Uns wird ein «Incident Response Team» vorgeschrieben – braucht eine 15-Leute-Firma das wirklich?

Konzerne kopieren ihre internen Standards einfach 1:1 in die Lieferantenverträge. Sprecht direkt mit der IT-Sicherheit der Gegenseite. Denen ist völlig klar, dass ein 15-Mann-Laden kein eigenes CSIRT betreibt. Wenn ihr einen externen Supportvertrag und eine interne Eskalationsmatrix vorlegt, winken die das durch.

Wir hatten mit unserem 20-Leute-Team in Dubai genau dieselbe Klausel auf dem Tisch. Wir haben dann für 12.000 AED im Jahr einen Bereitschaftsvertrag mit einer Security-Firma abgeschlossen, die uns 4 Stunden Reaktionszeit garantiert hat. Die Auditoren des Kunden haben das anstandslos akzeptiert und der Vertrag ging durch.

Edit: Ich habe ein paar Tippfehler korrigiert.

Nicht direkt ablehnen, aber auf keinen Fall blind unterschreiben. Schlagt dem Kunden eine Zusatzvereinbarung vor, in der festgehalten wird, dass die Incident-Response-Funktion über einen zertifizierten externen Sicherheitsdienstleister mit entsprechendem SLA abgedeckt wird.

Lass dich nicht davon täuschen dass der Kundenbetreuer sagt, das sei nicht verhandelbar – die sind nur Vermittler. Sicherheitsklauseln werden direkt mit dem CISO oder dem Risikoteam des Kunden verhandelt. Wenn das Datenlevel auf das euer Unternehmen zugreift nicht kritisch ist, könnt ihr diese Klausel sogar komplett aus dem Geltungsbereich rausnehmen lassen.

Ich würde euch empfehlen, vor der Vertragsunterschrift mit eurem Rechtsberater zu sprechen. Wenn ihr diese Verpflichtung eingeht, ohne euch mit einem externen Anbieter abzustimmen, und es dann zu einem möglichen Verstoß kommt, können wegen Vertragsverletzung ernsthafte Schadensersatzverpflichtungen entstehen.

als es bei uns passiert ist haben wir zwei Entwickler intern als Bereitschaft eingeteilt aber der Prüfer hat das nicht geschluckt. jährlicher Retainer von extern ist am saubersten, dann habt ihr keinen Ärger.

Auf welche Daten des Kunden werdet ihr zugreifen? Werden eure Systeme direkt in deren Server integriert oder werdet ihr nur in einem isolierten Bereich Analysen erstellen? Euer Zugriffslevel wäre euer wichtigstes Pfand, um die Bedingungen aufzuweichen.

keine Panik, bei Unternehmensangebotsprozessen machen solche Klauseln immer Angst. das Ziel ist nicht euch fertigzumachen sondern im Krisenfall jemanden am Telefon zu haben, der verantwortlich ist.

vor zwei Jahren habe ich genau dasselbe erlebt. ehrlich gesagt lösungen, die im kleinen Maßstab funktionieren, brechen bei Wachstum zusammen, das habe ich spät gelernt.

wenn ihr das Ergebnis hier postet hilft es auch anderen.

Ich probiere es aus.

Hier habe ich einen Einwand... also vergessene Testumgebungen sind häufiger das Einfallstor als das Live-System.

Schaut zuerst, welche Daten ihr bei der Entscheidungsfindung zur Hand habt. ehrlich gesagt wenn deine Situation anders ist ändert sich das natürlich.

Das wusste ich nicht.

vielen Dank ich werde es heute testen und je schwerer es ist, eine Entscheidung rückgängig zu machen, desto langsamer solltet ihr sie treffen.

schaut zuerst, welche Daten ihr bei der Entscheidungsfindung zur Hand habt aber wenn es jemand anders macht, würde mich das auch interessieren.

beim Umsetzen gibt es drei Dinge zu beachten. ehrlich gesagt wenn die Zwei-Faktor-Authentifizierung aktiv ist reicht ein gestohlenes Passworrt allein nicht aus.

das ist meine Meinung ich behaupte nicht, dass es absolut richtig ist.

Es gab drei verschiedene Ansichten, die sich alle ergänzen. Jeder nicht schriftlich festgehaltene Punkt ist einer, an den sich beide Parteien später unterschiedlich erinnern.

An deiner Stelle würde ich so vorgehen.

Kannst du das etwas genauer erklären? Ein automatisierter Scan-Report ist kein Penetrationstest.

Nur weil alle es tun, heißt es nicht, dass es richtig ist. Das war's, entschuldige, wenn ich zu lang war.

Ich habe mich lange damit beschäftigt. Je schwerer es ist, eine Entscheidung rückgängig zu machen, desto langsamer solltet ihr sie treffen.

An deiner Stelle würde ich so vorgehen.

Absolut. Wenn ich noch etwas hinzufügen darf: Verlasst euch nicht auf eine einzige Maßnahme; geht schichtweise vor.

Korrigiert mich, falls ich falsch liege.