für ein IT-Sicherheitskonzept

Der Einstieg zur Erstellung eines IT-Sicherheitskonzeptes gestaltet sich in vielen Fällen ähnlich. Zunächst wird der Bestand registriert, danach notwendige Schritte abgeleitet und umgesetzt. In regelmäßigen Abständen erfolgt die Sicherstellung der Einhaltung (Plan-Do-Check-Act).

Initial werden also die wesentlichen Geschäftsprozesse aufgenommen. Dieser Schritt ist wichtig, um feststellen zu können - immer im Fokus der IT - welche IT-Anwendungen dafür verwendet werden. Sie werden staunen, welche Vielfalt an IT-technischen Mitteln sich im Laufe der Zeit für Ihr Geschäft etabliert haben - hier können Sie Sinn und Zweck unnötiger Bausteine infrage stellen:

Im Folgeschritt werden die Teilprozesse und die damit verwendeten Hard- und Softwarekomponenten bestimmt. Für den späteren Schritt ist diese Information notwendig, um den Schutzbedarf feststellen zu können:

Ist bekannt, mit welchen Systemen gearbeitet wird, kann daraus abgeleitet werden, welche Komponenten unbedingt funktionieren müssen (PRIO-A-Systeme und -Prozesse) damit der Betrieb sichergestellt werden kann:

In weiteren Schritten werden zunächst vielverwendete Prio-A-Systeme untersucht:

Seit wann sind diese Systeme bereits in Betrieb?
Gibt es Wartungspläne und Supportgarantie?
Wie ist der physikalische Zugang geregelt?
Sind die Räume abgeschlossen?
Gibt es unabhängige Stromversorgungen und funktionieren diese?
Werden regelmäßig ausreichende Backups erstellt und kontrolliert?

... und viele weitere Fragen - aber keine Sorge: Darum kümmern wir uns im Zuge der Erstellung eines IT-Sicherheitskonzeptes.

Das IT-Sicherheitskonzept soll dafür sorge tragen, dass gesetzliche Vorschriften eingehalten werden, die Möglichkeit unerwarteter Überraschungen minimiert wird und Ihr Unternehmen im Notfall über geeignete Maßnahmen verfügt, um den weiteren Betrieb sicherstellen zu können.

Wir unterstützen Sie gerne bie der Erstellung eines IT-Sicherheitskonzeptes.

Kontaktieren Sie uns.

Beispiel: als Forensiker

Szenario 1: Ein Mitarbeiter verlässt das Unternehmen und sie vermissen unternehmerische Daten? Waren noch Daten auf dem Laptop oder Smartphone des ehemaligen Kollegen? Wurden diese auf dem gemeinsamen Laufwerk abgelegt oder am Ende ohne Sicherung gelöscht? Wir können prüfen, ob sich auf Datenträgern wie Festplatten oder USB-Speichermedien gelöschte Daten befunden haben und schlagen im Nachgang Verbesserungen im Umgang mit diesem Szenario vor.

Szenario 2: Sie möchten herausfinden, ob der IT-Dienstleister, der Ihre PC- und Laptop-Systeme in regelmäßigen Abständen tauscht, die Daten darauf auch sicher löscht? Wir können Stichprobenprüfungen anstellen und herausfinden, ob die Daten auf Leasinggeräten zuverlässig vor dem Versenden gelöscht werden - natürlich mit Dokumentation und abschließendem Bericht.

Beispiel: als Pentester

Szenario 1: Sie möchten wissen, ob WLAN-Netzwerke in Ihren Firmengebäuden aktiv sind, die nicht in der Netzwerkplanung des Unternehmens verzeichnet sind? Wir können herausfinden, ob versteckte WLAN-Systeme aktiv sind und u. U. welchen Zweck diese erfüllen.

Szenario 2: Unter Berücksichtigung vorheriger Absprachen mit der Unternehmensleitung können wir Ihr Netzwerk auf Schwachstellen prüfen und feststellen, ob Zugriffsrechte sinnvoll gesetzt oder ungewollt digitale Türen eingebaut sind, durch die Eindringlinge schlüpfen und Ihr Netzwerk kompromittieren können - und das lange bevor der eigentliche Angriff stattfindet.

Beispiel: Seminare und Kurse

Szenario 1: Bis auf bestimmte Ausnahmen ist eine reale Person - meistens der eigene Mitarbeiter - der Auslöser für die Verbreitung digitaler Schädlinge im Firmennetzwerk. Der Wissenstransfer über die Art und Weise der Verbreitung von Malware muss dem eigenen Mitarbeiter nahegebracht werden. Wir stellen nach bestimmten Kriterien Schulungsbedarfe fest. Am Beispiel müssen Ihre Kollegen in der Personalabteilung (HR), der Buchhaltung, im Einkauf oder Vertrieb intensiver in regelmäßigen Abständen geschult werden.

Szenario 2: An Fallbeispielen lernen die Mitarbeiter, wie sie sich in heiklen Situationen verhalten: Ist ein System infiziert? To-do-Liste: Netzwerkstecker ziehen, Computer nicht ausschalten, IT informieren und weitere Anweisungen abwarten. Doch wo war der Netzwerkstecker und wie entfernt man im Notfall das Netzwerkkabel aus der Dose, ohne diese zu beschädigen? All diese Maßnahmen werden in regelmäßigen Schulungseinheiten geübt.

Beispiel: Sicherheitskonzept

Szenario 1: Ihre Unternehmensstrukturen sind gewachsen? Über einen Zeitraum von mehreren Jahren wurden an Ecken und Enden Server, Computer und Netzwerkkomponenten hinzugefügt? Hier sehen wir uns als Ihr Berater für eine generelle Strategie in Fragen der IT-Sicherheit. Als zertifizierter Informationssicherheitsbeauftragter 27001 finden wir zunächst "Baustellen", die dringend bearbeitet werden müssen. Danach stellen wir die Schutzbedarfe wichtiger Komponenten fest und stimmen mit Ihnen Maßnahmen ab, um im Notfall gewappnet zu sein.

Szenario 2: IT-Sicherheit kann messbar sein! TCO und ROSI sind wichtige Kennzahlen, um die IT-Sicherheit im Unternehmen messbarer zu machen. Hinzu kommen "klassische" Indikatoren wie die Anzahl der geschulten Mitarbeiter, Umsetzung von Maßnahmen oder z. B. der Abdeckungsgrad von Geschäftsprozessen.