IT-Security: Sicherheit, die Sie belegen können
Nicht noch ein Werkzeug, sondern Zuständigkeiten, Abläufe und Nachweise. Damit Sie auf die Frage eines Kunden antworten können, ohne erst zu suchen.
Dienstag, 10:15 Uhr
Ein Kunde schickt einen Fragebogen: Welche Sicherheitsmaßnahmen haben Sie, und wo ist das dokumentiert? Abgabe in zwei Wochen.
Vieles davon gibt es vermutlich. Aber wer weiß es genau, wo steht es, und welche Fassung gilt? Plötzlich ist Sicherheit keine Technikfrage mehr, sondern eine Frage der Nachweise.
Worum es hier geht: um Abwehr, Erkennung und Nachweisbarkeit — von der Basishygiene bis zur Auditfähigkeit. Um Aufbau und Betrieb Ihrer IT geht es auf der Seite IT-Infrastruktur, um die Pflichten aus der DSGVO auf der Seite Datenschutz.
Drei Reifegrade — und was Sie danach beantworten können
Stufe 1: Grundlagen schließen
Zweiter Faktor für alle Konten, Aktualisierungen, Berechtigungen aufräumen, Sicherungen prüfen, Passwortverwaltung einführen.
Danach beantwortbar: Kann sich ein Konto ohne zweiten Faktor anmelden? Wer darf auf die Ablage mit den Personaldaten?
Stufe 2: Härten und erkennen
Netzsegmentierung, Schutz der Endgeräte, Protokolle, Alarmwege, Notfallplan und ein echter Wiederherstellungstest.
Danach beantwortbar: Wie schnell merken wir einen Vorfall — und wie lange sind wir ohne unsere Systeme arbeitsfähig?
Stufe 3: Nachweisen und steuern
Richtlinien, Risikoanalyse, Maßnahmenverfolgung, interne Prüfungen, Lieferanten- und Dienstleisterbewertung, ISO-27001-Vorbereitung.
Danach beantwortbar: Wo liegt der Nachweis, wenn ein Kunde, ein Versicherer oder ein Auditor danach fragt?
Meistens beginnt es mit einer Anforderung von außen
Sicherheit wird selten zum Thema, weil jemand Langeweile hat. Es gibt fast immer einen Anlass:
- Ein Kunde oder Auftraggeber verlangt Auskünfte zu Ihren Maßnahmen.
- Bei einer Ausschreibung oder Lieferantenprüfung wird ein Konzept erwartet.
- Eine Versicherung oder ein Verband stellt Fragen zum Risiko.
- Eine Auftragsverarbeitung soll abgeschlossen werden und die Anlage fehlt.
- Ein Vorfall ist passiert — und die Frage „Wer macht eigentlich was?“ ist offen.
In allen Fällen ist der Engpass derselbe: Es gibt keinen Zustand, den man vorlegen kann. Genau daran arbeiten wir zuerst.
Organisation und Technik: beides nötig
Organisatorisch
- Zuständigkeiten und Vertretungen
- Richtlinien, die kurz genug sind, um gelesen zu werden
- Risikoanalyse und Maßnahmenverfolgung
- Ansprechwege bei einem Verdacht
- Nachweise, die man vorlegen kann
Technisch
- Anmeldung und Berechtigungen
- Aktualisierung von Systemen und Anwendungen
- Trennung von Netzbereichen
- Sicherungen und getestete Wiederherstellung
- Protokolle, die man im Zweifel auch auswerten kann
Was danach auf dem Tisch liegt
- Maßnahmenkatalog mit Priorität und Aufwandnach Wirkung sortiert, nicht nach Herstellerkatalog
- Risikoliste mit benanntem Restrisikoinklusive der Punkte, die bewusst offen bleiben
- Notfallplan mit Ansprechwegen und Reihenfolgewer ruft wen, wer entscheidet, was zuerst
- Nachweisordner für Kundenanfragengeordnet nach den Fragen, die tatsächlich gestellt werden
- Managementbericht in verständlicher Spracheohne Fachbegriffe, die niemand im Haus benutzt
Was ein Security-Vorhaben nicht ist
- Kein Produktkauf. Werkzeuge kommen zuletzt. Wer zuerst einkauft, hat Ausgaben und trotzdem keine Antworten.
