Sie verlangen ein «Cyber-Vorfall-Reaktionsteam» — braucht eine Firma mit 20 Leuten das wirklich?

Lehnen Sie die Klausel im Vertrag nicht sofort ab. Übermitteln Sie dem Sicherheitsteam der Gegenseite folgende Antwort: Unsere Vorfallreaktionskapazität betreiben wir über einen externen Sicherheitsdienstleister im hybriden Modell. Die interne Koordination übernimmt unser Systemadministrator, die Zweitlinien-Reaktion leistet der externe Partner. In der Regel wird diese Antwort direkt genehmigt.

In Dubai hatten wir letztes Jahr bei einem ähnlichen Audit für eine Bankenintegration genau denselben Fall. Wir haben mit einem lokalen Sicherheitsanbieter für 18.000 AED im Jahr einen abrufbereiten Retainer-Vertrag für Incident Response abgeschlossen. Den Vertrag und unseren Eskalationsplan haben wir an den Audit-Bogen angehängt, ging ohne eine einzige Rückfrage durch.

Beim Audit schauen die meist gar nicht so sehr auf eure SIEM-Infrastruktur, sondern darauf, wie die Kommunikationswege im Ernstfall aussehen. Definiert für kritische Vorfälle eine Reaktions-SLA von maximal 2 Stunden, eine sichere und getrennte Speicherung der Logs sowie ein schriftliches Meldeprotokoll an den Datenverantwortlichen bei Datenlecks. Steht dieser Ablauf sauber im Formular, ist der technische Teil abgehakt.

Edit: Ich habe ein paar Tippfehler korrigiert.

Wird im Vertragsentwurf eine ISO 27001 oder ein ähnliches internationales Zertifikat gefordert oder reicht im Formular die bloße Bestätigung, dass so eine Einheit existiert? Habt ihr direkten Zugriff auf die Datenbank des Kunden oder läuft die Kommunikation rein isoliert über eine API?

der einkauf bei großkonzernen kopiert halt enfach seine standardvorlagen rein... tragt euer zweier-team als interne koordinatoren ein dazu noch einen günstigen externen on-call-supportvertrag und gut ist, niemand erwartet von euch einen eigenen soc-raum.

Vor zwei Jahren als wir noch 15 Leute waren, hat ein staatsnaher Kunde genau dieselbe Forderung gestellt. Wir haben erst Panik geschoben und überlegt, ob wir zwei Security-Leute einstellen müssen – das hätte unser Jahresbudget komplett gesprengt. Dann haben wir mit einem befreundeten Auditor gesprochen, einfach den Vertrag eines externen Dienstleisters eingereicht und zack, sofort akzeptiert. Haben uns völlig umsonst schlaflose Nächte gemacht.

Passt beim Outsourcing-Vertrag aber auf: Manche Buden schicken bloß einmal im Monat einen automatisierten Scan-Report und schimpfen das dann Incident Response. Wenn der Auditor des Kunden mal nachhakt und fragt, wer nachts um drei bei einem Ransomware-Befall rangeht, fliegt euch so ein Alibi-Vertrag um die Ohren. Sucht euch jemanden, der im Notfall wirklich ans Telefon geht.

von einer 20-Mann-Firma eine Security-Abteilung rund um die Uhr zu fordern, ist ungefähr so, als würde man vom Tante-Emma-Laden einen gepanzerten Geldtransporter verlangen. konzerneinkäufer glauben manchmal echt ein kleiner Dienstleister hätte das gleiche IT-Sicherheitsbudget wie sie selbst. halt zeigt denen einfach einen externen Dienstleistervertrag und fertig.

Ja, die Situation bei Cyber-Vorfall-Reaktionsteam ist genau so. Wenn du das nicht von Anfang an schriftlich festhältst, gibt es später Streit.

Schaut zuerst, welche Daten ihr bei der Entscheidungsfindung zur Hand habt.

Es gab drei verschiedene Ansichten, die sich alle ergänzen. Wenn ihr es zum ersten Mal macht, fangt klein an, die Skalierung kommt später.

Das war's, entschuldige, wenn ich zu lang war.

Ich habe diesen Weg schon hinter mir, ich erzähl mal. Lösungen, die im kleinen Maßstab funktionieren, brechen bei Wachstum zusammen, das habe ich spät gelernt.

Nur als Notiz, könnte nützlich sein.

lasst uns die Begriffe trennen sie werden oft verwechselt dann also wenn man versucht alles gleichzeitig zu ändern, etabliert sich nichts richtig.

aus Erfahrung weiß ich das.

Kannst du das etwas genauer erklären? naja wenn man Fehlalarme anschreit meldet sich danach niemand mehr.

Korrigiert mich falls ich falsch liege.

Der billige Weg stellt sich oft im Nachhinein als teuer heraus. Kein Prozess ohne Dokumentation verbessert sich, weil man nicht weiß was man verbessern soll.

Ich hätte eine Frage, möchte aber nicht vom Thema abschweifen. Je schwerer es ist eine Entscheidung rückgängig zu machen, desto langsamer solltet ihr sie treffen.

Viel Erfolg.

Letztes Jahr haben wir fast genau dasselbe erlebt. Das allein zu versuchen ist der teuerste Weg.

Viel Erfolg.

Ich probiere es aus.

Da verstehe ich etwas nicht ganz. Wenn Genehmigung und Umfang nicht schriftlich vorliegen, darf der Test nicht starten.

Wenn es jemand anders macht, würde mich das auch interessieren.