Nachlese zum Online - Vortrag von Dr. Stephen Fedtke vom 7. März 2024:
Im Frühjahr 2023 wurden aus einem Microsoft-Labor in den USA ein Master-Key (Azure Cloud Signing Key verwendet für die Signierung von Privatkundenkonten) aus einem Crash-Dump gestohlen. Chinesische Hacker haben damit ab Mai 2023 mit diesem Key 25 Organisationen angegriffen, u.a. die amerikanische Regierung. Dort haben sie ca. 60.000 Mails aus zehn Accounts sowie umfangreiche Mail-Adress-Listen der US-Behörden erbeutet.
Dr. Stephen Fedtke, CTO von ENTERPRISE-IT-SECURITY.COM, ein auf IT-Sicherheit und Compliance-Lösungen spezialisierter Dienstleistungsbereich des Schweizer Unternehmens Dr. Stephen Fedtke System Software, berichtete in seinem spannenden Vortrag über diesen Fall und die notwendigen Konsequenzen für Revisor:innen und Sicherheitsexpert:innen.
Es ist ein grundsätzliches IT-Sicherheits- und Datenschutz-Risiko, wenn Kunden ihre IT-Diagnose-Daten im Rahmen des Problem-Managements zum Support eines Herstellers hochladen. Denn die meisten Dumps, Logs und Traces enthalten Schlüssel, Passwörter, User-IDs, IP-Adressen, Bank- und Firmengeheimnisse oder auch personenbezogene Daten.
Daraus ergibt sich für die Revision ein neues Prüfungsthema. Herr Fedtke zeigte relevante Sicherheitsrisiken beim sorglosen Umgang mit IT-Diagnosedaten auf und welche Sicherheitsmaßnahmen vor Weitergabe der Daten an Serviceprovider zu treffen sind. Zum Abschluss präsentierte Herr Fedtke den sehr interessierten Zuhörer:innen einen detailierten Prüfkatalog mit zutreffenden Fragen.
Die Präsentation und das dazugehörige Video mit "Bild und Ton" von Herrn Dr. Fedtke steht für unsere Mitglieder nach Login im Mitgliederbereich zur Ansicht und/oder Download zur Verfügung.