Smartsheet erhöht die Sicherheit für die Skalierung von Unternehmen

Als SVP for Engineering bei Smartsheet leitet Gihan unsere Plattform-Teams, die sich auf die Bereiche Identitäten, Zugriff und Richtlinien, unsere Plattformen für Datenintegrations-Workflows und die Skalierung unserer Sheet-Infrastruktur konzentrieren. Im Laufe seiner 18-jährigen Karriere hat Gihan in mehreren Start-ups in diesem Bereich gearbeitet, von Automatisierungs- und Virtualisierungsplattformen für Rechenzentren bis hin zu stark skalierbaren Workflow- und Messaging-Plattformen. Gihan kam 2018 im Rahmen der Übernahme von Converse.AI, wo er Mitbegründer war, zu Smartsheet.

Letztes Jahr habe ich einen Artikel darüber verfasst, wie Smartsheet sich dazu verpflichtet, unsere Kunden bei ihrer stetigen Skalierung zu unterstützen. Ebenso wichtig ist es, unseren Kunden Sicherheits-, Governance-, Prüfungs-, Berichterstellungs- und Verwaltungsfunktionen der Enterprise-Klasse zur Verfügung zu stellen, die mit den wachsenden Anforderungen ihrer Unternehmen skaliert werden können. Deshalb geben wir uns nicht damit zufrieden, ein führendes Unternehmen im Bereich kollaboratives Arbeitsmanagement (CWM) zu sein – wir möchten unter Sicherheitsverantwortlichen in puncto Enterprise-CWM die erste Wahl sein.

Wir bei Smartsheet vertrauen auf unser eigenes Produkt als primäre Plattform für das Arbeitsmanagement. Wir wissen also aus erster Hand, dass Wachsamkeit in den Bereichen Sicherheit und Governance von entscheidender Bedeutung ist. Heute möchte ich Ihnen mehr über unsere Schwerpunkte und neuen Releases erzählen sowie einige spannende Einblicke in unsere Roadmap bezüglich der Themen Sicherheit, Governance und Verwaltung geben.    

Verbesserte Berichterstellung mit dem neuen Bericht zur Plannutzung in Plan-Insights

Aufgrund des wertvollen Feedbacks unserer Benutzer, die sich mehr Einblicke in ihre Smartsheet-Pläne wünschten, haben wir im Februar 2023 Plan-Insights eingeführt. Diese Funktion enthielt anfangs den Bericht zu verbundenen Benutzern, der Benutzern eine detaillierte Aufschlüsselung der Benutzertypen, der Gesamtzahl verbundener Benutzer und des Benutzerwachstums innerhalb eines Plans lieferte.

Im Rahmen unseres Engagements, unseren Benutzern bessere Daten zur Verfügung zu stellen, haben wir Ende 2023 ein Upgrade für Plan-Insights durchgeführt und den Bericht zu verbundenen Benutzern durch den umfassenderen Bericht zur Plannutzung ersetzt. Der neue Bericht enthält wichtige Messzahlen und detaillierte Plan- und Abrechnungsinformationen. Mittlerweile umfasst er außerdem erweiterte Benutzerberichte, die Aufschluss über die Nutzung von zentralen Assets wie Sheets, Berichten, Dashboards und Arbeitsbereichen geben. Dadurch erhalten Benutzer die Daten, die sie für die Einschätzung ihres Lizenzierungsbedarfs, die Nachvollziehbarkeit der Asset-Verteilung und eine ganzheitliche Ansicht der Smartsheet-Nutzung in ihren Plänen benötigen.

Darüber hinaus erstreckten sich unsere Bemühungen auf die Einführung von Berichten zu Advance-Funktionen für Data Shuttle und Dynamic View. Diese Berichte, die Details zu lizenzierten Kunden und zu Personen enthalten, die diese Funktionen evaluieren, liefern wertvolle Einblicke wie Nutzungsmesszahlen, die Anzahl der erstellten aktiven Ansichten/Workflows und Evaluierungsdetails. Dies erleichtert fundierte Entscheidungen hinsichtlich der Nutzung von Premium-Anwendungen und potenzieller Käufe.

Doch unser Engagement, Ihnen umfassende Einblicke zu bieten, geht noch weiter. Wir arbeiten an künftigen Verbesserungen. Unter anderem werden wir Nutzungs- und Trenddaten für Formulare, Automatisierungen, Formeln, Dateien und Proofs bereitstellen. In Smartsheet können Benutzer Effizienzgewinne und Kosteneinsparungen, die durch die Automatisierung sich wiederholender Aufgaben und die Förderung der Zusammenarbeit erzielt werden, im Kontext ihrer Arbeit beurteilen. Wir sind bestrebt, die Smartsheet-Erfahrung kontinuierlich zu verbessern, indem wir Ihnen aufschlussreiche Daten zur Verfügung stellen.

