G4S - R etningslinier for sikkerhed i S25W eb RETNINGSLINJER FOR SIKKERHED I S25Web For at minimere risici for cyber-angreb mod S25Web er det vigtigt at holde S25Web og netværkssikkerheden opdateret. Derfor skal det løbende valideres, om sikkerheden skal opdateres. Dette dokument omhandler, hvorledes man opretholder en god procedure for at holde sin sikkerhed opdateret. Gennemgang af nedenstående punkter, sikrer at ethvert punkt overvejes og der aktivt tages stilling. Hensigten med S25Web er, at løsningen udelukkende skal være tilgængelig for de medarbejdere, der har en direkte opgave at udføre på S25. S25Web skal IKKE anses for at være en almindelig hjemmeside, der er tilgængelig for offentligheden, men en webside udelukkende for udvalgte medarbejdere. Tilgangen til S25Web via netværk • Foranstaltninger i netværket skal foretages, således at S25web ikke er placeret i zoner, hvor sikkerheden er lav. Eksempelvis i en DMZ eller med direkte adgang fra internettet. S25Web server skal placeres i højsikker- heds-netværkszone. • Det skal løbende vurderes, om behovet for tilgængeligheden er ændret. Med websikkerhedsfunktionen IP-whitelists skal det løbende sikres, at IP-whitelist er ajourført. IP-intervaller, der ikke længere benyttes, skal fjernes fra listen. IP-Whitelisten har til formål at sikre, at der kun kan opnås adgang fra godkendte IP-adresser • Hvis der udskiftes netværksenheder, der har indflydelse på adgangen til S25Web, skal IP-whitelisten ligeledes opdateres. Adgangen fra internettet • Såfremt der er behov for adgang uden for virksomhedens netværk, anbefales det på det kraftigste at indgå en aftale med virksomhedens teleudbyder, for at få en sikker forbindelse for medarbejdernes firma telefoner og IT-udstyr. Desuden bør der abonneres på andre sikkerhedspakker som teleudbydere kan tilbyde. De fleste teleudbyders sikkerforbindelse-produkt er oftest forbundet med mulighed for fast IP-interval, som kan indgå i IP-whitelist. • Som minimum bør adgangen begrænses til nationale teleudbyder(e). Adgang for Windows-brugere adgang til S25Web-server • Kun sikkerhedsgodkendte Windows-brugerkonti med kendskab til og S25-kvalifikationer bør have adgang til S25Web servere. Anbefalinger for registrering af webenheder • Når en bruger skal have godkendt en webenhed, skal webenheden accepteres af en brugerprofil Sikkerhedschef eller Service. Kun accepterede webenheder vil opnå adgang. • Ved registrering af en webenhed, navngives webenheden med et uniknavn, som kun brugeren og sikkerhedschefen har aftalt og kender. Navnet bør aftales verbalt og ikke sendes elektronisk, således at der kan verificeres at det er den rette webenhed der accepteres.Webenhedens navngivning kan efterfølgende ændres til mere sigende navn på en S25klient.