Security Guidelines

Systemübersicht

Das HOOC-Gateway (HOOC Connect) baut in einer Anlage (entfernte Netzwerkinfrastruktur) eine verschlüsselte VPN-Verbindung zur HOOC Cloud auf. In der HOOC Cloud entsteht für jede Anlage ein eigenes, virtuelles und vollständig isoliertes Netzwerk.

Auf die gleiche Art und Weise baut die HOOC-App mittels Secure Remote Access eine verschlüsselte VPN-Verbindung in die HOOC Cloud zum entsprechenden virtuellen Netzwerk auf. Nach Aufbau der Verbindungen entsteht ein „virtuelles Netzwerkkabel“ (Ethernet, Layer-2) zwischen der Anlage und der HOOC-App. Alle Protokolle, die im Netzwerk der Anlage bereitgestellt werden, können bei Verwendung der HOOC-Lösung entsprechend genutzt werden. Weitere bereitgestellte Anwendungen in der HOOC Cloud wie z.B. Secure Proxy basieren auf demselben Prinzip.

Sicherheitsparameter

In diesem Abschnitt werden die verfügbaren Funktionen und Schnittstellen beschrieben. Insbesondere sind hier alle Sicherheitsparameter dokumentiert, die unter der Kontrolle des Benutzers stehen. Dabei werden sichere Werte und Empfehlungen angegeben.

Konformer Betrieb der HOOC-Gateways

Die mit den HOOC-Gateways ausgelieferte Standardkonfiguration garantiert eine schnelle und reibungslose Inbetriebnahme. Einige Parameter der Standardkonfiguration sind jedoch nicht für den Betrieb gemäss IEC-Norm 62443-4-2 geeignet. Um die HOOC-Gateways normenkonform zu betreiben, sind nach der Inbetriebnahme die folgenden Vorkehrungen zwingend notwendig:

• Die HOOC-Gateways müssen mit der aktuellsten Firmware ausgestattet sein. Diese ist jeweils im HOOC ManagementPortal verfügbar. Stellen Sie in diesem Sinne sicher, dass alle Firmware-Dateien signiert und geprüft sind, bevor sie installiert werden.
• Im Menü Sicherheit des HOOC-Gateways sind die folgenden Anpassungen vorzunehmen:
  • Deaktivieren Sie die Option Freigabe Reset-Taste. Die Funktionen der Reset-Taste (Konfigurationsmodus aktivieren, Gerät neu starten oder auf Werkseinstellungen zurücksetzen) stehen dadurch am Gerät nicht mehr zur Verfügung. Die Aktionen sind nun ausschliesslich aus der HOOC Cloud heraus ausführbar.
  • Deaktivieren Sie die Option Lokale Konfiguration. Das HOOC-Gateway kann dadurch lokal nicht mehr konfiguriert werden. Die Konfiguration ist nun lediglich über die HOOC Cloud möglich.
  • Deaktivieren Sie die Option Freigabe WiFi-Taste. Das Ein- und Ausschalten des WiFi Access Points am Gerät ist dadurch nicht mehr möglich. Die Aktion steht nun ausschliesslich aus der HOOC Cloud heraus zur Verfügung.
• Im Menü Internet+ -> Routing müssen im Abschnitt Internetzugang aus LAN sämtliche Optionen deaktiviert werden.
• Der WiFi-Access-Point des HOOC-Gateways muss im Menü Netzwerk+ -> WiFi Access Point unter der Option WiFi Access Point aktiviert deaktiviert werden.
• Die im Defense-in-Depth-Konzept aufgeführten Massnahmen der Ebenen Perimeter Security und Network Security müssen von der Installationsumgebung zwingend bereitgestellt sein.

Verfügbare Funktionen und Schnittstellen

Das HOOC-System stellt mehrere sicherheitsrelevante Funktionen und Schnittstellen bereit, die unter der Kontrolle des Benutzers oder Integrators stehen. Diese ermöglichen die sichere Konfiguration, Überwachung und Wartung der Lösung.