Neue und verbesserte sichere Freigabe

Die sichere Freigabe wurde grundlegend überarbeitet, um den Prozess der Eingabe, Prüfung und Verwaltung der sicheren Freigabe zu optimieren, damit Systemadministratoren weniger Zeit für die Verwaltung von Freigabeberechtigungen in Ihren Plänen aufwenden müssen.

Diese überarbeitete Richtlinie für die sichere Freigabe steht unseren Enterprise-Kunden seit Januar 2024 zur Verfügung. Um eine noch simplere Erfahrung zu gewährleisten, haben wir Sheet-Funktionalitäten in unsere Verwaltungsfunktionen integriert. Vertrauenswürdige Domänen und E-Mail-Adressen können von Systemadministratoren jetzt ganz einfach verwaltet, geprüft, per Massenimport übertragen, sortiert und durchsucht werden. Dies verbessert die Daten-Governance und die Verwaltung des Unternehmens, da Systemadministratoren einfacher nachvollziehen können, welche externen Benutzer und Domänen auf die Daten ihrer Organisation zugreifen können.

Nach Aktivierung der Richtlinie für die sichere Freigabe durch einen lizenzierten Systemadministrator werden automatisch zwei Sheets für die sichere Freigabe in einem speziellen Arbeitsbereich für Administratoreinstellungen generiert, was die Verwaltung von Domänen und E-Mail-Adressen erleichtert.

Durch die Integration von Sheets in die neue sichere Freigabe erhalten Sie die Möglichkeit, zentrale, mit Sheets verknüpfte Smartsheet-Funktionen (wie Automatisierung, Suche und Filter) auch in die neue Erfahrung zu integrieren. Administratoren erhalten Zugriff auf eine Reihe von Tools, mit denen sie Workflows hinzufügen, das Aktivitätsprotokoll und den Zellenverlauf prüfen, Zeilen in großen Mengen hinzufügen oder entfernen, unsere Data Shuttle-Funktion für automatisierte Massenaktualisierungen verwenden und in den Sheets für die sichere Freigabe Sheet-APIs nutzen können, um spezifische Anforderungen ihrer Organisation zu erfüllen.

Dieser ganzheitliche Ansatz vereinfacht nicht nur den Prozess der sicheren Freigabe, sondern gibt Systemadministratoren zudem eine umfassende Auswahl von Tools an die Hand, die eine effiziente Verwaltung und Anpassung von Freigabeberechtigungen innerhalb ihrer Pläne gewährleisten. Unser Ziel ist, eine leistungsstarke und benutzerfreundliche Erfahrung zu bieten, die die sichere Freigabe in Smartsheet transformiert.
 

Sicherung und Standardisierung der Zusammenarbeit in Organisationen

Smartsheet zeichnet sich als ein leistungsstarkes Tool zur Förderung der Zusammenarbeit zwischen Benutzern in und außerhalb von Organisationen aus. Doch mit der Ausweitung der Zusammenarbeit wächst auch das damit verbundene Risiko. Stellen Sie sich Szenarien vor, in denen externe Partner ihre Zugehörigkeit ändern oder vertraglich gebundene Ressourcen ihre Anmeldeinformationen falsch handhaben. Angesichts unserer Führungsposition im Enterprise-CWM-Markt hat der Schutz von Kundendaten für uns nach wie vor oberste Priorität.

Auch wenn eine direkte Kontrolle über die Sicherheits- und Zugriffsrichtlinien externer Benutzer nicht immer möglich ist, legen wir ein besonderes Augenmerk darauf, Benutzern die vollständige Kontrolle darüber zu geben, wie Mitarbeiter auf Assets zugreifen. Dieser Bemühung entsprechend haben wir kürzlich zwei robuste Sicherheitsfunktionen eingeführt, die exklusiv für unsere Kunden mit Enterprise-Plan entwickelt wurden: „Unternehmenskonten verlangen“ und „MFA verlangen“. Diese Funktionen dienen dazu, die Sicherheitsmaßnahmen im Zusammenhang mit externer Zusammenarbeit zu verstärken und die Kontrolle fest in die Hände der Kunden zu legen.

