Erstellen einer sicheren, sorgenfreien Benutzererfahrung für Mitarbeiter

Das Van-Gogh-Museum erwirtschaftet 89 % seiner Einnahmen selbst und ist stark von den Einnahmen aus dem Verkauf von Eintrittskarten abhängig. Dann kam die COVID-19-Pandemie. Das hatte nicht nur dramatische Auswirkungen auf die Besucherzahlen des Museums, sondern führte auch dazu, dass immer mehr Mitarbeiter von zu Hause oder von anderen Orten aus mit Laptops arbeiten mussten. Dies wiederum stellte eine dreifache Herausforderung dar:

1. Die Benutzer waren es nicht gewohnt, über längere Zeiträume von zu Hause aus zu arbeiten
2. Die IT-Umgebung wurde in der Erwartung entwickelt, dass die Laptops mindestens einmal im Monat für Patch-Updates im Büro sein würden; sie waren nicht darauf ausgelegt, für längere Zeit außerhalb des Büros zu sein.
3. Plötzlich wararen der Einblick in Anwendungen und Windows-Updates nicht mehr möglich, weil die Laptops nicht mehr mit ins Büro gebracht wurden

Rob erklärt, dass vor der COVID-19-Pandemie Patch-Updates manuell durchgeführt wurden – per „sneaker net“. Die Mitarbeiter brachten ihre Laptops entweder zum Service Desk, um sie zu aktualisieren, oder es wurde ein Termin an den Schreibtischen der Mitarbeiter vereinbart.

„Wenn ein veralteter Browser verwendet wird und dieser Browser eine Sicherheitslücke aufweist, können unsere Daten nicht mehr so sicher sein, wie wir es gerne hätten“, so Rob. „Wir suchten nach einer Lösung zur Patch-Verwaltung, die Patch-Updates aus der Ferne durchführen konnte.

Das Museum erwarb die Lösung von Ivanti Security Controls (ISEC) und setzte sie innerhalb einer Woche ein, um Browser, Anwendungen und die Windows-Laptop-Betriebssysteme aus der Ferne zu patchen.

Laut Rob ist einer der größten Vorteile des Hinzufügens von Sicherheitskontrollen die Möglichkeit, neuere Browser hinzuzufügen, ohne dass die Benutzer dies bemerken. Wenn es in einem der Browser eine kritische Sicherheitslücke gibt, weist Robs Team Workspace Control an, den Browser zu deaktivieren, wenn er älter als Version „XYZ“ ist, so dass er nicht mehr im Startmenü angezeigt wird und für Benutzer nicht verfügbar ist.

Die ISEC-Patch-Verwaltung hat die ältere Version des Browsers „XYZ“ (z.B. Chrome) entdeckt, die nicht mehr sicher ist, und installiert die neuere Version im Hintergrund, ohne dass die Benutzer dies bemerken. Und Workspace Control erkennt, dass es eine aktualisierte Version gibt und kann das Browser-Symbol wieder aktivieren. Morgens, wenn sich die Benutzer anmelden, werden sie von Workspace Control benachrichtigt, dass Chrome deaktiviert wurde. Die Benutzer können sich für Firefox, Microsoft Edge usw. entscheiden, damit sie ihre Arbeit weiterhin erledigen können. ISEC aktualisiert Chrome im Hintergrund während der Mittagspause, wenn die Benutzer ihre Laptops verlassen. Wenn sie zurückkehren, ist Chrome aktualisiert und wird neu geladen, sobald der Benutzer seinen Bildschirm entsperrt.

Heute werden Patches für alle Browser, Betriebssysteme und Anwendungen auf den Windows-Rechnern des Museums erfolgreich durchgeführt, ebenso wie für einen großen Teil der RHEL-Rechner. Rob merkt an, dass die Flexibilität beim Patchen der verschiedenen OS-Rechnertypen – und bezüglich des Zeitpunktes, wann dies getan wird – ideal ist.

Sobald das Patchen von Remote-Laptops unter Kontrolle war, war es an der Zeit, sich auf Desktops und Server zu konzentrieren. Hier kamen Ivanti Workspace Control und das Ivanti Cloud Relay ins Spiel.