Passwörter

Standardkennwörter

Keine der in der HOOC-Lösung verwendeten Komponenten verfügt über Standardkennwörter. Jeder Benutzer legt beim Erstellen eines Kontos ein eigenes Passwort fest.

Mindestlänge und -komplexität

Vor der Annahme von Passwörtern wird deren Stärke mit einer Reihe von Positiv- und Negativkriterien bewertet. Die Bewertung liefert einen Wert zwischen 0 und 100. Ein Passwort muss eine Stärke von mindestens 80 aufweisen.

Um eine starke Bewertung zu erhalten, muss Ihr Passwort folgende Kriterien aufweisen:

• Es muss eine Mindestlänge von 8 Zeichen aufweisen.
• Es muss eine Mischung aus Gross- und Kleinbuchstaben, Zahlen und Sonderzeichen enthalten.
• Es darf keine einfachen Muster wie abc, 123, !!! oder Wiederholungen wie aaa aufweisen.
• Es muss auch in der Mitte Zahlen und Sonderzeichen enthalten.
• Es darf nicht nur aus Buchstaben oder Zahlen bestehen.

Ablaufzeit

Passwörter weisen keine begrenzte Gültigkeitsdauer auf. Es wird jedoch empfohlen, das Passwort regelmässig zu ändern, wenn Sie keine Zweifaktor-Authentifizierung (2FA) verwenden oder wenn ein Verdacht auf Kompromittierung besteht.

Zugriffskontrolle

Maximale Login-Versuche

Bitte beachten Sie, dass nach 15 fehlgeschlagenen Anmeldeversuchen innert zwei Minuten Ihr Konto temporär für eine Stunde gesperrt wird.

Rollenbasierte Zugriffskontrolle (RBAC/ACL)

Berechtigungen werden strikt nach Kontotyp und definierter Rolle vergeben (Reseller, Kunde, Supporter, Anlagenbenutzer). Benutzer erhalten nur die Rechte, die sie zur Erfüllung ihrer Aufgaben benötigen (least privilege principle).

Netzwerksicherheit

Erlaubte Ports

Das HOOC-Gateway verwendet ausschliesslich verschlüsselte Verbindungen (HTTPS und VPN). Für den Betrieb des HOOC-Gateways werden keine unverschlüsselten Ports, Protokolle oder externe Dienste benötigt, die nicht von der HOOC Cloud bereitgestellt werden.

Firewall-Empfehlungen

Der ein- und ausgehende Netzwerkverkehr sollte gemäss den dokumentierten Mindestanforderungen beschränkt werden.

Verschlüsselung

Transportverschlüsselung

Die Kommunikation zwischen HOOC-Gateway, HOOC Cloud und HOOC-Apps erfolgt ausschliesslich über TLS 1.2 oder höher mit modernen Cipher Suites.

Datenintegrität

Digitale Signaturen stellen sicher, dass Firmware und Konfigurationsdateien unverändert und authentisch sind.

Schlüsselschutz

Geräteschlüssel werden bei der Produktion einmalig generiert, sicher in der Hardware gespeichert und sind für Dritte nicht zugänglich.

Sicherheitsereignisse

Das HOOC-Gateway protokolliert sicherheitsrelevante Ereignisse zur Nachvollziehbarkeit und Fehleranalyse. Die Protokollierung erfolgt gemäss Datenschutzvorgaben und ist auf sicherheitskritische Vorgänge beschränkt. Dies umfasst:

• Änderungen der Konfiguration
• Beginn und Ende von VPN-Sitzungen

Die Protokolle können über das HOOC ManagementPortal eingesehen und ausgewertet werden. Integratoren sollten Logdaten regelmässig prüfen und sicher archivieren.

Für den Zugriff auf vollständige Logdateien kann Kontakt mit dem HOOC Support unter info@hooc.ch aufgenommen werden. Für die Ausgabe der Logdateien werden die Seriennummer, die Anlagennummer sowie die E-Mail-Adresse des anfragenden Accounts benötigt.

