IT-Sicherheit und Audits
Ob Intrusion Detection oder Prevention, Content-Security, Verschlüsselung und Signatur, Firewalling, Security Monitoring – die von uns konzipierten Maßnahmen und Audits dienen
- der Vermeidung von Risiken
- der Verkleinerung von Bedrohungen oder Schwachstellen
- der Entdeckung unerwünschter Ereignisse
- der Eingrenzung der Auswirkungen eines unerwünschten Ereignisses oder
- der Wiederherstellung eines früheren Zustandes
Audit
Bei einem Security-Audit vergleichen wir u.a. den Ist-Zustand eines Systems mit Installations- bzw. Konfigurationsrichtlinien. Hierzu zählen: vorhandene Vorgaben und Richtlinien, dabei auch gleichzeitige Überprüfung der Angemessenheit der Richtlinien, ggf. Heranziehen generischer Checklisten oder allgemein anerkannter Best Practice Verfahren. Dadurch bleibt der Aufwand für die Durchführung des Verfahrens dem Wert der IT-Anwendungen und den Werten des Kunden stets angemessen.
Prinzip
Das gesamte Verfahren wird dem Auftrageber transparent gemacht. Es werden nach Möglichkeit keine versteckten Annahmen gemacht, die z.B. dazu führen, dass Bedrohungen unbetrachtet bleiben. Alle Bewertungen werden begründet, um subjektive Einflüsse zu erkennen und so weit wie möglich zu vermeiden. Alle Schritte werden so dokumentiert, dass sie später auch für andere nachvollziehbar sind. Ein derartiges Vorgehen erleichtert auch eine spätere Überarbeitung des IT-Sicherheitskonzeptes.
Durchführung
Zu Beginn erfolgt eine Analyse der aufgenommen Prozesse und der Security-Infrastruktur. Die erkannten Risiken werden aufgezeigt und in ihrer Bedrohung eingestuft. Daran schließt sich die Durchführung einer Bedrohungsanalyse für das Gesamtsystem (inkl. Ermittlung des Schadenumfangs und der Schadenskosten bei Eintritt eines Risikos) an. Abschließend erfolgt die Ermittlung des Sicherheitsbedarfs des Kunden.
Penetrationstest
Bei einem Penetrationstest testen wir den Schutz eines Systems auf seine Wirksamkeit, z.B. durch Durchdringen oder Umgehen der Firewallkonfiguration, Lahmlegen eines Servers oder Dienstes, Einsehen oder Kopieren von vertraulichen Daten, Verändern von Bestandsdaten, unberechtigtes Anmelden z.B. als Systemadministrator, Ausbrechen aus Anwendungsgrenzen etc..
Bericht und Bewertung
Aus dem durchgeführten Audit, den vorgenommenen Tests und der gesichteten Kundendokumentation fertigen wir einen aussagefähigen und detaillierten Bericht, der Ihnen zeigt, wo Ihr Unternehmen steht. Wir bewerten individuell nach Kundenbedürfnis und gehen auf Ihre spezielle Situation ein. Dabei achten wir darauf, dass unsere Empfehlungen nicht vom Wunsch nach „Anschlussgeschäften“ beeinflußt sind, sondern wirklich für Sie hilfreich und lohnend sind.
Angemessener Aufwand
Für technische Sicherheitslösungen kann man selbstverständlich sehr hohen Aufwand betreiben. Wir finden: Der Aufwand für die Konzeption, Einführung und den Betrieb der Lösung sollte dem Unternehmen angemessen sein.
Wir stehen für unsere Konzepte gerade! Wir begleiten die Umsetzung in Eigenverantwortung oder gemeinsam mit dem Kunden im Team.
Gern kontrollieren wir auch nur die konzeptgemäße Realisierung durch den Kunden oder seinen bevorzugten Dienstleister.
Zu unserem Selbstverständnis gehört es, dass wir auch nach einem Audit weiterhin mit Rat und Tat zur Verfügung stehen.
