Kölner

Danke für dein Interesse. Ich werd den Antrag jetzt nicht noch mal hier hochladen, da sich von der Thematik nichts verändert hat. Der Punkt war, das ich teilweise flashpixx Argumentation nicht so ganz folgen konnte. Womit er aber den Nagel mittig auf den Kopf traf, ist meine umständliche Art zu schreiben. Ich hab das alles mal meiner Frau zu lesen gegeben und die hat von der Informatik noch weniger Schimmer als ich Das half mir einige Dinge klarer heraus zu stellen. Wenn man so ein Teil 178 mal gelesen hat, ist für einen selber selbverständlich was gemeint ist (eben Betriebsblindheit). Wie auch immer, der PA hat sich gnädig gezeigt und den Antrag angenommen.. Nur so aus meiner Sicht der Dinge und sehr allgemein auch auf andere Forenbeiträde: Es wird heute zu Tage sehr gerne und häufig das Argument angebracht: Das ist ja "nur" ein Installations Projekt oder auch gerne "Klickibunti..." Ich bin nicht wirklich überzeugt ob das irgend jemand weiterhilft, den: 1. unterm Strich wird man dann wohl irgendwann irgend etwas zu installieren haben, so trifft dann die Argumentation bei jedem FISI -Projekt irgendwie zu. (klar voher Analyse was fürn Problem, wie kann man das lösen, was kostet die Lösung usw.) 2. Man kann ganz bestimmt Nichts dafür, das mittlerweile 2013 ist. Da ist die Software nun mal sehr komfortabel geworden und nicht Jeder benötigt en Core Server.. Aber egal! Euch allen, alles Jute und viel Erfolg

OK Ich glaub ich versteh dich jetzt schon etwas besser. Danke flashpixx

Ja das ist korrekt, das ist das was der Kunde möchte. Eine softwarebasierte Passwortlösung wie sie umschrieben wurde. Meine Aufgabe wird sein: eine Lösung finden anhand der Kriterien welche in der Zertifizierung gefordert werden. Dazu müssen Kriterien ausgearbeitet und Priorisiert werden. Das bedingt Recherche zu Produkten, Angebotseinholung, und den Vergleich der Lösungen. Zu guter Letzt eine Empfehlung an den Kunde: das Produkt kann das und das und kostest soviel. Das Projekt besteht hauptsächlich wegen der Zerti, ob du es nun glaubst oder auch nicht. (Ich weiß das das nicht für sinnvoll hältst, hab ich schon vorher verstanden. Es wird so gewünscht und es wird 100% so durchgeführt werden. Egal ob ich es tue oder jemand anderes) Ja korrekt auch bedingt durch Zerti: nachzulesen unter zugangskontrolle Die Zerti ist ausschlagegebend. Aber auch ohne Zerti hat das Projekt eine Mehrwert, den es besser als die vorherige Lösung. Andere Lösung wäre 4 Augenprinzip,also immer 2 Mitarbeiter zu jeder Zeit en Zettel+ Stift & en Safe. Ja kann was kosten… Das Gesamtkonzept der Zerti sind mehr als 2000 Arbeitsstunden. Trotzdem wenn mein Anteil nicht durchgeführt würde, berührt es erst mal nicht andere Projekte. Sprich es gibt keine direkten Abhängigkeiten, wie ein Folgeprojekt das nicht starten könnte. Ist nicht mein Wunsch über die Konsequenzen zu schreiben, ist gerade der neuste Schrei der IHK und wird von mir im Eingabefeld gefordert. Pysikalischer Server gehört für mich zur Infrastruktur… Danke sehr ich werd darüber nachdenken