Bewährte Verfahren

Zur Gewährleistung der IT-Sicherheit und Betriebssicherheit der HOOC-Lösung sind folgende Best Practices empfohlen:

Passwortmanagement

• Verwenden Sie für jedes Konto ein eindeutiges Passwort, das nicht für andere Dienste genutzt wird.
• Ändern Sie Passwörter nach Ausscheiden von Mitarbeitenden oder bei Verdacht auf Missbrauch.
• Speichern Sie Passwörter niemals im Klartext oder in ungesicherten Dateien.
• Nutzen Sie, falls möglich, einen Passwort-Manager mit sicherer Verschlüsselung.

Zwei-Faktor-Authentifizierung (2FA)

• Aktivieren Sie für alle Benutzer mit administrativen Rechten die 2FA.
• 2FA sollte bei allen Zugriffen über das HOOC ManagementPortal erzwungen werden.

Systempflege

• Installieren Sie Firmware- und Sicherheitsupdates regelmässig.
• Nutzen Sie ausschliesslich offizielle HOOC-Quellen für Updates.
• Führen Sie nach Updates Funktionsprüfungen durch.

Netzwerk- und Zugriffssicherheit

• Platzieren Sie das Gateway in einem separaten, geschützten Netzwerksegment (z.B. DMZ).
• Beschränken Sie den Netzwerkzugang auf autorisierte Geräte und bekannte IP-Adressen.
• Deaktivieren Sie ungenutzte Dienste und Schnittstellen.
• Nutzen Sie Firewalls, Intrusion-Detection-Systeme (IDS) und Monitoring-Tools, sofern vorhanden.

Backup und Wiederherstellung

• Erstellen Sie regelmässig Backups der Gateway-Konfiguration und speichern Sie diese sicher.
• Testen Sie Wiederherstellungsverfahren periodisch.
• Bewahren Sie Backups verschlüsselt auf.

Defense-in-Depth

Defense in Depth bezeichnet ein Sicherheitskonzept, bei dem mehrere, voneinander unabhängige Schutzmassnahmen eingesetzt werden, um ein System abzusichern. Ziel ist es, Angriffe auch dann abzuwehren, wenn eine einzelne Schutzmassnahme versagt. Statt sich nur auf eine einzelne Sicherheitsbarriere zu verlassen (z. B. ein Passwort oder eine Firewall), werden verschiedene Ebenen kombiniert:

• Perimeter Security umfasst Abwehrsysteme um Netzwerke bzw. um Komponenten herum, welche das Eindringen von externen Bedrohungen verhindern.
• Network Security umfasst den Schutz von Netzwerkinfrastruktur und von darin transportierten Daten.
• Application umfasst alle Mittel, Massnahmen, Technologien oder Konzepte, die dem Schutz von Anwendungen dienen.
• Host Security umfasst Vorkehrungen, Mittel und Massnahmen zum Schutz der Systeme, auf denen Anwendungen und Dienste ausgeführt werden.
• Data Security bezeichnet den Schutz von Daten vor unerlaubtem Zugriff, Manipulation und Verlust.

Jede Ebene trägt dazu bei, Risiken zu minimieren und die Widerstandsfähigkeit des Systems zu erhöhen.

Perimeter Security

Die folgenden Massnahmen, Technologien und Konzepte in Bezug auf Perimeter Security sind empfohlen und müssen als solche von der Umgebung, in der das HOOC-Gateway installiert wird, bereitgestellt und umgesetzt werden:

• Der physische Zugang zum HOOC-Gateway muss über externe Zutrittssysteme geregelt werden.
• Externer Schutz des HOOC-Gateways auf der WAN-Seite durch Rate Limiting, DDoS Prevention, Deep Package Inspection und/oder Intrusion Detection ist empfohlen.
• Das HOOC-Gateway ist vorzugsweise in segmentierten Netzwerken (z.B. DMZ) einzusetzen.

