Administratorsicheres Installationsverzeichnis

[Reinhard Kern]

Zitat von messie:

Zitat von mkinzler:

Als normaler Benutzer soll man ja auch nichts instalieren.

Das wird allgemein so gesehen dient aber nur der Macht- und Postensicherung der EDV-Abteilungen. Ein PlugIn, ein Viewer oder ein kleines Berechnungstool sollte igentlich von jedem installiert werden können. Es sei denn, es handelt sich um ein Terminal was ausschließlich für SAP etc. da ist.
Grüße, Messie

Hallo,

nach dem Motto Anarchie ist machbar Herr Nachbar - in der Praxis völlig untauglich und ein Grund zur Entlassung. Eine typische Folge aus der Praxis: ein Rechner meldet einen Fehler, der User lädt sich irgendein oskures Tool aus dem Netz und "repariert" die Platte, die damit aufgehört hat, noch sinnvolle Daten herauszurücken - da ist es dann schon egal, wenn auch noch ein Virus dabei war.

Gruss Reinhard

[Sharky]

Zitat von messie:

...Das wird allgemein so gesehen dient aber nur der Macht- und Postensicherung der EDV-Abteilungen. ...

Hai Messie,

sei mir nicht böse. Aber hast Du überhaupt eine Ahnung von was Du da sprichst?

Es mag sein das es in kleinen Unternehmen einen externen "Administrator" gibt der versucht als "grosser Gott" zu erscheinen.
In einem normalem Unternehmen ist dies aber sicher nicht der Fall.

Informiere dich bitte einmal darüber welche Verantwortund ein EDV- / IT-Manager zu tragen hatt.

Zum beispiel bin ich für die Datensicherung verantwortlich. Die Verantwortung kann ich nicht einfach an einen Anwender übertragen. Es gibt Urteile von Gerichten die den IT Verantwortlichen zu Schadensersatzvorderungen gegenüber dem Arbeitgeber verurteilt haben wil dieser seiner Pflicht nicht nachgekommen ist..

Die Begründung ist: "Als EDV-Leiter / Administrator haben Sie eine Position inne in denen ihnen ihr Arbeitgeber vertraut. Wenn sie nicht in der Lage sind diesen über mögliche Risiken zu informieren ist das IHR fehler. Ihr Arbeitgeber kann sich zu recht daruf verlassen das sie ihn über mögliche Fehler / Probleme informieren".

Also. Bitte komme mir nicht mit "Macht- und Postensicherung". Solche Aussagen zeigen mir persönlich nur das Du nicht weisst wie die aktuelle Rechtslage ist und das Du denkst alle anderen wissen nicht wie sie ihren Job zu machen haben.

So, sorry. Aber das ich meine ganz persönliche Meinung!

[Alter Mann]

Hallo,

um es kurz zu machen, es gibt so etwas wie ein IT-Grundschutz.

Das sollten auch Entwickler mal lesen.

Gruss

[Phoenix]

Jetzt aber mal bitte wieder back to topic.

Das einfachste wäre, einfach nur einen Ordner zu nehmen und den per .zip auszuliefern. Dann kann der Benutzer ihn dahin packen wo er ihn hin haben will und einfach ausführen.

Ansonsten stimmt schon was gesagt wurde:
Wenn das Dein Kunde kannst Du sagen: Ich gebe Euch die Software so wie sie ist, und wenn nur der Admin das installieren darf dann soll halt er es installieren oder lassen. Es ist ja nicht die Pflicht des Kunden die von Dir gelieferte Software auch zu installieren - solange er sie zahlt sollte Dir das eigentlich auch egal sein

[kalmi01]

Zitat:

Das wird allgemein so gesehen dient aber nur der Macht- und Postensicherung der EDV-Abteilungen. Ein PlugIn, ein Viewer oder ein kleines Berechnungstool sollte igentlich von jedem installiert werden können.