Moinmoin liebe Mitlesende und Ratgebende. Ich habe gestern die vorläufige Ablehnung zum Projektantrag erhalten mit folgender Bemerkung: Sehr geehrter Herr, der Antrag ist sehr ausführlich beschrieben allerdings ist nicht genau beschrieben was ihre Aufgaben bei dem Projekt sein werden und welche Schnittstellen noch an diesem Projekt beteiligt sind. Bitte stellen Sie ihre Tätigkeiten bei dem Projekt klar heraus Da ich nach gefühlter 100ste Bearbeitung des Antrags völlig Betriebsblind bin und eigentlich gedacht das soweit klar wäre: WAS das Problem ist, das ich entsprechende LÖSUNGEN SUCHE, diese VERGLEICHE und IMPLEMENTIERE. (gross geschriebenes gilt hier nur zur Hervorhebung) Aber erstens kommt es anders und zweitens als man denkt. Da ich in keinem bisher gelesen Antrag irgendwelche Ich – Botschaften gelesen habe (z.B. ich vergleiche Angebot A mit , kann ich mir nur vorstellen das sich die Kritik des PA auf die Projektplanung / Phasen bezieht ?? Bevor ich mich nun heulend hintern Bus schmeisse, oder aus dem 1 Stock springe hat noch jemand eine Idee? Vorab vielen Dank, an wen auch immer, der sich die Mühe macht, das hier zu lesen. 1* Projektbezeichnung Einführung einer Passwort Management Lösung zur Einhaltung der IT-Compliance. 1.1* Ausgangssituation Zurzeit verwendet die Firma XYZ GmbH & Co. KG eine Open Source Software für die Verwaltung der Login-Daten von Kundensystemen, welche in einer Datenbank hinterlegt sind. Diese Datenbank wird regelmäßig auf einem File Server gespeichert und zwischen zwei Standorten der XYZ synchronisiert. Der Zugriff auf diese Daten ist mit einem Masterpasswort gesichert und ist nur den Mitarbeitern des Premium Service gestattet. Mit diesem Masterpasswort ist es möglich, die Kunden-Passwörter und IP-Adressen einzusehen sowie diese zu ändern oder zu löschen. Die jetzige Lösung bietet weder die Möglichkeit den Mitarbeiter, den Zeitpunkt, noch die angefragten Login-Daten von Kundensystemen, zu bestimmen. Des Weiteren könnte ein Diebstahl der Datenbank zum Verlust aller Kunden Passwörter führen, da eine Brute Force Attacke zwar schwierig, aber dennoch möglich ist. 1.2* Zielsetzung Die XYZ strebt für ihre Abteilung "Premium Services" die Zertifizierung nach ISO 27001 an. Im Rahmen der Zertifizierung müssen die Vorgaben für das User Access Management erfüllt werden. Zudem soll zur Erhöhung der Unternehmenssicherheit die bestehende Passwortverwaltung abgelöst werden. Das neue System muss dazu Nachvollziehbarkeit über die Zugriffe der XYZ-Mitarbeiter auf die kundenbezogenen Daten gewährleisten, d.h. es muss nachträglich ablesbar sein, welcher Mitarbeiter zu welchem Zeitpunkt auf welche Kundendaten Zugriff genommen hat. Zudem sollte eine möglichst granulare Rechtevergabe den Zugriff auf die Daten reglementieren. Der lesende Zugriff auf Kunden-Passworte und deren Verwaltung soll über eine Management-Oberfläche realisiert sein. Ein direkter Zugriff der XYZ-Mitarbeiter auf die zugrundeliegende Datenbank sollte ausgeschlossen sein. Es soll eine plattformunabhängige Lösung gefunden werden, in welche sich die bestehenden Kundendaten und Strukturen integrieren lassen. Durch Redundanz des Systems an einen weiteren Standort soll hohe Verfügbarkeit sowie Ausfallsicherheit erzielt werden. 1.3*Konsequenzen bei Nichtverwirklichung Bei Nichtverwirklichung des Projekts wird ein Teilaspekt, für die angestrebte Zertifizierung nach ISO27001, nicht erfüllt sein. Das hätte die Bindung personeller Ressourcen zur Ausarbeitung anderer Lösungen zur Folge. Direkte Abhängigkeiten zu anderen, noch zu realisierenden Projekten für die ISO-Zertifizierung bestehen nicht. 2* Projektumfeld/Rahmenbedingungen Das Unternehmen XYZ GmbH & Co KG mit seinem Hauptsitz in Timbuktu und einer Zweigstelle in Nimmerland, beschäftigt zurzeit 35 Mitarbeiter. Das Betätigungsfeld der Firma besteht hauptsächlich in dem Vertrieb und Support von IT-Sicherheitslösungen. Im Bereich des Premium Service stellt die XYZ erweiterte Dienstleistungen, wie zum Beispiel Hotline, Fernwartung, System Monitoring oder auch Änderungen von Systemkonfigurationen, zur Verfügung. Des Weiteren bietet die XYZ Consulting, Projektmanagement und Schulungen rund um die IT-Sicherheit an. Als Praktikant der Abteilung Technik führe ich dieses XYZ-interne Projekt durch. Die Integration des neuen Systems wird in einem heterogenen Unternehmensnetzwerk realisiert. Es besteht aus diversen physikalischen Infrastrukturkomponenten sowie virtuellen Maschinen. Dem Premium Service steht ein eigenes Subnetz, getrennt durch eine Firewall, zur Verfügung. Dem Firmennetzwerk liegt eine Windows Active Directory Domäne zu Grunde. 3* Projektplanung/Projektphasen Definitionsphase (3h) - Besprechung Auftrag (1h) - Ist-Analyse (1h) - Soll-Konzept (1h) Planungsphase (12h) - Erstellung eines Projektstrukturplan (1h) - Erstellung Zeitplan mittels Projektablaufplan, Netzplan (2h) - Evaluierung möglicher Lösungen (4h) - Erstellung einer Vergleichsmatrix (2h) - Entscheidungsfindung (1h) - Kostenanalyse (1h) - Erstellung eine Prüfkatalogs (1h) Realisierungsphase (10h) - Erwerb und Download der Software (0,5h) - Installation der ermittelten Software in einer virtuellen Umgebung (1h) - Anpassung der Software an die Unternehmensanforderung (1h) - Sicherung und Überführung der bestehenden Datenbestände (1h) - Erstellung und Anpassung eines Abbilds für eine Ausfallsicherung, in einer virtuellen Umgebung(1,5h) - Erstellung von Sicherungsstrategie für Datenbank(1h) - Testen auf korrekte Ausführung (2h) - Qulitätssicherung (1h) - Puffer (1h) Abschlussphase (10h) - Fazit (0,5h) - Erstellung Projektdokumentation (8h) - Projektübergabe/Einweisung (1h) - Abschlussbesprechung (0,5) 3.2* Ergebnis Das zu erwartende Ergebnis bildet eine Lösung zur Verwaltung der kundenspezifischen Login-Daten ab. Eine regelbare Zugriffssteuerung, die Protokollierung aller Zugriffe, sowie die hohe Verfügbarkeit sind die Hauptkriterien zur Erfüllung des Projektziels. Das angestrebte Projektergebnis wird anhand des Projektauftrags sowie dem Soll-Konzept genauer formuliert. Anhand eines Testfallkatalogs, Soll–Ist Vergleich sowie der Qualitätssicherung wird das Ergebnis dokumentiert. Wirtschaftliche Ergebnisse werden durch eine Kostenanalyse abgebildet.

