Standardarbeitsanweisung (SOP) für WordPress-Website-Sicherheitsprotokolle

Sicherheitsmaßnahmen, die Sie bei der Verwaltung einer WordPress-Website berücksichtigen müssen

Im Rahmen Ihres kontinuierlichen Engagements für den Schutz digitaler Assets und die Verbesserung der Website-Sicherheit implementieren wir umfassende Sicherheitsprotokolle für die Verwaltung von WordPress-Websites. Diese Maßnahmen sollen vor unbefugtem Zugriff schützen und sicherstellen, dass Ihr Team die Best Practices der digitalen Sicherheit einhält.

Einführung der Zwei-Faktor-Authentifizierung (2FA)

Der Eckpfeiler des Sicherheitsprotokolls ist die obligatorische Verwendung der Zwei-Faktor-Authentifizierung (2FA). Diese zusätzliche Sicherheitsebene stellt sicher, dass der Zugriff auf Ihr WordPress-Backend streng kontrolliert wird und nur für autorisiertes Personal zugänglich ist. Das Erfordernis eines zweiten Verifizierungsformulars kann das Risiko eines unbefugten Zugriffs erheblich verringern.

Keine Passwörter mehr in Browsern

Um Ihre digitale Umgebung weiter zu schützen, setzen Sie eine Richtlinie gegen das Speichern von Browser-Passwörtern durch. Diese Praxis ist zwar praktisch, stellt aber ein Sicherheitsrisiko dar. Es wäre am besten, die Verwendung sicherer Passwort-Manager zum Speichern von Passwörtern zu fördern, um die Sicherheit und den Komfort ohne Kompromisse zu erhöhen.

Obligatorische sichere Webverbindungen

Wenn du die Schwachstellen im Zusammenhang mit öffentlichen Internetverbindungen erkennst, solltest du von allen Teammitgliedern verlangen, dass sie sichere Webverbindungen verwenden, wenn sie deine WordPress-Seiten verwalten. Das bedeutet, VPNs zu nutzen und öffentliche Wi-Fi-Netzwerke um jeden Preis zu meiden. Jede Abweichung von dieser Richtlinie wird mit strengen Disziplinarmaßnahmen geahndet, um Ihre hohen Sicherheitsstandards aufrechtzuerhalten.

Detaillierte Website-Dokumentation

Jedes Teammitglied wird für jede von ihm verwaltete WordPress-Site ein detailliertes Dokument pflegen. Dieses Dokument enthält unter anderem eine umfassende Liste der installierten Plugins, der aktuellen Benutzer und ein Protokoll der manuellen monatlichen Scans. Diese Initiative zielt darauf ab, die Transparenz zu wahren und eine effiziente Verwaltung Ihrer Websites zu ermöglichen.

Installation und Verwaltung von Plugins

In deinem Engagement, eine sichere WordPress-Umgebung aufrechtzuerhalten, ist für die Installation neuer Plugins oder die Entfernung vorhandener Plugins jetzt eine ausdrückliche schriftliche Genehmigung erforderlich. Diese Richtlinie verhindert nicht autorisierte Änderungen, die Schwachstellen einführen könnten. Dateimanager-Plugins, die für ihre Sicherheitsrisiken bekannt sind, sind strengstens verboten.

Verpflichten Sie sich zur Sicherheit

Diese Verbesserungen des WordPress-Website-Management-Protokolls spiegeln Ihr unerschütterliches Engagement für die Sicherheit wider. Durch die Umsetzung dieser Maßnahmen können Sie darauf abzielen, Ihre digitalen Vermögenswerte und die Integrität der Ihnen anvertrauten Informationen, Ihrer Kunden oder Ihrer Teammitglieder zu schützen.

Verstehen Sie, dass die Anpassung an diese Veränderungen eine Zeit der Anpassung erfordern kann. Die langfristigen Vorteile – erhöhte Sicherheit, verbesserte Compliance und eine robustere digitale Infrastruktur – überwiegen jedoch bei weitem die anfänglichen Unannehmlichkeiten.