Network Security

Die Netzwerksicherheit wird dank dem Einsatz des VPN-Tunnels und der vollständig verschlüsselten Kommunikation zwischen HOOC-Gateway und HOOC Cloud gewährleistet. Für Datenverkehr zu Zielen ausserhalb der HOOC Cloud kann im HOOC-Gateway die Option Internetzugang aus LAN aktiviert oder deaktiviert werden. Die Deaktivierung ist aus Sicht Network Security empfohlen.

Zur zusätzlichen Verbesserung der Network Security sind die folgenden Massnahmen und Konzepte angezeigt, die von der Installationsumgebung bereitgestellt werden müssen:

• Beim Einsatz in externen Netzwerken ist der Schutz durch Firewalls, die den Datenverkehr zwischen HOOC-Gateways und HOOC Cloud auf die nötigsten IPs und Ports begrenzen, empfohlen.
• Die Verwendung von segmentierten Netzwerken auf der LAN-Seite des HOOC-Gateways ist empfohlen.

Application Security

Betreffend Anwendungssicherheit sind für das HOOC-Gateway und dessen Interaktion mit der HOOC Cloud sowie den Anwender folgenden Massnahmen, Technologien und Konzepte bereitgestellt:

• Die Authentifizierung und Autorisierung für VPN und Konfigurations-APIs basieren auf kryptografischen Schlüsseln, welche für die Geräte spezifisch generiert und gespeichert sind.
• Der Zugang zur Konfigurationsseite des HOOC-Gateways muss vorgängig mittels Knopfdruck am Gerät aktiviert werden. Dazu ist ein ein physischer Zugang nötig, der von der Installationsumgebung geregelt werden muss.
• Beim Zugang auf die Konfigurationsseite des HOOC-Gateways über die HOOC Cloud ist zur Authentifizierung und Autorisierung der Benutzer neben Benutzername und Passwort der Einsatz von Zwei-Faktor-Authentifizierung (2FA) möglich und empfohlen.
• Dateneingaben über alle Webinterfaces und APIs werden validiert und bereinigt, so dass keine falschen oder gefährlichen Eingaben möglich sind, die den Betrieb des HOOC-Gateways oder der HOOC Cloud beeinträchtigen könnten.
• Alle API und Webinterfaces verfügen über Mechanismen zur Prävention vor Bedrohungen aus den Kategorien XSS, XXE Injection und SSRF.
• Die Anwendung neuer Konfigurationen auf den HOOC-Gateways erfolgt stets in zwei Schritten:
  1. Zeitlich begrenzte Anwendung: Die neue Konfiguration wird lediglich für einen begrenzten Zeitraum angewendet. Falls das Gateway durch die neue Konfiguration nicht mehr erreichbar ist, wird nach Ablauf des vordefinierten Zeitraums die ursprüngliche Konfiguration wiederhergestellt. Dadurch wird das HOOC-Gateway in der letzten bekannten und funktionierenden Konfiguration weiter betrieben.
  2. Fest-Anwendung der Konfiguration: Ist die Konfiguration funktionsfähig und überprüft, muss diese entweder bestätigt und angewendet oder rückgängig gemacht werden. Erst nach bestätigter Anwendung tritt die neue Konfiguration dauerhaft in Kraft.
• Prozessdaten sind frei von sensiblen Daten wie z.B. Passwörtern.

