Cybersecurity-Audits
Belege statt Annahmen.
Ein Audit ist keine Meinung über Ihre Sicherheit. Es ist ein strukturierter Vergleich zwischen dem, was eine anerkannte Baseline verlangt, und dem, was Ihre Systeme tatsächlich tun – so aufgeschrieben, dass nächstes Jahr jemand dasselbe nachprüfen und eine vergleichbare Antwort bekommen kann.
Das Problem
Die meisten Sicherheitsberichte lassen sich nicht nachprüfen.
Sie beschreiben Eindrücke, benoten sie mit Farben und lassen den Leser ratlos zurück, ob sich ein halbes Jahr später etwas verbessert hat. Im Befund steht „unzureichende Zugriffskontrolle“, und der Leser hat keine Möglichkeit, das nachzuvollziehen, zu bestreiten oder abzuschliessen.
Jeder Befund, den wir schreiben, trägt drei Dinge bei sich: was geprüft wurde, was die Baseline verlangt und wie sich die Behebung nachweisen lässt. Können wir nicht alle drei liefern, ist es eine Beobachtung – und wird auch so bezeichnet.
Audit ist nicht Analyse. Ein Audit vergleicht Ihre Systeme mit einem Standard, im Wesentlichen über Zugang und Unterlagen. Eine Sicherheitsanalyse versucht einzubrechen. Sie beantworten verschiedene Fragen und werden oft zusammen beauftragt.
Umfang
Was geprüft wird.
Zu Beginn gemeinsam festgelegt, danach, wofür das Audit dienen soll – eine Kundenanforderung, eine Zertifizierung, eine Frage des Verwaltungsrats oder eine Übernahme.
- ArchitekturVertrauensgrenzen, Datenflüsse, Authentisierungswege und die Stellen, an denen ein einzelner Ausfall eine Kette auslöst.
- CodeDurchsicht der sicherheitsrelevanten Pfade: Authentisierung, Autorisierung, Eingabebehandlung, Geheimnisse, Abhängigkeiten.
- KonfigurationCloud-Konten, Identitätsanbieter, Netzregeln, offengelegte Speicher, Abdeckung der Protokollierung.
- ProzesseZugriffslebenszyklus, Änderungsverwaltung, Patch-Takt, Wiederherstellung aus Sicherungen, Vorfallbehandlung.
- DritteWelche Lieferanten Ihre Daten oder Ihre Zugänge halten – und was mit ihnen tatsächlich vereinbart ist.
- Qualität der NachweiseOb die Kontrollen, auf die Sie sich stützen, Aufzeichnungen erzeugen, die einer Nachfrage standhalten.
Baselines
Gemessen an einem veröffentlichten Standard.
Wir prüfen gegen die Baseline, die zu Ihrer Verpflichtung passt, nicht gegen eine private Checkliste. Welche gilt, gehört ins erste Gespräch.
ISO/IEC 27001
Wenn ein Managementsystem für Informationssicherheit besteht oder auf die Zertifizierung vorbereitet wird.
CIS Benchmarks
Konkrete, prüfbare Konfigurations-Baselines für Betriebssysteme, Cloud-Plattformen und Dienste.
NIST CSF / SP 800-53
Üblich, wo US-Bundesanforderungen oder Lieferkettenvorgaben grosser Unternehmen im Spiel sind.
OWASP ASVS
Prüfanforderungen auf Anwendungsebene, wenn der Gegenstand Software ist und nicht Infrastruktur.
Wir auditieren, wir zertifizieren nicht. Das Zertifikat stellt eine akkreditierte Zertifizierungsstelle aus. Unsere Arbeit ist die Vorbereitung, die Lücken-Analyse und der Nachweis – und, wenn Sie wollen, ein zweiter Durchgang nach der Behebung.
Ablauf
Wie ein Audit läuft.
Festlegen
Systeme im Umfang, Baseline, benötigte Zugänge, Gesprächspartner – und wofür der Bericht taugen muss.
Prüfen
Unterlagen, Konfigurationsausleitungen, Codezugang und Gespräche. Befunde werden mit ihrem Nachweis gesammelt.
Gegenlesen
Entwürfe gehen an Ihr Team, bevor der Bericht steht. Was wir falsch gelesen haben, wird korrigiert statt veröffentlicht.
Berichten und nachprüfen
Priorisierter Bericht mit Behebungswegen, dazu auf Wunsch ein zweiter Durchgang, der bestätigt, welche Befunde wirklich geschlossen sind.
Ergebnisse
Was am Ende auf dem Tisch liegt.
Befundverzeichnis
Jeder Eintrag mit Umfang, Nachweis, Baseline-Bezug, Risikobewertung und einem Prüfschritt.
Behebungsplan
Nach Risiko gegen Aufwand geordnet, damit die erste Arbeitswoche die wichtigste ist.
Zusammenfassung für die Leitung
Zwei Seiten, mit denen ein nichttechnisches Gremium arbeiten kann – ohne abzuschwächen, was im Verzeichnis steht.
Eine Antwort, die Sie jemandem zeigen können?
Sagen Sie uns, wer fragt – ein Kunde, ein Versicherer, eine Aufsicht oder Ihr eigenes Gremium. Das Publikum bestimmt die Baseline, und die Baseline bestimmt die Arbeit.