IT-Sicherheit

Wo möchten Sie anfangen?

Manche kommen zu uns, weil sie schlicht wissen wollen, wie gut ihre IT geschützt ist. Andere haben einen Fragebogen vom Kunden auf dem Tisch, eine Frist im Kalender oder eine Richtlinie, die plötzlich für sie gilt. Beides führt zu unterschiedlichen ersten Schritten.

Erst einmal wissen, wie es steht

Pflichten erfüllen und dauerhaft halten

IT-Sicherheitskonzept

Das Konzept hält fest, welche Standards für Ihr Unternehmen gelten und mit welchen Systemen Sie sie erfüllen. Damit können Sie Maßnahmen umsetzen und, was in der Praxis fast noch wichtiger ist, ein Jahr später nachlesen, warum Sie sich damals so entschieden haben. Genau danach fragt im Zweifel auch die Aufsichtsbehörde.

Sechs Bausteine gehören aus unserer Sicht hinein:

Wie so ein Konzept entsteht, wer daran mitarbeitet und wie lange es dauert, steht ausführlich auf der Seite zum IT-Sicherheitskonzept.

IT-Audit

Wir prüfen, ob Ihre Prozesse den Anforderungen genügen. Was wir dabei finden, steht anschließend in einem Bericht, zu jedem Punkt mit einer Maßnahme, die sich tatsächlich umsetzen lässt und nicht nur gut klingt. Sie arbeiten die Liste ab. Am Ende haben Sie einen Nachweis, dass Sie hingesehen haben.

Der Umfang richtet sich danach, ob wir vor Ort sind und wie viele Standorte und Prozesse dazugehören. Ein Audit ersetzt kein Konzept, sondern prüft, ob das Konzept im Alltag trägt.

Penetrationstest

Sie wollen unabhängig geprüft wissen, ob Ihre Systeme einem Angriff von außen standhalten, ohne dabei selbst ein Risiko einzugehen. Genau dafür ist der Penetrationstest da. Wir analysieren das System, scannen in der Regel Firewall oder Webseite intensiv und sagen Ihnen anschließend, was zu tun ist. Ohne Fachchinesisch.

Den Bericht bekommen Sie im Ampelsystem. Ihre IT-Abteilung sieht damit auf einen Blick, was zuerst dran ist:

Phishing-Simulation

Technik lässt sich härten. Der Mensch am Schreibtisch bleibt das Ziel, und angegriffen wird er per E-Mail: eine Rechnung, die fast stimmt, eine Bitte der Geschäftsführung, die dringend klingt und ausgerechnet am Freitagnachmittag kommt.

Wir schicken Ihren Mitarbeitenden eine solche Fälschung, vorher mit Ihnen abgestimmt. Wer klickt, landet nicht auf einer Liste, sondern auf einer kurzen Lernseite, die genau erklärt, woran diese Mail zu erkennen war. Sie bekommen die Quote, keine Namen.

Wenn Sie unter NIS 2 fallen oder auf ISO 27001 zugehen, zählt das doppelt: Sensibilisierung der Mitarbeitenden ist dort gefordert, und die Auswertung ist Ihr Nachweis, dass sie stattgefunden hat. Mehr dazu auf der Seite zur Phishing-Simulation; die Lerninhalte selbst finden Sie unter E-Learning.

NIS 2

NIS 2 betrifft deutlich mehr Unternehmen als die Regelung davor, und die meisten wissen nicht, ob sie dazugehören. Wir klären diese Frage zuerst, denn sie entscheidet über alles Weitere. Sie hängt an Branche, Unternehmensgröße und daran, ob Sie einem betroffenen Unternehmen zuliefern.

Fällt Ihr Unternehmen darunter, sehen wir uns an, was schon vorhanden ist. Erfahrungsgemäß ist das mehr, als die Geschäftsführung vermutet: ein Sicherheitskonzept, ein getestetes Backup und geregelte Meldewege zahlen unmittelbar auf die Anforderungen ein. Fällt es nicht darunter, sagen wir Ihnen genau das. Dann haben Sie es schriftlich und können den Ordner zumachen.

ISO 27001

Holger Filges, Geschäftsführer der SICODA GmbH, ist lizenzierter Auditor für ISO-27001-Audits auf der Basis von IT-Grundschutz des Bundesamtes für Sicherheit in der Informationstechnik. Wir kennen die Norm also nicht aus der Beratungsperspektive allein, sondern auch von der anderen Seite des Tisches.