Moinmoin. Da ich auch ne Umschulung mache, kann ich sehr gut nachvollziehen wie schwierig das Alles sein kann. Lass dich nicht unterkriegen, wird schon "schiefgehen" Das klingt für mich so, als wenn du keine Zeit bereit gestellt bekommst, um ein Projekt zu realisieren? Ist klar das der Betrieb gerne deine Arbeitskraft nutzt und das es auch hilfreich sein kann um etwas zu lernen, aber trotzdem sollte dem Betrieb natürlich klar sein : ohne Projekt kein Abschluss. Ich weiß nicht wie es auf deiner Schule gehandhabt wird? An den "besseren" Schulen (meine gehört leider nicht dazu) sind Berater abgestellt, welche auch mal den Praktikumsbetrieb besuchen. Der checkt vor Ort z.B. ob der/die Praktikant/in den gestellten Aufgaben nachkommt oder auch ob der Betrieb sich an Absprachen hält (wie z.B. Projekt). Vieleicht hast du irgendeine Möglichkeit, deine Schule mit ins Boot zu holen, was das Projekt angeht? In Ausnahmefällen ist es sogar möglich, das Projekt selbst in der Schule durch zu führen. (Is ja ne IT Schule mit ner bestehenden Netzwerkstruktur, gibt es da evtl. nix zu verbessern?) Wie auch immer, ich drück dir die Daumen und wie gesagt : wird schon schief gehen;) lieben Gruß