Wenn ich soetwas lese, stellen sich mir alle Haare auf.
Wenn man Tage-/Wochenlang nach einem temporär auftretenden Problem gesucht hat, um dann feststellen zu müssen: der ach so harmlose Bildschirmschoner war Verursacher.
Spätestens dann wird man Freund von restriktiven BS-Installationen.

Entweder kommt eine Software ohne installation, Registry, usw. aus, oder der Systemadmin hat das sagen.
Heute hält sich jeder für einen EDV-Profi, der ohne Anleitung einen PC aus der Kiste holen und anschliessen kann.

IT ist aber ein bischen mehr und wesentlich komplexer.

Wenn bei mir daheim mal ein Prog absemmelt, was solls ?

Passiert's an der Arbeit, kann das schon Grund sein, mich ins Schwitzen zu bringen.

[Daniel]

Moin Messie,

ich denke, dass Du die Suche nach einem geeigenten Verzeichnis abkürzen kannst, wenn Du Deinen Kunden beim Administrator nachfragen lässt, welche Verzeichnis für Fremdanwendungen in Frage kommen.

Ich selber habe ich mit einem Großkunden zutun, der die Laptops seiner Mitarbeiter äußerst restriktiv konfiguriert hat. Mit der Sicherung der Macht hat das wenig zutun, vielmehr mit der Tatsache, dass die IT-Abteilung auch für die IT-Sicherheit zuständig ist und für die Integrität der Systeme.


Spreche es mit dem Kunden ab oder lasse Dir selbst einen Kontakt mit dem Admin herstellen - diese Sicherheitskonzepte werden ja nicht ausgewürfelt und es wird klar beschrieben sein, wo Anwendungen wie zum Beispiel Deine installiert werden können.

Eines ist aber klar: Sofern der Admin sein Handwerk versteht, wirst Du ohne seine implizite oder explizite Genehmigung Deine Anwendung nicht auf den PC bringen. Entweder gibt es bereits Verzeichnisse, die für Drittanwendungen vorgesehen sind oder er muss Deine Anwendung separat berücksichtigen. Letzteres war bei uns der Fall - unsere Software-Produkte sind eben in die Software-Landschaft des Kunden aufgenommen worden.

[messie]

Hallo,

ich wollte nochmal kurz berichten wie es ausgegangen ist: der Admin wurde zur Installation des Programms bestellt und hat das damit freigegeben wie Daniel es vorgeschlagen hatte. Den Vorschlag, Verzeichnisse für Software Dritter freizugeben werde ich mir merken, das ist eine gute Variante.
Auch wenn sich einige über meine Vorbehalte gegenüber EDV-Göttern geärgert haben: Es gibt, wie man an Daniels Vorschlägen sieht, durchaus die Möglichkeit das Thema Sicherheit vernünftig zu lösen. Zudem kann man sich mit etwas Arbeit Benutzergruppen mit unterschiedlichen Rechten bauen. Den Hut dafür hat sowieso nicht mehr nur der Admin auf, wenn man die IT-Sicherheitsrichtlinie nach ISO 17799 umsetzt. Wer die noch nicht eingeführt hat ist selbst schuld wenn er auf dem Ärger sitzenbleibt. Wenn das Firmennetz aber so eingerichtet ist, daß der Produktionsleiter genausowenig Rechte und Möglichkeiten hat wie ein Lagerarbeiter dann ist das aus meiner Sicht schlicht Arbeitsverweigerung.
Mein Beispiel was ich zu Beginn des Threads hatte: 3MB Postfach für alle, Anhänge wie zip etc. generell verboten, Mails aus dem Ausland werden automatisch geblockt (jetzt nicht mehr) undsoweiter. Der Entwicklungschef dieser weltweit arbeitenden Firma (1000 MA) ist ein international anerkannter Wissenschaftler, darf sich aber keine Berechnungstools und Excel-Plugins installieren. Der Marketingchef schickt seine Powerpoint-Präsentationen als CD zu den ausländischen Niederlassungen. So etwas ist ein schlechtes Konzept.