Host Security

Zur Gewährleistung eines hohen Sicherheitsniveaus auf Systemebene (Host Security) werden bei den HOOC-Gateways die folgenden Massnahmen und Technologien eingesetzt:

• Für neue Firmware-Images wird das Betriebssystem jeweils vollständig neu kompiliert. Dies stellt sicher, dass keine veralteten Komponenten (Kernel, Pakete usw.) in der Firmware sind. Durch die vollständige Neukompilierung wird zudem eine jeweils kontrollierte und reproduzierbare Systemumgebung geschaffen.
• Die zur Verfügung gestellten Firmware-Images enthalten immer die aktuellsten OS-Patches. Sicherheitsrelevante Updates des zugrundeliegenden Betriebssystems werden zeitnah integriert, um bekannte Schwachstellen zu schliessen und so potenzielle Angriffsflächen zu minimieren.
• Die Firmware-Images enthalten ausschliesslich die minimal benötigten OS-Packages sowie gehärtete Konfigurationen. Durch die Reduktion auf das Notwendigste wird das Risiko von Angriffen auf unnötige oder ungenutzte Dienste verringert. Zusätzlich werden sicherheitsrelevante Systemparameter (z. B. Dateisystemrechte, Netzwerkdienste) mit gehärteten, auf Sicherheit optimierten Parametern konfiguriert.
• Der HOOC-Daemon wird jeweils neu kompiliert und mit den aktuellsten Patches der Runtime ausgeliefert. Auch die zentrale Anwendungskomponente wird regelmässig aktualisiert und neu kompiliert, um Sicherheitslücken in der Laufzeitumgebung und in Bibliotheken zu schliessen.
• Die Verwendung von Read-Only-Dateisystemen kombiniert mit Overlay-Dateisystemen garantiert die Integrität der installierten Firmware. Das Basissystem ist schreibgeschützt, wodurch Manipulationen oder unbeabsichtigte Änderungen verhindert werden. Änderungen zur Laufzeit erfolgen über ein Overlay-Dateisystem, das bei einem Neustart zurückgesetzt wird. Dies erhöht die Systemstabilität und beugt persistenten Angriffen vor.

Data Security

Der Schutz sensibler Daten (Data Security) hat bei der HOOC-Lösung höchste Priorität. Um die Vertraulichkeit, Integrität und Verfügbarkeit von Konfigurations- und Prozessdaten sicherzustellen, werden gezielte technische Massnahmen und Sicherheitskonzepte umgesetzt. Diese sind integraler Bestandteil der Systemarchitektur. Bei den HOOC-Gateways kommt Folgendes zur Anwendung:

• Konfigurationsdaten, die im Rahmen der Hardware-Provisionierung generiert werden, sind in der Hardware verschlüsselt abgelegt und können nicht exportiert oder geändert werden. Diese Massnahme schützt sensible Systeminformationen vor unbefugtem Zugriff und Manipulation. Die Verschlüsselung erfolgt hardwareseitig und stellt sicher, dass die Daten nur im vorgesehenen Gerät verwendet werden können.
• Firmware wird ausschliesslich zusammen mit Signaturen zur Verfügung gestellt. Durch die kryptografischen Signaturen, die bei der Installation automatisch überprüft werden, wird sichergestellt, dass nur authentische und unveränderte Firmware installiert wird. So kann z.B. ausgeschlossen werden, dass manipulierte Images installiert werden können, die z.B. Schadsoftware enthalten. Unabhängig davon können Endanwender die Integrität von Firmware-Images selbstständig und unabhängig überprüfen.
• Endanwender können die Prüfsumme eines Firmware-Images vor der Installation lokal prüfen. Dazu wird die bereitgestellte SHA-256 Prüfsumme mit der lokal berechneten Prüfsumme verglichen. Die Firmware darf nur installiert werden, wenn beide Werte exakt übereinstimmen.
  
  SHA256 Checksum Prüfung:
  • Windowscertutil -hashfile [file] SHA256
  • Linuxsha256sum [file]
  • macOSshasum -a 256 [file]
    
    Der ausgegebene Hash muss exakt mit dem im HOOC ManagementPortal publizierten Wert übereinstimmen. Falls die Prüfsumme nicht übereinstimmt, darf die Firmware nicht installiert werden.
    