Vielen Dank

Hallo Allerseits! Auch wenn ich damit vieleicht den Preis "die dümmste Frage des Forums" gewinne und es schon evtl autistische Züge animmt, nur mal nach gefragt : Wenn ich mir die "Handreichungen der IT" von der IHK anschaue, bekomme ich in etwa die Form "vorgegeben": - Projektbezeichnung - Kurze Projektbeschreibung - Projektumfeld - Projektplanung einschließlich Zeitplanung - geplante Dokumentation zur Projektarbeit Ich denke soweit ist das auch in etwa die Form, welche den meisten bekannt ist. Wenn ich mich dan auf das online Portal schalte, in welchem ich dann den Antrag hochladen soll, erscheinen jene Fromularfelder: - Projektbezeichnung - Ausgangssituation - Zielsetzung - Konsequenzen bei Nichterfüllung - Projektumfeld / Rahmenbedingungen - Projektplanung / Projektphasen / geplante Arbeitsschritte inkl. Zeitplanung - Meilensteine - Ergebnis - Dokumentation / technische Unterlagen wobei die mir neuen Felder markiert sind. Auf Nachfrage bei der IHK, was sie jetzt mit Ergebnis meinen (da ein Soll Zustand unter Zielsetzung formuliert wird, kann es das ja nicht sein?), wurde ich nur freundlich darauf hingewiesen, das sie mir keine fachlichen Fragen beantworten dürfen. Kennt ihr diese Struktur / Aufbau des Projektantrags und was könnte eurer Meinung nach unter Ergebnis formuliert sein? "Darstellung der funktionalen Ergebnisse"? Vieln Dank für eure Zeit und Mühen, lieben Gruß

Nach Auskunft einer sehr netten Dame von der IHK: Konsequenzen bei Nichterfüllung - sehr allgemein gehalten: Tatsächlich alles was bei Nichterfüllung auftauchen kann, z.B: ein Folgeprojekt kann nicht gestartet werden, Kosten welche enstehen könnten oder vieleicht versenkt wurden, müssen zusätzliche Resourcen freigesetzt werden weil das Projekt nicht zu stande kam...In der Art, also alles was euch aufällt während der Planung, was eben die Konsequenzen sein könnten.. Dank an die IHK

Und bevor es völlig untergeht: Ich habe es auch so verstanden und zumeist eher als konstruktiv gewertet. Und viel wichtiger: Ich bin wirklich Dankbar für den Einsatz aller Beteiligten und habe es eigentlich auch schon ein paarmal erwähnt, aber trotzdem noch mal Vielen Dank für eure Geduld und Mitarbeit! @flashpixx Sorry für die übertriebene Reaktion. @crash2011 DAAAAAAAAANKE schön :beagolisc

Wenn es so rüberkommt, sorry. Meine Reaktion ist dem bashing auf "Unbeteiligte" geschuldet. Was soll das: "Ihr als IT Sicherheits Firma" Komentare (war jetzt auch nicht das erste mal) ? Spricht nicht unbedingt für guten Stiel, triftt nicht den Kern und hilft auch sonst nicht wirklich weiter. Wird aber ohne weiters deduldet. Genasuso Ansetzte wie : "Das ist doch Schwachsinn" waren hier schon zu lesen, das ist direkt angreifend und wird widrum geduldet. Weshalb hab ich überhaupt diese Diskussion weitergeführt? Ich bin immer noch der Meinung, das Produkte wie der angesprochene PasswordSafe, ihre Daseinsberechtigung haben. (hier werden Passwörter aber nun mal verschlüsselt und nicht gehasht) Weshalb vertrete ich die Meinung: Aus dem Disskusionsverlauf, denn Strategien wie SingleSignOn sind auszuschliessen. Eine zentrale Authentifizierung bedingt bei jedem Kunden eine Authetifizierungstelle wie z.B. ein Radius server oder Ähnliches und die hat nicht jeder Kunde. Authentifiezierung direkt am Gerät wird nicht immer von allen Hersteller unterstützt. Was bleibt ist das Nutzen von Passwörtern. Soweit konnte ICH zumindest folgen und wenn das falsch ist, gut ist es eben falsch. Aber noch mal auch mir gegenüber darf man respektvoll sein (muss man nicht, kann ich mit leben), was gar nicht geht ist, irgendwelche Firmen oder deren Mitarbeiter runter zu ziehen. Aber nur meine bescheidene Meinung...

