Festplattenverschlüsselung
- Verlangen Sie auf allen verwalteten Geräten eine vollständige Festplattenverschlüsselung mit FileVault oder BitLocker, bevor sie als konform gelten.
- Hinterlegen Sie Wiederherstellungsschlüssel zentral und verhindern Sie, dass Schlüssel ausschließlich lokal gespeichert werden.
- Legen Sie für neu registrierte Geräte eine Karenzfrist fest, etwa 24 bis 72 Stunden, bevor fehlende Verschlüsselung den Zugriff vollständig blockiert.
- Alarmieren Sie bei Abweichungen im Verschlüsselungsstatus. Wenn ein zuvor konformes Gerät anschließend als unverschlüsselt gemeldet wird, ist dies ein prioritäres Signal.
Betriebssystemzustand
- Definieren Sie je Plattform eine mindestens unterstützte Betriebssystemversion, die sich am Lebenszyklus der Sicherheitsupdates des Herstellers statt an einer festen Versionsnummer orientiert.
- Blockieren Sie Geräte, deren Betriebssystem das Supportende des Herstellers überschritten hat.
- Verlangen Sie, dass Integritätskontrollen auf Systemebene wie Secure Boot und System Integrity Protection aktiviert bleiben.
- Legen Sie die maximal zulässige Zeit seit dem letzten erfolgreichen Check-in fest, bevor ein Gerät als veraltet behandelt wird.
Endpoint-Schutz
- Verlangen Sie einen aktiven und meldenden EDR- oder Antiviren-Agent als Voraussetzung für Netzwerk- oder SSO-Zugriff.
- Verhindern Sie die lokale Deaktivierung von Schutzagenten und alarmieren Sie sofort, wenn der Manipulationsschutz umgangen wird.
- Definieren Sie, welche Erkennungen eine automatische Isolierung auslösen und welche durch Analysten geprüft werden müssen.
- Legen Sie eine maximale Bestätigungszeit für Endpoint-Warnungen mit hohem Schweregrad fest.
Patch-Management
- Legen Sie Patch-SLAs nach Schweregrad fest: kritisch innerhalb weniger Tage, hoch innerhalb eines definierten Zeitfensters und routinemäßig nach einem festen Rhythmus.
- Trennen Sie den Rhythmus für Betriebssystem-Patches von dem für Anwendungen von Drittanbietern.
- Definieren Sie einen gestaffelten Rollout mit Pilot- und breitem Ring, um Regressionen vor der flottenweiten Bereitstellung zu erkennen.
- Messen Sie die Patch-Compliance als Anteil der Flotte, der das SLA einhält, statt lediglich den Status „Patch verfügbar“ zu erfassen.
Inventar und Erkennung
- Gleichen Sie das MDM-verwaltete Inventar regelmäßig mit den im Netzwerk oder Identitätsanbieter sichtbaren Geräten ab, um nicht verwaltete Endpoints zu erkennen.
- Verlangen Sie, dass jedes Gerät einem Verantwortlichen und einer Geräteklasse wie Unternehmen, BYOD oder Auftragnehmer zugeordnet ist.
- Kennzeichnen Sie Geräte, die einen definierten Zeitraum ohne MDM-Check-in überschreiten, zur automatischen Überprüfung der Außerbetriebnahme.
- Pflegen Sie für jedes von einer Kontrolle ausgenommene Gerät eine dokumentierte Ausnahmeliste statt stillschweigender Ausnahmen.
So nutzen Sie diese Ressource
Nutzen Sie diese Punkte, um Security, IT und Beschaffung abzustimmen, Lücken im aktuellen Zustand zu dokumentieren und vor einem Rollout messbare Akzeptanzkriterien festzulegen. Definieren Sie zunächst die Posture nach Geräteklasse und Risikostufe und ergänzen Sie anschließend Karenzfristen, Benachrichtigungsabläufe und automatische Behebung. Weisen Sie jeder Ausnahme vor Beginn des Rollouts einen Verantwortlichen und ein Ablaufdatum zu. Undokumentierte Ausnahmen sind die häufigste Posture-Lücke, die Gideon bei Flottenprüfungen feststellt.