Wir haben eine Standardarbeitsanweisung (SOP) für die Vorlage für die Sicherheitsprotokolle der WordPress-Website erstellt, die Sie dazu führen können: hier als PDF herunterladen .

Wir haben auch unten aufgelistet, wenn Sie kopieren und einfügen möchten.

---

Standard Operating Procedure (SOP) für WordPress-Website-Sicherheitsprotokolle

Dokumentenlenkung

• Version: 1.0
• Datum: 04/08/2024
• Eigentümer des Dokuments:
• Genehmigung:

Zweck

Diese SOP beschreibt die Sicherheitsprotokolle für die Verwaltung von WordPress-Websites zum Schutz vor unbefugtem Zugriff und potenziellen Sicherheitsbedrohungen. Das Hauptaugenmerk liegt auf der Ermöglichung der Zwei-Faktor-Authentifizierung (2FA) und der Verhinderung des Speicherns von Passwörtern in Browsern.

Umfang

Dieses Verfahren gilt für alle Mitarbeiter, die das WordPress-Website-Backend verwalten, warten oder darauf zugreifen.

Verantwortlichkeiten

• Website-Administratoren: Verantwortlich für die Durchsetzung von Sicherheitsprotokollen.
• IT-Sicherheitsteam: Bietet Unterstützung und Aufsicht bei der Implementierung von Sicherheitsmaßnahmen.
• Alle Benutzer: Halten Sie sich an die Sicherheitsprotokolle.

Verfahren

1. Zwei-Faktor-Authentifizierung (2FA)
   
   • Implementierung:
     1. Installiere und aktiviere ein 2FA-Plugin, wie zum Beispiel "Two Factor Authentication" oder "Wordfence Security".
     2. Navigieren Sie zu den Plugin-Einstellungen und aktivieren Sie 2FA für alle Benutzerrollen.
     3. Wählen Sie die bevorzugte 2FA-Methode (z. B. E-Mail, SMS, Authentifizierungs-App) und konfigurieren Sie sie entsprechend.
   • Benutzerregistrierung:
     1. Informieren Sie alle Benutzer über die 2FA-Anforderung durch eine offizielle Mitteilung.
     2. Stellen Sie eine Schritt-für-Schritt-Anleitung oder eine Schulung zum Einrichten von 2FA bereit.
     3. Legen Sie eine Frist fest, bis zu der alle Benutzer die 2FA für ihre Konten aktivieren müssen.
   • Compliance-Überwachung:
     1. Überprüfen Sie regelmäßig die Benutzerkonten, um sicherzustellen, dass 2FA aktiviert ist.
     2. Beheben Sie umgehend Compliance-Probleme oder Benutzerprobleme.
2. Keine Passwörter in Browsern gespeichert
   
   • Leitlinien:
     1. Informieren Sie Benutzer über die Risiken des Speicherns von Passwörtern in Browsern.
     2. Fördern Sie die Verwendung eines sicheren Passwort-Managers zum Speichern von Passwörtern.
     3. Implementieren Sie technische Lösungen, um das Speichern von Passwörtern in Browsern nach Möglichkeit zu blockieren.
   • Beachtung:
     1. Führen Sie regelmäßige Audits durch, um die Einhaltung dieser Richtlinie sicherzustellen.
     2. Bieten Sie Benutzern Support und Alternativen für die sichere Passwortverwaltung.

Weitere Best Practices

• Regelmäßige Updates: Stellen Sie sicher, dass der WordPress-Kern, die Themes und Plugins regelmäßig aktualisiert werden.
• Starke Passwörter: Erzwingen Sie die Verwendung sicherer Passwörter für alle Konten.
• Begrenzen Sie Anmeldeversuche: Installieren Sie ein Plugin, um Anmeldeversuche zu begrenzen und IP-Adressen nach wiederholten fehlgeschlagenen Versuchen zu blockieren.
• Verwaltung von Benutzerrollen: Weisen Sie den Benutzern die minimal erforderlichen Berechtigungen zu, damit sie ihre Aufgaben ausführen können.
• SSL-Zertifikat: Verwenden Sie ein SSL-Zertifikat, um Daten zu verschlüsseln, die zu und von Ihrer Website übertragen werden.
• Website-Backups: Planen Sie regelmäßige Backups Ihrer Website und speichern Sie diese sicher.
• Sicherheitsüberprüfungen: Führen Sie regelmäßige Sicherheitsaudits und Penetrationstests durch, um Schwachstellen zu identifizieren und zu beheben.