Für alle, die als Admins die IT-Sicherheitsrichtlinie noch nicht umgesetzt haben, hier ein Link: IT-Risikomanager . Laßt Euch nicht vom Werbegedröhn irritieren, die Site ist sehr marketinglastig.

Grüße, Messie

[Christian Seehase]

Moin Messie,

Zitat von messie:

Wenn das Firmennetz aber so eingerichtet ist, daß der Produktionsleiter genausowenig Rechte und Möglichkeiten hat wie ein Lagerarbeiter

Zitat von messie:

Der Entwicklungschef dieser weltweit arbeitenden Firma (1000 MA) ist ein international anerkannter Wissenschaftler, darf sich aber keine Berechnungstools und Excel-Plugins installieren.

Ja und? Was hat die Position die jemand dort einnimmt denn damit zu tun, was jemand über EDV, speziell deren Risiken, weiss?

Zitat von messie:

Der Marketingchef schickt seine Powerpoint-Präsentationen als CD zu den ausländischen Niederlassungen. So etwas ist ein schlechtes Konzept.

dass ein 3MB Attachment etwas arg mager ist, darüber brauchen wir nicht zu diskutieren, besonders wenn man weiss wie die 3MB sich errechnen. Aber ich habe auch schon erlebt, dass PowerPoint-Präsentationen mit schöner Regelmässigkeit im 3-stelligen MB-Bereich liegen, und so etwas kann man ja auch schlecht zulassen.
Warum müssen die eigentlich per Mail verschickt werden?
Zu den eigenen Niederlassungen würde ich da eher eine Netzwerkverbindung erwarten, so dass man die Daten in einem entsprechenden Verzeichnis ablegen kann.

[messie]

Zitat von Christian Seehase:

Ja und? Was hat die Position die jemand dort einnimmt denn damit zu tun, was jemand über EDV, speziell deren Risiken, weiss?

Hallo Christian,

die Position hat ganz viel damit zu tun welche Möglichkeiten demjenigen zur Verfügung stehen müssen, deshalb das Beispiel mit dem Lagerarbeiter. Primäre Aufgabe einer Firma ist es, Geld zu verdienen, die EDV ist ein Hilfsmittel dabei. Also müssen jemandem, der viel mit Kunden, Lieferanten, externen Entwicklern und Produzenten etc. zu tun hat auch die Möglichkeiten zur Verfügung gestellt werden. Das benötigte Wissen um die Sicherheit muß er sich aneignen, dazu gibt es Audits.
Die besagte Firma stellt Isolationsmaterial her. Da schickt z.B. ein Architekturbüro eine Projektskizze per Mail, damit ein vorläufiges Angebot erstellt wird (Viele Zeichnungen, Pläne, Fotos). Diese Mail muß im Vertrieb ankommen egal ob sie 3, 5 oder 50 MB groß ist. Wenn der Interessierte seine Mail zurückbekommt, wird er sich nämlich beim nächsten Anbieter melden.

Grüße, Messie

Edit: vielleicht sollte das Thema mal Richtung Klatsch und Tratsch verschoben werden....

[QuickAndDirty]

Also zunächstmal ist es OK , wenn der Admin gewisse hindernisse
gegen Missbrauch aufbaut. Aber die Größe von E-mail Anhängen festzulegen
halte ich schon mal für Sabotage. Das nur der Admin Selbst Installationen
vornehmen kann ist dann OK wenn dieser Admin auch immer zurverfügung steht
wenn jemand etwas installieren muss. Sprich der Admin hat Ersatz bei
Krankheit und irgend ein Admin ist immer abrufbar wenn ein Notfall vorliegt.

Beim Thema Sicherheit gibts nicht selten Admins die es soweit treiben das ein
Arbeiten fast nicht mehr möglich ist. Das sind dann auch die Admins die gerade
wenn ein Notfall auftritt im Urlaub/Krank/auf Schulung sind.
Ich Berufe mich da auf Erfahrungen mit vielen Kunden die zwar Viren aus dem Internet
laden können aber denen eine Fernwartung nicht möglich ist....(zum Glück gibt es NV der kommt durch alles durch!!!)