Der Einstieg ist meist eine Gap-Analyse: Ihr Ist-Stand gegen den Normkatalog, Punkt für Punkt. Heraus kommt eine Liste, die nach Dringlichkeit sortiert ist und nicht nach Kapitelnummer. Viele Anforderungen sind längst erfüllt und nur nirgends festgehalten, andere fallen erst beim genauen Hinsehen auf.

Ob am Ende ein Zertifikat stehen soll, entscheiden Sie danach. Manche brauchen es, weil ein Kunde oder eine Ausschreibung es verlangt. Für andere ist die Norm einfach die beste verfügbare Checkliste. Was eine Zertifizierung auf Basis IT-Grundschutz umfasst, steht auf der Seite zu ISO 27001 und IT-Grundschutz.

Virtueller Informationssicherheitsbeauftragter

Die Rolle ist gefordert, eine eigene Stelle lohnt sich nicht. In diesem Zwischenraum steckt der halbe Mittelstand: für einen hauptamtlichen Informationssicherheitsbeauftragten fehlt das Volumen, für gar keinen fehlt die Absicherung. Häufig übernimmt es dann der IT-Leiter nebenbei und kontrolliert damit seine eigene Arbeit.

Wir übernehmen die Rolle von außen. Sie bekommen einen festen Zeitanteil, eine namentlich benannte Person und jemanden, der sich im nächsten Jahr noch daran erinnert, was in diesem entschieden wurde.

Häufige Fragen

Was unterscheidet ein Audit von einem Penetrationstest?

Das Audit sieht sich Ihre Prozesse und Nachweise an. Ist geregelt, dokumentiert und gelebt, was geregelt sein muss? Der Penetrationstest sieht sich Ihre Technik an und fragt nur eines: Komme ich rein? Das eine ersetzt das andere nicht.

Womit fangen wir an, wenn bisher gar nichts dokumentiert ist?

Mit dem Sicherheitskonzept. Ein Audit gegen eine Grundlage, die es nicht gibt, findet vor allem eines: dass es sie nicht gibt. Steht das Konzept, ist es die Bezugsgröße für alles Weitere, für das Audit genauso wie für NIS 2 oder ISO 27001.

Brauchen wir das Sicherheitskonzept, wenn wir schon eine IT-Abteilung haben?

Meistens ja. Ihre IT-Abteilung betreibt die Systeme, das Konzept hält die Entscheidungen dahinter fest und ist im Ernstfall Ihr Nachweis, dass Sie Ihrer Sorgfaltspflicht nachgekommen sind. Erfahrungsgemäß ist ohnehin vieles längst vorhanden, nur eben verteilt über Köpfe, Wikis und alte Mailverläufe.

Fallen wir unter NIS 2?

Das lässt sich pauschal nicht sagen, und genau deshalb steht die Betroffenheitsanalyse bei uns am Anfang. Entscheidend sind Branche, Größe und Ihre Rolle in der Lieferkette. Auch wer selbst nicht betroffen ist, bekommt die Anforderungen häufig über einen Kunden gestellt, der es ist.

Brauchen wir wirklich einen Informationssicherheitsbeauftragten?

Verlangt wird die Rolle nicht von jedem, gefragt wird nach ihr inzwischen fast überall: in Kundenfragebögen, bei Versicherungen, im Audit. Wer sie intern besetzt, sollte darauf achten, dass nicht dieselbe Person die Systeme betreibt und ihre Absicherung beurteilt. Von außen ist diese Trennung automatisch gegeben.

Müssen wir uns nach ISO 27001 zertifizieren lassen?

Nur, wenn Sie das Zertifikat vorzeigen müssen. Der Nutzen der Norm steckt in der Gap-Analyse, und die können Sie machen, ohne sich anschließend zertifizieren zu lassen. Viele beginnen so und entscheiden erst danach, ob ein Zertifikat den Aufwand wert ist.

Stört ein Penetrationstest den laufenden Betrieb?

Nein. Umfang, Zeitfenster und die betroffenen Systeme legen wir vorher gemeinsam fest. Wir wollen Schwachstellen finden, nicht Ihren Betrieb anhalten.

Was kostet das Ganze?

Das hängt vom Umfang ab, und der ist bei jeder der Leistungen an etwas anderes gebunden. Wir schätzen ihn im Erstgespräch ein und nennen Ihnen danach einen verbindlichen Preis. Das Gespräch selbst kostet nichts.

Weiterführend