    
• Sogenannte Magic-Numbers stellen sicher, dass ausschliesslich Firmware-Images installiert werden können, die für eine bestimmte Hardware bestimmt sind. Diese eindeutigen Identifikatoren verhindern, dass falsche oder inkompatible Firmware auf einem Gerät installiert wird.
• Um die Vertraulichkeit und Integrität sensibler Betriebsdaten zu gewährleisten, erfolgt die Übertragung von Prozessdaten zur Cloud ausschliesslich verschlüsselt. Dies schützt die Daten vor unbefugtem Zugriff während der Übertragung über öffentliche oder unsichere Netzwerke.
• Prozessdaten werden nicht dauerhaft gespeichert, sondern verbleiben ausschliesslich im temporären Arbeitsspeicher der Geräte. Dadurch wird sichergestellt, dass nach einem Neustart oder Stromausfall keine sensiblen Daten auf dem Gerät verbleiben, was das Risiko eines Datenabflusses minimiert.

Massnahmen des Defense-in-Depth-Konzepts, die von der Umgebung zu erwarten sind

Die im Defense-in-Depth-Konzept aufgeführten Massnahmen der Ebenen Perimeter Security und Network Security müssen von der Installationsumgebung bereitgestellt werden.

Härtung der IT-Sicherheit

Zur sicheren Integration der HOOC-Lösung in eine bestehende IT-Umgebung sind folgende Massnahmen empfohlen:

Installation und Integration

• Das HOOC-Gateway darf nur in vertrauenswürdigen, überwachten Netzwerken installiert werden.
• Verwenden Sie separate Netzwerksegmente für Steuerungs-, Unternehmens- und Internetverkehr.
• Die Stromversorgung des Gateways sollte unterbrechungsfrei (USV) abgesichert sein.
• Aktivieren Sie den Internetzugang aus LAN nur, wenn zwingend erforderlich.

Rechte und Rollen

• Administratorenrechte sind ausschliesslich geschultem Personal vorbehalten.
• Konten mit administrativen Rechten müssen mit 2FA geschützt sein.
• Supporter-Zugänge sollten zeitlich befristet und nur nach Freigabe durch den Administrator aktiviert werden.

Konfiguration und Wartung

• Nach der Erstinstallation muss das Gerät registriert und im HOOC ManagementPortal eindeutig zugewiesen werden.
• Prüfen Sie nach jeder Änderung an Firewall, Netzwerk oder Firmware den VPN-Status.
• Deaktivieren Sie ungenutzte Schnittstellen (z.B. USB, serielle Ports) soweit möglich.
• Stellen Sie sicher, dass alle Firmware-Dateien signiert und geprüft sind, bevor sie installiert werden.

Melden von Sicherheitsvorfällen

• Sicherheitsvorfälle, unbefugte Zugriffe oder Manipulationsverdacht sind unverzüglich dem zuständigen Administrator oder dem HOOC-Support zu melden.
• Halten Sie Zeitpunkt, betroffene Systeme und beobachtete Symptome schriftlich fest.
• Trennen Sie betroffene Geräte nach Möglichkeit vom Netz, um Schaden zu begrenzen.

Meldung sicherheitsbezogener Probleme

Bei sicherheitsrelevanten Problemen bezüglich der HOOC-Lösung können Sie sich als Antragsteller per E-Mail an security@hooc.ch wenden. Um den Vorfall effizient zu überprüfen, werden folgende Informationen benötigt:

• Eine Beschreibung der Schwachstelle
• Detaillierte Informationen zur Reproduktion des Problems (Abläufe, Screenshots, Log-Auszüge)
• Kontaktdaten Antragsteller

Nach Erhalt der E-Mail bestätigt HOOC dessen Eingang, erstellt ein Ticket und informiert zeitgleich das HOOC Security Team. Anschliessend wird das Ticket vom HOOC Security Team bearbeitet. Der Antragsteller wird nach Abschluss der Überprüfung des sicherheitsbezogenen Problems über das weitere Vorgehen informiert.