Ivanti Cloud Relay nutzt ein Ivanti Cloud-Backend, um es Administratoren zu erleichtern, Mitarbeitern, die von zu Hause oder von einem anderen Ort aus arbeiten, die Möglichkeit zu geben, ihre Geräte mit unternehmenseigenen Relay-Servern zu verbinden, um auf grundlegende Anwendungen wie die Microsoft Office Suite, Visio usw. zuzugreifen. Wenn neue Anwendungen installiert werden (z. B. über Microsoft Intune), wird auch das Startmenü schnell aktualisiert, und die Benutzer haben Zugriff auf die neue Anwendung.

„Es ist ein großer Vorteil für unsere Mitarbeiter, dass die Aktualisierungen im Startmenü und neue oder geänderte Einstellungen jetzt sofort zur Verfügung stehen. Außerdem sind diese Updates jetzt um ein Vielfaches schneller als früher“, so Rob.

In der Vergangenheit umfassten die Updates für die Serverfarm nur Patches für das Windows-Betriebssystem, nicht aber für Microsoft Office-Anwendungen oder Browser. Rob sagt, dass früher ein vierköpfiges Team einmal im Monat acht Stunden von 17:00 Uhr bis 2:00 Uhr morgens arbeiten musste, um mehr als 100 Server zu patchen. Das sind 36 Arbeitsstunden pro Monat.

„Wir waren froh, wenn wir bis 2:00 Uhr morgens fertig waren“, sagt Rob. Aber jetzt, mit Ivanti, wird die gleiche Arbeit von zwei Personen erledigt, die um 6:00 Uhr beginnen und um 23:00 Uhr fertig sind. Das sind 10 Personenstunden pro Monat gegenüber 36 – eine Zeitersparnis von fast 72 %. Und sie können mehr aktualisieren, weil die Browser jetzt auf den Servern aktualisiert werden.

Rob sagt, dass die Office-Versionen, die auf einigen Servern benötigt werden, jetzt auch aktualisiert werden, was vorher nie der Fall war. „Wir aktualisieren auch Tools, von denen wir nicht einmal wussten, dass sie auf Servern installiert sind“, fügt er hinzu. „Die Anbieter loggten sich auf einem Server ein und installierten ein Tool zur einmaligen Verwendung. Wir hatten dann ein Tool, das nie aktualisiert wurde. Wir hatten also eine mögliche Kompromittierung des Servers, aber das ist jetzt alles behoben.“

Rob schätzt, dass in den letzten zwei Jahren allein durch die Aktualisierung der Browser mindestens 50 Schwachstellen beseitigt wurden.

„Früher brauchte eine Person 10 Stunden pro Woche, um die Rechner zu aktualisieren“, sagt Rob über das Patchen der Mitarbeiter-Laptops. Jetzt benötigt eine Person dafür nur noch eine Stunde pro Monat, was einer Zeitersparnis von 97,5 % entspricht.

Als eines der weltweit führenden Museen arbeitet das Van Gogh Museum eng mit anderen Einrichtungen auf der ganzen Welt zusammen, um Kunstwerke im Wert von Zehntausenden bis zu Millionen von Euro zu teilen oder zu verleihen. Bei dieser Zusammenarbeit müssen Informationen über Flugtransporte, Abflug- und Ankunftszeiten, Lieferzeiten und -orte usw. ausgetauscht werden.

Die Mitarbeiter des Van-Gogh-Museums arbeiten jetzt sicher von zu Hause aus und vereinbaren Versand- und Liefertermine. „Jetzt müssen sie sich keine Sorgen mehr machen, ob ihr Laptop noch sicher ist oder eine ältere Softwareversion läuft, die kompromittiert werden könnte“, so Rob.

Er schließt: „Wir wissen jetzt, dass unsere Mitarbeiter ihre Arbeit von überall auf einem sicheren Rechner erledigen können. Selbst wenn sie sich in China, Australien oder New York befinden, können wir ihnen helfen und ihre Systeme aktualisieren, solange sie eine Internetverbindung haben.“