationssicherheit bei der Entgelt und Rente AG (Teil 3)

Im dritten und letzten Teil der dreiteiligen Reihe gibt die Entgelt und Rente AG ihren Kunden weitere Einblicke in die Maßnahmen und Verfahren zur Informationssicherheit. Mit folgenden weiteren Maßnahmen gewährleistet die Entgelt und Rente AG ihre Informationssicherheit:

 

E-Mail Sicherheit

Bei E&R werden alle Mitarbeitenden regelmäßig hinsichtlich des Risikos von Phishing-E-Mails sensibilisiert. Potenzielle Phishing E-Mails werden erkannt und deren Absender-Adressen mittels Eintrags in der Blacklist gesperrt.

Als weitere Maßnahme zur Absicherung der E-Mail-Kommunikation werden E-Mails externer Absender-Adressen auch als externe E-Mails gekennzeichnet.

Netzwerk-Sicherheit

Um Zugriffe aus öffentlichen Netzen und bestimmten geografischen Zonen zu verhindern, wurden Anforderungen zum Aufbau neuer Netzwerke bzw. an die Einrichtung bestehender Netzwerke definiert und umgesetzt.

Somit sind ausschließlich die Komponenten in einem getrennten Netzwerk von extern erreichbar, welche die IT Services der E&R darstellen (Webanwendungen, Schnittstellen etc.).

Alle Management Komponenten (wie Datenbankserver, Fileserver etc.) werden in davon getrennten Netzwerkzonen verwaltet.

Über sogenannte Black- bzw. Whitelist-Einstellungen kann von E&R gesteuert werden, welche IP-Adressen auf welche Anwendungen / Netzwerke (IT Services) bei E&R zugreifen können.

 

Multi-Faktor Authentifizierung (MFA) & Single Sign On (SSO)

Bei E&R wird eine Multi-Faktor Authentifizierung (MFA) eingesetzt.

Alle Hauptanwendungen werden durch ein 2-Faktoren-Authentifizierungs-Verfahren (2FA) für den Anwender nutzbar gemacht. Hierbei kann zwischen verschiedenen Optionen gewählt werden, über die der zweite Faktor bereitgestellt wird: E-Mail oder Mobile App. Bzgl. der Webanwendung HR direkt kann außerdem bei Bedarf für den jeweiligen Kunden das kundenspezifisch genutzte IAM System an die Applikation angebunden und zur Anmeldung via 2FA genutzt werden. Unterstützt wird dabei das Protokoll SAML2.0.

Verschlüsselung

Zur Verschlüsselung aller Daten kommen die folgenden Methoden zum Einsatz:

TLS: Mit dieser Methode werden alle Transportwege der Webanwendungen sowie sonstigen webbasierten Dienste (wie z.B. API Schnittstelle) verschlüsselt. Dafür muss auf dem jeweiligen Server ein gültiges SSL (bzw. TLS) Zertifikat hinterlegt sein. E&R sorgt laufend dafür, dass ein gültiges Zertifikat hinterlegt ist. Die Zertifikate werden jährlich ausgetauscht.

SSH: Mit dieser Methode werden alle Transportwege hinsichtlich Dateischnittstellen (SFTP) verschlüsselt. Dafür werden sogenannte Public und Private Keys generiert. Die Private Keys werden auf den jeweiligen Servern hinterlegt. Die Public Keys werden zwischen Sender und Empfänger ausgetauscht.

PGP: Mit dieser Methode werden alle Dateischnittstellen auf Dateiebene verschlüsselt. Dafür werden sogenannte Public und Private Keys generiert. Die Private Keys werden auf den jeweiligen Servern hinterlegt. Die Public Keys werden zwischen Sender und Empfänger ausgetauscht.

Somit werden die zwei Arten bzw. Tiefen der Verschlüsselung abgedeckt:

Transportweg (in motion): Als Transportweg wird die Verbindung (Schnittstelle) zwischen Sender und Empfänger abgedeckt.

Dateiebene (at rest): Als Dateiebene werden die Dateien bzw. Daten losgelöst von der Verbindung (Schnittstelle) ver- und entschlüsselt.

Das war der letzte Teil unserer Reihe Informationssicherheit bei der Entgelt & Rente AG. Wenn Sie weitere Informationen wünschen oder Rückfragen haben, melden Sie sich jederzeit gerne unter marketing@er-ag.de.

Den ersten Teil der Reihe lesen Sie gerne hier.

Den zweiten Teil der Reihe lesen Sie gerne hier.