Nach der Bewertung sicherheitsbezogener Probleme gelten die folgenden Zeiträume für deren Offenlegung und Behebung:

Gesicherte Entsorgung

Wenn ein HOOC-Gateway deinstalliert und in einer anderen Umgebung wiederverwendet wird, muss das Gerät auf die Werkseinstellungen zurückgesetzt werden und in der HOOC Cloud sind sämtliche Supporter, Anlagenbenutzer und Dienste zu entfernen. Damit stellen Sie sicher, dass keine alten Daten zurückbleiben und unbefugte Zugänge ausgeschlossen werden können. Anschliessend kann das Gerät wie ein neu ausgeliefertes HOOC-Gateway betrachtet werden.

Für die sichere Ausserbetriebnahme eines HOOC-Gateways muss das Gerät zusätzlich zu den beschriebenen Aktionen an die HOOC AG zurückgesandt werden. Der interne Flash-Speicher enthält Daten wie Authentifizierungsschlüssel zwischen HOOC-Gateway und HOOC Cloud, die von Anwendern nicht zuverlässig gelöscht werden können.

Gesicherter Betrieb

Diese Richtlinie beschreibt die sicherheitsrelevanten Anforderungen und Verhaltensregeln für die Nutzung der HOOC-Lösung durch Benutzer (Supporter und Anlagenbenutzer) und Administratoren (Reseller). Ziel ist es, die Integrität, Verfügbarkeit und Vertraulichkeit der Systeme und Daten zu gewährleisten. Die Zusammenarbeit zwischen Benutzern und Administratoren ist essenziell für den Schutz der Infrastruktur.

Richtlinien für Administratoren

Reseller tragen die Verantwortung für die sichere Konfiguration, Wartung und Überwachung der HOOC-Gateways und die im HOOC ManagementPortal ausgeführten Arbeiten. Folgende Massnahmen sind verpflichtend:

• Jeder Benutzer erhält ein individuelles Konto mit spezifischen Rechten. Die Verwendung von Gruppenadressen oder gemeinsamen Konten ist unzulässig.
• Zwei-Faktor-Authentifizierung (2FA) ist für alle administrativen Konten Pflicht.
• Regelmässige Überprüfung der physischen Sicherheit der Gateways und Netzwerkkomponenten (z. B. Zugangsschutz, Manipulationssicherheit) ist zwingend.
• Durchführung von Sicherheitsupdates:
  • Updates sind ausschliesslich über das HOOC ManagementPortal zu beziehen.
  • Vor der Installation ist die Signatur oder Prüfsumme des Updates auf Echtheit zu verifizieren.
  • Die Installation erfolgt gemäss den technischen Vorgaben im Zusammenhang mit der Auslieferung des Sicherheitsupdates und wird idealerweise ausserhalb der Betriebszeiten durchgeführt.
• Benutzer sind regelmässig zu sicherheitsrelevanten Themen, insbesondere zur Nutzung der VPN-Zugänge, zu schulen.
• Es gilt, eine Dokumentation aller sicherheitsrelevanten Änderungen (z. B. Benutzerrechte, Netzwerkkonfiguration, Firmware-Updates) zu erstellen.

Richtlinien für Benutzer

Benutzer der HOOC-Lösung sind verpflichtet, folgende Sicherheitsvorgaben einzuhalten:

• Die IT-Sicherheitsrichtlinien der Organisation sind einzuhalten, insbesondere im Umgang mit Netzwerkzugängen, mobilen Geräten und Cloud-Diensten.
• Passwörter und Zugangsinformationen dürfen nicht weitergegeben oder unsicher gespeichert werden.
• Verdächtige Aktivitäten bezüglich Cyber-Sicherheit, potenzielle Sicherheitsverletzungen oder Verlust von Zugangsdaten müssen unverzüglich dem zuständigen Administrator gemeldet werden.
• Die Zwei-Faktor-Authentifizierung (2FA) ist zu aktivieren, sofern vom Administrator vorgesehen.
• Ohne Freigabe durch den Administrator ist kein Gateway oder Dienst zu installieren oder konfigurieren.