Wenn die Richtlinie „Unternehmenskonten verlangen“ von Systemadministratoren aktiviert wird, müssen sich externe Mitarbeiter mit ihren Unternehmensanmeldeinformationen oder per Einmalanmeldung (Single Sign-On, SSO) bei Smartsheet anmelden, um im Konto auf freigegebene Assets zuzugreifen. Systemadministratoren können die Sicherheit weiter erhöhen, indem sie die Richtlinie „MFA verlangen“ aktivieren. Diese schreibt vor, dass externe Mitarbeiter ihre Identität mithilfe einer Multi-Faktor-Authentifizierung (MFA) bestätigen müssen, um auf die Assets eines Plans zuzugreifen. In Fällen, in denen die standardmäßige MFA für externe Mitarbeiter über ihren Identitätsanbieter nicht möglich ist, sendet Smartsheet per E-Mail ein zeitlich begrenztes Einmalkennwort, wenn auf Assets zugegriffen wird. Darüber hinaus besteht die Möglichkeit, bestimmte vertrauenswürdige Domänen und E-Mail-Adressen mittels Ausnahmelisten von diesen Richtlinien auszuschließen, die mit den neuen Richtlinien für die sichere Freigabe verbunden ist.

Diese Verbesserungen erhöhen nicht nur die Datensicherheit, sondern standardisieren auch den Authentifizierungsprozess für externe Benutzer. Damit bekräftigen wir unser Engagement für eine sichere Umgebung, welche die Zusammenarbeit in Unternehmen fördert. Für Ende April 2024 planen wir, diese Erfahrung weiter zu verbessern, indem wir es Systemadministratoren ermöglichen, Benachrichtigungen zu Änderungen an diesen Richtlinien an Arbeitsbereichsadministratoren zu senden, um die Transparenz und Verantwortlichkeit im Sicherheitsmanagementprozess zu gewährleisten.
 

Zentralisierung der Kontrolle und Verbesserung der Authentifizierungssicherheit

In vielen Unternehmen arbeiten verschiedene Abteilungen in der Regel mit separaten Smartsheet-Plänen. In solchen Szenarien müssen Systemadministratoren mit der Komplexität und Sicherheitsrisiken umgehen, die mit der Verwaltung mehrerer Anmeldungen oder SSO-Konfigurationen in diesen verschiedenen Abteilungen oder Plänen verbunden sind. Darüber hinaus erstreckt sich die Herausforderung auch auf Benutzer, für die Smartsheet-Assets in Plänen anderer Organisationen freigegeben werden, bei denen der Systemadministrator möglicherweise keine Kontrolle hat.

Die Nutzung weniger sicherer Authentifizierungsmethoden, z. B. E-Mail/Kennwort-Kombinationen, stellt eine zusätzliche Risikoebene dar, insbesondere in unserer dynamischen Bedrohungslandschaft. Ein typisches Beispiel dafür ist der Digital Defense Report 2023 von Microsoft, in dem hervorgehoben wurde, dass im Vorjahr durchschnittlich 4.000 kennwortbasierte Angriffe pro Sekunde blockiert wurden. Dies unterstreicht die dringende Notwendigkeit robuster Sicherheitsmaßnahmen angesichts sich entwickelnder Bedrohungen.

Im Rahmen unseres kontinuierlichen Engagements für die Verbesserung der Sicherheit haben wir ein Projekt zur Verwaltung skalierbarer Richtlinien gestartet. Eine der entscheidenden Phasen dieses Projekts ist die Migration von Anmelderichtlinien in die Domänenebene. Letzte Woche haben wir eine wichtige Verbesserung speziell für Systemadministratoren in Enterprise-Plänen eingeführt: die Möglichkeit, SAML-basierte SSO auf Domänenebene zu erzwingen. Diese strategische Funktion ermöglicht es Unternehmen, Sicherheitsprotokolle zu standardisieren, die Kontrolle zu zentralisieren und die SAML-Einrichtung direkt im Admin Center durchzuführen, wodurch das Verfahren auf einen einzigen umfassenden Schritt vereinfacht wird.

Unsere Roadmap enthält mit Blick auf die Zukunft einige wichtige Meilensteine. Bis Mitte 2024 werden wir die weniger sichere kennwortbasierte Anmeldemethode durch eine erweiterte E-Mail-Einmalkennwort-Anmeldeoption ersetzen, um die Authentifizierungssicherheit weiter zu erhöhen. Anschließend planen wir, im Spätsommer 2024 die Google- und Azure-SSO-Anmeldemethoden auf die Domänenebene umzustellen. Diese konzertierten Bemühungen stehen im Einklang mit unserem Ziel, die Smartsheet-Sicherheit zu verbessern, indem wir Benutzer mit in der Branche empfohlenen SSO-basierten Authentifizierungsmechanismen vertraut machen und weniger sichere kennwortbasierte Anmeldungen schrittweise abschaffen.          