- Keine Zertifizierung durch mich. Die Zertifizierung nimmt eine unabhängige Stelle vor. Ich bereite vor — das bleibt getrennt.
- Kein Ersatz für Ihre IT-Betreuung. Laufende Betreuung und Sicherheitsvorhaben sind zwei Rollen, die getrennt besetzt sein dürfen.
- Keine Garantie gegen Vorfälle. Es gibt keine. Erreichbar ist: Risiken zu kennen, sie zu begrenzen und im Fall des Falls zu wissen, was zu tun ist.
Passt das zu Ihnen?
Passt, wenn …
- eine Anforderung, eine Prüfung oder eine Ausschreibung ansteht und Sie etwas vorlegen müssen.
- Sie wissen wollen, wo Sie heute tatsächlich stehen — nicht, wo Sie sein sollten.
- ein ISO-27001-Vorhaben Struktur, Termine und Zuständigkeiten braucht.
- Sie vor einem größeren Umbau zuerst die Sicherheit klären wollen.
Passt nicht, wenn …
- Sie eine Zertifizierung selbst einkaufen wollen — dafür brauchen Sie eine Zertifizierungsstelle.
- Sie vor allem einen Wachdienst, Notdienst oder Betriebsdienstleister suchen.
- Sie eine fertige Lösung suchen, die man nur bestellen muss.
Für den Aufbau selbst: Onlineisms
Wenn ein ISMS nicht nur begleitet, sondern im Haus gepflegt werden soll, nutze ich dafür Onlineisms — eine Plattform für Dokumentation und Aufbau von Managementsystemen nach ISO 27001, die ich vollständig selbst entwickelt habe. onlineisms.de ansehen
Häufige Fragen zur IT-Security
Begleiten Sie auch ISO-27001-Vorhaben?
Ja, von der Risikoanalyse über die Maßnahmenplanung bis zur Auditfähigkeit. Die Zertifizierung selbst nimmt eine unabhängige Zertifizierungsstelle vor — eine Begleitung, die selbst zertifiziert, wäre ein Widerspruch in sich.
Wir haben schon Firewall und Virenschutz — was fehlt dann noch?
In der Praxis fehlen selten Werkzeuge. Es fehlen Zuständigkeiten, Nachweise und Abläufe: Wer reagiert worauf, wo liegt die Dokumentation, und wann wurde zuletzt eine Wiederherstellung getestet? Genau das entscheidet, ob eine Kundenanfrage in einer Stunde oder in einer Woche beantwortet ist.
Wie viel eigene Zeit kostet so ein Vorhaben?
Es kostet intern spürbar Zeit, vor allem für Abstimmung und Entscheidungen. Ich halte diese Zeit klein, indem ich Vorlagen mitbringe und Termine vorbereite — aber Entscheidungen kann ich Ihnen nicht abnehmen, und das wäre auch der falsche Weg.
Arbeiten Sie mit unserem IT-Dienstleister zusammen?
Ja. Technische Maßnahmen gehören in der Regel zu Ihrem Dienstleister, Struktur und Nachweise zu mir. Ich arbeite zu und ersetze niemanden — das ist meist die schnellste Variante für alle Beteiligten.
Was kostet die Begleitung?
Das Erstgespräch ist kostenfrei. Danach erhalten Sie eine Aufwandsschätzung mit Varianten, damit Sie über den Umfang entscheiden. Verbindliche Zahlen nenne ich erst, wenn ich Ihre Umgebung und Ihre Anforderungen kenne.
Wie hängt das mit Datenschutz zusammen?
Datenschutz und IT-Sicherheit überschneiden sich bei der Sicherheit der Verarbeitung, sind aber nicht dasselbe. Technische und organisatorische Maßnahmen, Löschkonzepte und Verzeichnisse gehören zum Datenschutz — dafür gibt es die separaten Leistungen.
Wissen Sie, wo Sie stehen?
Erzählen Sie mir, welche Anforderung ansteht. Die erste Einschätzung ist kostenfrei.