Dokumentationspflicht für die Website

• Grundsatzerklärung: Jedes Teammitglied ist verpflichtet, ein detailliertes Dokument für jede von ihm verwaltete WordPress-Site zu pflegen. Dieses Dokument dient als umfassende Aufzeichnung, die unter anderem die folgenden Informationen enthält:
  • Plugins: Eine Liste aller installierten Plugins, deren Zweck und das Datum des letzten Updates. In diesem Abschnitt sollten auch alle Anpassungen oder spezifischen Einstellungen vermerkt werden, die für den Betrieb des Plugins relevant sind.
  • Aktuelle Benutzer: Eine aktuelle Liste aller Benutzer mit Zugriff auf das WordPress-Backend, einschließlich ihrer Rollen und des Datums, an dem sie hinzugefügt wurden. Es sollten regelmäßige Audits durchgeführt werden, um sicherzustellen, dass nur autorisierte Benutzer Zugriff haben.
  • Sicherheitsmaßnahmen: Alle spezifischen Sicherheitsmaßnahmen, die auf der Website implementiert sind, einschließlich 2FA-Setups, SSL-Zertifikate und benutzerdefinierte Firewall-Regeln.
  • Manuelle monatliche Scans: Ein Protokoll der manuellen monatlichen Scans, die mit Immunify oder einem ähnlichen Tool durchgeführt wurden, einschließlich des Datums des Scans und aller Ergebnisse oder Maßnahmen, die daraufhin ergriffen wurden.
  • Änderungsprotokoll: Ein detailliertes Änderungsprotokoll aller Aktualisierungen, Modifikationen oder wichtigen Aktionen, die auf der Website durchgeführt wurden, einschließlich des Datums und der verantwortlichen Person.

Installation und Verwaltung von Plugins

• Grundsatzerklärung: Unter keinen Umständen wird ein Teammitglied Plug-ins ohne ausdrückliche schriftliche Genehmigung einer zuständigen Behörde innerhalb der Organisation installieren, aktualisieren oder entfernen. Diese Richtlinie dient dazu, nicht autorisierte Änderungen zu verhindern, die die Sicherheit oder Funktionalität der Website beeinträchtigen könnten.
  
  • Ablauf der Ausnahmen: Anträge auf Installation oder Updates von Plug-ins müssen schriftlich bei der benannten Behörde eingereicht werden, einschließlich einer Begründung für den Antrag und einer Bewertung möglicher Auswirkungen auf die Sicherheit.
  • Verbotene Plugins: Die Verwendung von Dateimanager-Plugins oder anderen Plugins, von denen bekannt ist, dass sie Sicherheitslücken aufweisen, ist strengstens untersagt. Dazu gehören unter anderem Plugins, die eine direkte Dateimanipulation innerhalb des WordPress-Dashboards ermöglichen.

Compliance und Durchsetzung

• Überwachung und Audits: Regelmäßige Audits stellen die Einhaltung dieser SOP sicher. Dazu gehören die Überprüfung der Website-Dokumentation auf Vollständigkeit, die Überprüfung der Autorisierung installierter Plugins und die Sicherstellung, dass bei Bedarf manuelle Scans durchgeführt werden.
• Nichteinhaltung: Abweichungen von dieser SOP werden unverzüglich behoben. Die Nichteinhaltung kann zu Disziplinarmaßnahmen führen, einschließlich des Entzugs der Zugriffsrechte auf die Website und der möglichen Beendigung des Arbeitsverhältnisses.