Beseitigung von Problemen bei der Übertragung von und dem Zugriff auf Assets durch Inhaberschaft auf Planebene

Mit vermehrter Nutzung von Assets in Unternehmen wird die Verwaltung der Inhaberschaft von Assets komplizierter. Das aktuelle Modell der Inhaberschaft von Assets durch Benutzer sorgt für zusätzlichen Verwaltungsaufwand, insbesondere wenn wichtige Stakeholder oder Asset-Inhaber das Unternehmen verlassen. Durch die Umstellung auf ein Modell, bei dem Assets im Besitz von Plänen sein werden, müssen Assets nicht mehr zwischen Benutzern verschoben werden.

Im Zuge dieser Änderung entfernen wir das Konzept des Asset-Inhabers. Sämtliche Asset-Administratoren werden über die notwendigen Rechte zur Verwaltung des Lebenszyklus eines Assets verfügen, einschließlich der Beantwortung von Zugriffsanforderungen. Dies ermöglicht eine sichere, schnellere Zusammenarbeit und beseitigt Hindernisse im Zusammenhang mit der Inhaberschaft durch einzelne Benutzer. Außerdem führen wir eine neue Administratorrolle namens Plan-Asset-Administrator ein, die Asset-Anforderungen verarbeiten können, wenn Inhaber oder Administratoren nicht verfügbar sind. Plan-Asset-Administratoren werden zudem die Möglichkeit haben, Assets umzubenennen, zu löschen oder Berechtigungen für ein Asset zuzuweisen, um zu verhindern, dass Assets verwaisen. Wenn kein Asset-Administrator/-Inhaber definiert ist und in einem Plan kein Plan-Asset-Administrator angegeben ist, werden Asset-Zugriffsanforderungen an den Systemadministrator weitergeleitet, um eine zuverlässige Benutzerkette zu gewährleisten, in der Arbeit voranschreitet.

Diese Änderungen sind derzeit im Early Adopter Program (EAP) enthalten und werden in den kommenden Wochen für alle Kunden verfügbar sein. Gegen Ende des Jahres planen wir, das Konzept eines „Inhabers“ von Assets abzuschaffen, da Assets im Besitz von Plänen sind, und damit die Umstellung auf das planbasierte Modell der Asset-Inhaberschaft zu vollenden.

Was Sie erwartet

Sicherheit und Skalierbarkeit sind ein stetiges Unterfangen. Wir arbeiten weiter an Lösungen zur Verbesserung der Sicherheitslage unserer Kunden, die ihre Nutzung von Smartsheet immer großflächiger anlegen, indem wir: 

• das Erscheinungsbild verschiedener auf die Anmeldung und den Zugriff bezogene Smartsheet-Benachrichtigungs-E-Mails verbessern, um die Lesbarkeit zu verbessern und die Wahrscheinlichkeit zu erhöhen, dass bei Benachrichtigungen geeignete Maßnahmen ergriffen werden.
• eine neue Freigabeberechtigungsstufe zwischen „Administrator“ und „Bearbeiter“ hinzufügen, um Szenarien abzudecken, die eine Zugriffsebene zwischen diesen beiden erfordern.
• Unterstützung für Servicekonten hinzufügen, sodass Kunden API-Benutzerzugriffstoken generieren können, die von Smartsheet-APIs erkannt und berücksichtigt werden.

Wir hoffen, dass dies einen Einblick in die Arbeit gibt, die wir „unter der Haube“ leisten, um unser Angebot in Sachen Sicherheit, Governance, Berichterstellung und Verwaltung zu verbessern, damit Unternehmen Arbeit und Prozesse sorgenfrei skalieren können.

Erhalten Sie noch mehr Einblicke darin, wie Smartsheet eine revolutionäre Plattform bietet, welche die Arbeit Ihres Unternehmens größenangepasst unterstützt – und erfahren Sie mehr über weitere Innovationen, an denen wir arbeiten. Außerdem finden Sie in unserem Trust Center detaillierte Smartsheet-Dokumentation zu Sicherheit, Datenschutz, Compliance und Zuverlässigkeit. 

Sie möchten über die Veröffentlichung dieser Verbesserungen informiert werden? Abonnieren Sie einfach den Kanal für Produktankündigungen in der Smartsheet-Community oder unsere Produktrelease-News, um in Echtzeit benachrichtigt zu werden. Nur Kunden können Kanäle abonnieren. Sie sind noch kein Kunde? Dann testen Sie uns einfach.

Ihre Meinung und die Zusammenarbeit mit Ihnen liegt uns am Herzen. Wenn Sie mit unserer Produkt- und Entwicklungsleitung über diese Themen sprechen möchten, wenden Sie sich an Ihren CSM oder Handelsvertreter.