Wie ein Anbieter von kritischen Infrastrukturdiensten privilegierten Zugriff schützt

Die Downer Group bietet verschiedene Dienste an, die für den Aufbau, die Verwaltung und die Wartung von Anlagen, Infrastruktur und Einrichtungen in Australien und Neuseeland unerlässlich sind. Das Unternehmen bedient Transport-, Telekommunikations-, Energie- und Versorgungsunternehmen. Zu den prominenten Projekten zählen der Bau und die Wartung einer Zugflotte, die die Olympischen Sommerspiele 2032 in Brisbane unterstützen wird. Sie bedienen auch prominente Einrichtungen wie Krankenhäuser, Verteidigungsbasen und Gefängnisse.

Über die Hälfte der Belegschaft von Downer sind Mitarbeitende an mehr als 700 Standorten, einschließlich abgelegener Gebiete. Die Anbieter, die sie unterstützen, sind über mehrere Länder verteilt, und viele dieser Anbieter sind privilegierte Benutzer. Sie haben Zugriff auf das, was Aidan Turner, der Identity and Access Management Manager von Downer, als „die Kronjuwelen“ beschreibt.

„Downer ist wie jedes andere Unternehmen ständig Angriffen ausgesetzt, und zunehmend melden sich Angreifer an und brechen nicht ein“, erklärt Aidan. „Immer wenn diese privilegierten Anmeldedaten von Benutzern offengelegt werden, gefährdet dies den Ruf unseres Unternehmens.“

Eine noch größere Sorge ist, dass ein Angriff auf Downer verheerende Folgen haben könnte, wenn Kundenbetriebe unterbrochen werden oder Daten verloren gehen.

„Wenn wir unsere Systeme nicht richtig schützen und ein Angreifer Zugriff auf diese Anmeldedaten erhält, könnte er möglicherweise Systeme infiltrieren oder stören, die wesentliche Dienste unterstützen“, sagt Aidan.

Die Folgen einer Störung könnten erhebliche finanzielle Kosten verursachen. Die Vereinbarungen von Downer mit einigen Kunden beinhalten erhebliche Sanktionen für Ausfallzeiten, wie z. B. sechsstellige Strafen für alle 15 Minuten Unterbrechung.

„Falls etwas gefährdet würde und Anmeldedaten ein System zum Erliegen bringen könnten, was durchaus möglich ist, ist es von größter Bedeutung, dies schnell einzudämmen und die finanziellen Auswirkungen zu verringern“, teilt Aidan mit.

Fusionen und Übernahmen in den letzten Jahren haben neue Unternehmen unter das Downer-Dach gebracht. Jede von ihnen kam mit separaten technischen Standards und Verfahren. Das Ergebnis war eine komplexe Infrastruktur mit mehreren Active Directory (AD)-Domänen. Technologiedienstleistungen, die an verschiedene Anbieter ausgelagert wurden, sorgten für zusätzliche Herausforderungen.

„Aufgrund unserer großen Mischung aus Lieferanten mit unterschiedlichen internen Prozessen gab es viel Schatten-IT und Fehlverwaltung von privilegierten Identitäten“, sagt Aidan.

Downer benötigte eine Lösung für das Management von Anmeldedaten-Risiken, die Folgendes bieten würde:

Einige der privilegierten Benutzer von Downer haben ihre Passwörter in nicht unterstützten Passwortmanagern gespeichert. Andere verwendeten Tabellen.

„Es gab zu viele Fälle, in denen Personen ihre Anmeldedaten missbräuchlich verwendeten“, sagt Aidan. „Wir mussten Stellung beziehen und den Standard neu entwickeln, und wir haben Dashlane ausgewählt und implementiert.“

Er sagt, dass sie sich für Dashlane entschieden haben, weil die Lösung für ihren Anwendungsfall gut positioniert und „extrem wettbewerbsfähig“ war, was einen erheblichen Vorteil darstellt, wenn IT-Budgets stark beansprucht werden. Weitere differenzierende Funktionen waren das einfache Onboarding von Dashlane, die einfache Verwaltung und die SSO-Integration.