Nutzerkontoverwaltung

Übersicht Nutzerkonten

Das HOOC ManagementPortal bietet eine strukturierte Benutzerverwaltung mit verschiedenen Kontotypen, die jeweils unterschiedliche Einsatzgebiete und Berechtigungen aufweisen.

Ein Reseller-Konto ist das Hauptkonto mit umfassenden Administratorrechten. Es dient zur zentralen Verwaltung von Kunden und Anlagen. Diese Art von Konto ist typischerweise für Systemintegratoren oder Anbieter gedacht.

Ein Kundenkonto ist ein Unterkonto eines Resellers und wird zur Gruppierung von Anlagen z.B. eines bestimmten Firmenkunden verwendet. Der Kontotyp eignet sich für Organisationen mit mehreren Installationen.

Die Anlage ist in diesem Sinne kein Nutzerkontotyp. Sie stellt eine einzelne Installation dar, die ein Gateway und zugehörige Dienste umfasst. Sie repräsentiert einen spezifischen Standort oder ein System.

Zusätzlich existieren Supporter-Konten, die für die technische Unterstützung vorgesehen sind. Diese Benutzer erhalten individuell zugewiesene Rechte auf Reseller-, Kunden- oder Anlagenebene, etwa als Administratoren mit Lese- und Schreibrechten oder mit ausschliesslichen Leserechten.

Schliesslich existieren noch Anlagenbenutzer, die über die HOOC CompactApp auf Dienste zugreifen können, jedoch keine Rechte im ManagementPortal besitzen. Sie sind für Endnutzer mit eingeschränktem Zugriff konzipiert. Zur Zugriffskontrolle von Anlagenbenutzer verwendet HOOC ein rollenbasiertes System mit sogenannten Labels, die als Zugriffskontrolllisten (ACLs) fungieren. Labels definieren, welche Benutzer Lese- oder Schreibrechte auf bestimmte Dienste und deren Elemente haben. Die Rechte können sehr granular vergeben werden, unter anderem auf Alarmregeln oder Datenpunkte.

Die allgemeinen Berechtigungen und Einschränkungen hängen von der jeweiligen Ebene ab. Reseller haben standardmässig Vollzugriff auf alle Kunden und deren Anlagen, können jedoch durch deaktivierte Adminrechte eingeschränkt werden. Kunden haben Zugriff auf ihre eigenen Anlagen, jedoch keinen Zugang zur Reseller-Ebene. Supporter erhalten individuell definierte Rechte und können nur auf die ihnen zugewiesene Ebene zugreifen. Anlagenbenutzer wiederum haben ausschliesslich Zugriff über die CompactApp und nur auf die ihnen zugewiesenen Dienste.

Empfehlungen

Im HOOC ManagementPortal hinterlegte Regeln garantieren starke Passwörter für alle Kontotypen. Als zusätzlicher Schutzmechanismus und für erweiterte Sicherheit ist die Aktivierung und Verwendung von Zwei-Faktor-Authentifizierung (2FA) empfohlen.

Der Austausch oder das Bekanntgeben von Passwörtern stellt ein hohes Sicherheitsrisiko dar. Die Kontotypen im HOOC ManagementPortal sind entsprechend konzipiert, um dies zu verhindern. Empfohlenerweise müssen Reseller-Konten mit einer allgemeiner und dauerhaften Email-Adresse erfasst werden, die im Zusammenhang mit der Firma des Integrators steht. Der Zugriff zum Reseller-Konto für Mitarbeitende des Integrators müssen durch Supporter-Konten gelöst werden. Es wird empfohlen, den Zugriff für Supporter zeitlich so eng wie möglich einzuschränken und Zwei-Faktor-Authentifizierung (2FA) zu verlangen.

Nach erledigten Arbeiten im HOOC ManagementPortal sowie auf den Konfigurationsseiten der HOOC-Gateway ist das explizite Schliessen der Sitzung stets empfohlen.