Nabends. Bis her fand ich deinen style noch konstruktiv, bis weilen etwas von oben herab, aber konstruktiv. Nicht die Firma kaut hier irgend etwas durch, sondern meiner einer in Persona. Zu meiner Person: Ich mache eine 2 jährige Umschulung und bin selber wenig begeistert von dem was meine Schule glaubt, was richtiger Lehrplan sei oder auch nicht, nur soviel, diese Schule würd ich meinem ärgsten Feinden nicht empfehlen. Aber wie auch immer 2 Jahre sind schlecht weg ein Witz, wenn es um diese Ausbildung geht und ja ich hatte es mir anders vorgestellt. Und nein ich bin nicht zu faul mir etwas anzueignen. Nun schön und gut. Nach 1 1/2 Jahren der tollen Schule, darf ich nun ein Praktikum bei einer Firma machen, welche Sicherheit vertreibt (wofür ich sehr dankbar sein kann und auch bin). So what, macht mich das jetzt zum Sicherheitsexperten? Nein bestimmt nicht und das liegt auch nicht an der Firma oder deren Mitarbeiter. Die haben schlecht weg auch was bessere zu tuen, als mich nun komplet auszubilden. By the way, die Personen die ich evtl fragen könnte weil es sie direkt angeht, sind derweil in Urlaub, soll ja mal vorkommen und soll ihnen auch gegönnt sein. Von mir aus haut auf meinem zu klein geratenen Kopf rum, ich weiss wie es meine "Ausbildung" steht, aber schwingt euch nicht zum "Meister der offensichtlich vom Himmel viel" auf und kloppt dabei mal einfach auf Unbeteiligte. Junge Junge da geht mir der Hut hoch, dieses bescheidene bashing in allen möglichen Foren k**zt mich an. Tue mir einen Gefallen, fühl dich bitte nicht genötigt weiterhin irgend einen post zu beantworten. Ich möchte nicht an deinem Reiz am Enddarm schuld sein. Schönen Dank :upps

Guten Morgen Allerseits, hoffe ihr hattet ein schönes WE! Vielen Dank für die rege Anteilnahme! ….entweder Https (ssl bzw. tls) oder ssh Verbindung (hab mich wieder missverständlich ausgedrückt) EXACT! Dankeschön Wenn ich das richtig verstehe: Bei einem zentralen Authentifizierungsserver (welcher bei jedem Kunden vorhanden sein müsste?), wäre ich für das ganze Netzwerk des Kunden authentifiziert und hätte Zugriff auf jegliche Maschine des Kunden? Bei Authetifizierung direkt an der zu administrierenden Maschine, müsste dies in dem device erst einmal so (wiederum vom Kunden und für jede Maschine welche Support benötigt oder benötigen könnte) eingerichtet werden? Liebe Grüsse aus Köln

Hi flashpixx. Sehe schon mal einen Fehler in meiner Disskusionsfürhrung.. ...meinte eigentlich https / ssh Verbindung. (ssl ist zwar hier nicht falsch, aber ssh war gemeint). Für die devices wird eben bei uns in selten Fällen WebUI und in der Regel ssh über putty oder ner anderen CLI verwendet. Danke fürs Feedback;)

Nabends Allerseits! Sehr anregende "Unterhaltung" bisweilen. Frage ob ichs richtig verstehe: Ihr würdet ein Single Sign On empfehlen, für vieleicht 50 unterschiedliche Domänen, um dort die Backendgeräte wie Switche,Router,Firewalls und Proxies zu konfigurieren? :confused:

Guten Morgen SilentDemise. Ich habe das Gefühl das du da Recht haben könntest, das es zu Komplex werden kann, für ein Abschlussprojekt. Meine Ursprungsfrage lautete mal : passwort mangement system - zu "dünn" als Projekt. Diese Fragestellung resultiert daraus, das einer meiner Dozenten eher der Meinung ist, das so wie sich der Antrag liest, es nicht für ein Projekt reichen könnte. Danke Gruss aus Köln