Das erste Ziel war es, den Passwort-Manager für das Sicherheitsteam zu implementieren. Das Team erkannte jedoch eine größere Chance, als es mehr Benutzer hinzufügte und mehr Personen das Tool verwendeten. Sie beschlossen, Dashlane als zugelassene Lösung für eine sichere Verwaltung von Anmeldedaten und eine proaktive Erkennung von Risiken bereitzustellen, beginnend mit kritischen Anmeldedaten.

Mit Dashlane profitiert die Downer Group von:

Aidan stellt auch fest, dass das Support-Team von Dashlane sehr hilfreich ist und schnell reagiert.

Admins erhalten umsetzbare Erkenntnisse über die Risikoanalyse von Anmeldedaten, einschließlich der Anzahl der Mitarbeitenden, die gefährdete Anmeldedaten eingegeben haben, während sie nicht angemeldet waren, und über die im Laufe der Zeit erkannten Risiken.

Als vielbeschäftigter Sicherheitsexperte schätzt Aidan, dass er die Dashlane-Plattform einfach und effektiv verwenden und verwalten kann.

„Und ich weiß mit Sicherheit, dass es andere Plattformen gibt, auf denen dies nicht der Fall ist“, sagt er.

Sein Team stellt die Lösung in mehreren IT-Teams von Unternehmenseinheiten bereit. Er stellt fest, dass das nahtlose Benutzer-Onboarding und die SSO-Integration von Dashlane für Admins besonders wertvoll sind.

„Wenn meine Teams Dashlane verwalten, benötigen wir keine Armee von Mitarbeitenden, die das System im Backend verwalten; wir können es relativ einfach umsetzen“, fügt Aidan hinzu.

Die Akzeptanzrate in den zentralisierten Teams von Downer, die Teil der ersten Einführung von Dashlane waren, ist hoch. Dies spricht für die Einfachheit und Benutzerfreundlichkeit von Dashlane für Mitarbeitende.

Darüber hinaus erklärt er: „Dark-Web-Insights und die Überwachung gefährdeter Passwörter sind ausgezeichnete Funktionen, die mein Team nutzt, um Anmeldedaten für unsere kritischen Anwendungen weiter zu schützen.“

Aidan gibt an, dass die Integration von Dark-Web-Überwachung und Insights in Dashlane ein großer Vorteil ist, da das Unternehmen damit die Sicherheit proaktiv stärken kann.

„Wir möchten nicht, dass gefährdete Anmeldedaten im Tresor verbleiben. Sobald wir sehen, dass mit einer bestimmten E-Mail-Adresse verknüpfte Passwörter gefährdet oder schwach sind, möchten wir Benutzer proaktiv benachrichtigen, damit sie Maßnahmen ergreifen, um ihr Konto zu sichern“, sagt er.

„Dark-Web-Überwachung direkt im Tool zu haben, ist sehr nützlich, und wir können sie auch in unseren Plan zur Sicherheitsbewusstseinsbildung einbinden.“

Mit stark verbesserten Passwortintegritätsbewertungen können Aidan und sein Team dem Verwaltungsrat selbstbewusst berichten, dass Downer unbefugten Zugriff auf internationale Systeme besser verhindern und Risiken mindern kann.

„Unsere wichtigsten Risiken waren die privilegierten Passwörter, die die Schlüssel zum Königreich preisgeben könnten“, teilt Aidan mit. „Mit Dashlane können wir dieses wesentliche Risiko reduzieren und dem Vorstand besser darüber berichten, dass wir die Anzahl der Sicherheitsverletzungen im Zusammenhang mit Anmeldedaten verringern.“

Basierend auf dem ersten Erfolg von Dashlane erwägt Downer eine Einführung für alle regulären Geschäftsbenutzer im gesamten Unternehmen.

„In Zukunft möchten wir allen Personen einen Tresor ermöglichen“, sagt Aidan.