Schulung und Sensibilisierung

• Regelmäßiges Training: Alle Teammitglieder erhalten regelmäßige Schulungen zu dieser SOP, einschließlich der Bedeutung der Sicherheit bei der Website-Verwaltung, des Prozesses für Plugin-Installationsanfragen und der Durchführung effektiver manueller Scans.
• Sensibilisierungskampagnen: Laufende Sensibilisierungskampagnen werden die Bedeutung der Einhaltung von Sicherheitsprotokollen und der detaillierten Dokumentation der Website-Verwaltungsaktivitäten unterstreichen.

Anforderung an eine sichere Webverbindung

Grundsatzerklärung

Um ein Höchstmaß an Sicherheit zu gewährleisten und sich vor unbefugtem Zugriff und potenziellen Sicherheitsverletzungen zu schützen, müssen alle Teammitglieder auf das WordPress-Backend zugreifen oder alle Website-Verwaltungsaktivitäten über eine sichere Webverbindung durchführen. Öffentliche Internetverbindungen, die von Natur aus unsicher und anfällig für Abhörmaßnahmen sind, sind strengstens untersagt.

Richtlinien für sichere Verbindungen

• VPN-Nutzung: Beim Fernzugriff auf die Website müssen Benutzer ein virtuelles privates Netzwerk (VPN) verwenden, um sicherzustellen, dass ihre Verbindung sicher und verschlüsselt ist. Die IT-Abteilung kann Empfehlungen für genehmigte VPN-Dienste geben.
• WLAN-Sicherheit: Wenn Sie von zu Hause oder von privaten Netzwerken aus auf die Website zugreifen, stellen Sie sicher, dass das Wi-Fi-Netzwerk mit WPA2- oder WPA3-Verschlüsselung gesichert ist und dass das Netzwerkkennwort sicher und eindeutig ist.
• Verbot öffentlicher Netzwerke: Unter keinen Umständen sollte ein Teammitglied ein öffentliches WLAN-Netzwerk (z. B. Cafés, Bibliotheken, Hotels) verwenden, um auf das WordPress-Dashboard zuzugreifen, Updates durchzuführen oder Inhalte zu verwalten. Dazu gehört auch das Tethering über öffentliche WLAN-Netzwerke.

Compliance und Durchsetzung

• Überwachung und Erkennung: Das IT-Sicherheitsteam wird Überwachungslösungen implementieren, um alle Versuche, über unsichere oder öffentliche Netzwerke auf die Website-Verwaltungstools zuzugreifen, zu erkennen und zu warnen.
• Disziplinarmaßnahmen: Jedes Teammitglied, das gegen diese Richtlinie verstößt, muss mit sofortigen Disziplinarmaßnahmen bis hin zur Kündigung des Arbeitsverhältnisses rechnen. Diese strikte Durchsetzung ist notwendig, um die Integrität und Sicherheit unserer digitalen Vermögenswerte zu schützen.

Verantwortung und Berichterstattung der Benutzer

• Persönliche Verantwortung: Jeder Benutzer ist selbst dafür verantwortlich, die Sicherheit seiner Webverbindung beim Zugriff auf das Backend der Website zu gewährleisten. Unkenntnis der Richtlinie oder technische Herausforderungen gelten nicht als gültige Entschuldigung für die Nichteinhaltung.
• Meldung von Vorfällen: Benutzer werden aufgefordert, Vorfälle zu melden, bei denen sichere Webverbindungsprotokolle absichtlich oder unabsichtlich verletzt wurden. Eine schnelle Berichterstellung kann dazu beitragen, potenzielle Sicherheitsrisiken zu minimieren.

Schulung und Sensibilisierung

• Laufende Weiterbildung: Die Organisation wird allen Teammitgliedern fortlaufende Schulungen und Ressourcen zur Sicherung ihrer Internetverbindung, zu den mit öffentlichen Netzwerken verbundenen Risiken und zur effektiven Nutzung von VPNs zur Verfügung stellen.
• Kampagnen zur Sensibilisierung für das Sicherheitsbewusstsein: Regelmäßige Aufklärungskampagnen werden durchgeführt, um die Bedeutung dieser Richtlinie zu unterstreichen und alle Teammitglieder über Best Practices zur Aufrechterhaltung einer sicheren Webverbindung auf dem Laufenden zu halten.

---