Sie sagten «ihr braucht Informationssicherheit» — wo sollen wir in einem 10-Personen-Unternehmen anfangen?

Festplattenverschlüsselung sollte der erste Schritt sein. Aktiviert die lokale Betriebssystem-Verschlüsselung auf allen Laptops im Büro. Wenn ein Mitarbeiter sein Gerät im Café liegen lässt, bleiben die Verträge und Daten darin verschlüsselt. Außerdem schränkt das Einstecken von USB-Sticks über Gruppenrichtlinien ein, das ist kostenlos und schneidet die Hälfte aller Lecks von vornherein ab.

Schaut euch das Formular, das der Kunde geschickt hat, genau an. In der Regel kopieren Firmenkunden ihre Standard-Sicherheitsfragebögen und schicken sie an alle. Viele Punkte sind für kleine Lieferanten flexibel handhabbar. Bevor ihr sofort die 100.000 Rubel ausgebt, fragt den Einkaufsvertreter, welche verpflichtend und welche nur empfehlend sind.

Wir hatten letztes Jahr mit unserem 12-köpfigen Team eine ähnliche Anforderung. Wir haben einem externen Sicherheitsberater 70.000 Rubel gezahlt, damit er eine grundlegende Zugriffsmatrix, Zwei-Faktor-Authentifizierung und eine einseitige Mitarbeiteranweisung erstellt. Als der große Kunde dieses Dokument und die Screenshots der Umsetzung sah, hat er zugestimmt.

Führt ab Montag als allererstes einen Passwort-Manager ein. Verhindert, dass Mitarbeiter mit im Browser gespeicherten Passwörtern oder simplen Kennwörtern auf gemeinsame Dashboards zugreifen. Führt die Regel ein, dass Passwörter komplex sein müssen und alle drei Monate geändert werden.

Handelt es sich bei Ihrem Kunden um eine staatliche Einrichtung oder um die Privatwirtschaft? Falls Sie sich direkt per API mit einer speziellen Datenbank verbinden, die personenbezogene Daten enthält: Kann es sein, dass regulatorisch lokal lizenzierte Sicherheitssoftware oder bestimmte Zertifizierungen verlangt werden?

Lasst euch bloß keine Angst machen. Als man uns das damals zum ersten Mal gesagt hat dachten wir auch, wir bräuchten Server und Hardware für Hunderttausende Rubel. Dabei geht es eigentlich viel weniger um technische Geräte als um Bürodisziplin. Allein schon die Regel, dass jeder seinen eigenen Account nutzt und niemand den Bildschirm entsperrt lässt, wenn er vom Platz aufsteht, schützt euch vor den meisten Risiken.

lasst bloß kein einziges mailkonto ohne 2-faktor-authentifizierung laufen. also die größte sorge vom kunden ist halt dass bei nem gehackten mitarbeiter-mailaccount direkt phishing-angriffe auf ihr internes netzwerk gestartet werden dann wenn ihr das dichtmacht ist der rest halb so wild.

Die Anforderungen von Großunternehmen an die Informationssicherheit resultieren in der Regel aus deren Verfahren zum Drittanbieter-Risikomanagement. In der von Ihnen zu erstellenden Informationssicherheitsrichtlinie sollte klar aufgeführt sein, wie Daten verarbeitet werden, wo sie gespeichert sind, wer Zugriff darauf hat und wie die Datenlöschungsprozesse ablaufen.

Ich spreche mal aus der Gegenperspektive, ich bin auf der Lieferantenseite. Nur weil alle es tun, heißt es nicht, dass es richtig ist.

Kein Prozess ohne Dokumentation verbessert sich, weil man nicht weiß, was man verbessern soll. Viel Erfolg.

Die obige Antwort bringt es auf den Punkt. Überstürzte Entscheidungen sind oft solche die man sechs Monate später korrigieren muss.

Aus Erfahrung weiß ich das.

Genau so und das ist zudem kaum bekannt. Entscheidend ist nicht die Zahl sondern worauf sie sich bezieht.

Wenn du das nicht von Anfang an schriftlich festhältst, gibt es später Streit. Wenn es jemand anders macht würde mich das auch interessieren.

Das habe ich auch erlebt. Vergessene Testumgebungen sind häufiger das Einfallstor als das Live-System.

Schreibt mir wenn ihr Fragen habt, ich antworte so gut ich kann.

Ich schreibe mal meine Erfahrung auf. also fehler auf der Informationssicherheit im Unternehmen-Seite sind meist rückgängig zu machen, aber teuer.

An deiner Stelle würde ich so vorgehen.

das hört man oft, aber bei uns war es nie so... wer bei Informationssicherheit im Unternehmen hetzt stolpert alle an derselben Stelle.

wenn ihr das Ergebnis hier postte hilft es auch anderen.

Danke fürs Schreiben. Die Antwort hängt stark von der Branche ab, es gibt keine allgemeine Regel.

Wenn deine Situation anders ist ändert sich das natürlich.

ich bin in derselben Situation, deshalb frage ich.. und die Antwort hängt stark von der Branche ab, es gibt keine allgemeine Regel.

aus Errfahrung weiß ich das.

Lasst uns die Begriffe trennen sie werden oft verwechselt. Wenn der Benachrichtigungsweg lang ist, kommen keine Benachrichtigungen; keine Benachrichtigung bedeutet spät erkannte Vorfälle.

Korrigiert mich falls ich falsch liege.

Hier muss man eine Unterscheidung treffen. Änderungen an Zahlungsdaten werden niemals über den Kanal bestätigt, über den sie eingehen.

Viel Erfolg.