ISO 27001 verlangt „Schwachstellenmanagement“ – wie setzt man den Prozess auf und welche Tools braucht man?

Was Open Source angeht: Community-Versionen bekannter Netzwerkscanner als Docker-Container reichen im Grunde völlig. Damit scannst du deine OS-Pakete und offenen Ports und kriegst saubere CVE-Reports. Größter Nervfaktor sind halt die False Positives. Pack den Scan einfach in einen wöchentlichen Cronjob, lass das Ganze als JSON ausspucken und du hast den Ablauf weitgehend automatisiert.

Wir haben in Madrid mit unserer Infrastruktur aus 20 Servern einen ganz ähnlichen Prozess durchgemacht. Die großen Enterprise-Tools wollten dafür jährlich 6.500 EUR von uns sehen. Stattdessen haben wir ein Cloud-Sicherheits-Plugin eingerichtet, das uns 8 EUR pro Server im Monat kostet. Damit landen wir bei knapp 1.900 EUR im Jahr, und der Auditor hat das Ganze direkt im ersten Audit komplett ohne Abweichungen abgenommen.

Berater machen da gerne eine riesige Wissenschaft draus, nur um einem die teure Software anzudrehen, für die sie Provision kassieren. Den Auditor interessiert aber nicht das schicke Tool-Dashboard, sondern wer wann welche Findings aus der Excel-Tabelle behoben hat. Bevor ihr Unsummen in Tools steckt, bringt erstmal eure Prozessdokumentation auf Vordermann.

Der Ablauf, den Sie etablieren sollten, sieht wie folgt aus: 1) Automatisierten Scan zum Monatsanfang anstoßen. 2) Die resultierende CVE-Liste filtern und kritische sowie hohe Schwachstellen herausziehen. 3) Als Tasks an das Entwicklerteam zuweisen. 4) Nach dem Patchen einen Verifizierungsscan durchführen. 5) Den Abschlussbericht samt Behebungsdatum als PDF im Audit-Ordner archivieren.

Bei welchem Cloud-Provider hostet ihr denn? Die großen Anbieter haben doch sowieso schon eigene integrierte Sicherheitsdienste, die VMs und Container scannen. Meistens ist es wesentlich günstiger, einfach diese bordeigenen Services zu aktivieren, statt extra ein externes Tool einzukaufen.

Vergesst die Sicherheitslücken in euren Code-Bibliotheken nicht. Nur Server zu scannen reicht nicht – baut euch auch kostenlose Tools in die Build-Pipeline ein die die Dependencies in eurem Repository prüfen. Auditoren schauen sich Open-Source-Schwachstellen super gerne an und der Einrichtungsaufwand kostet so gut wie gar nichts.

die größte falle ist alles auf einmal scannen zu wollen. wenn im ersten monat tausend findings aufschlagen, kriegen die devs direkt panik... scannt erstmal nur die offenen ports nach außen und arbeitet euch schritt für schritt nach innen vor sonst steht hier der eigentliche betrieb still.

In der Fassung der ISO 27001:2022 befasst sich Control 8.8 explizit mit dem Management technischer Schwachstellen. Die Organisation muss nachweislich in der Lage sein, Schwachstellen zu bewerten und entsprechende Korrekturmaßnahmen einzuleiten. Aus Sicht des Audits ist die Erstellung und Freigabe einer verbindlichen Richtlinie zum Schwachstellenmanagement daher unerlässlich.

Mich interessiert das auch.

Bei uns war es so... naja jeder nicht schriftlich festgehaltene Punkt ist einer an den sich beide Parteien später unterschiedlich erinnern.

Das war's entschuldige wenn ich zu lang war.

Das wusste ich nicht.

Vor zwei Jahren habe ich genau dasselbe erlebt. Fehler auf der tools für schwachstellenmanagement-Seite sind meist rückgängig zu machen, aber teuer.

Nur als Notiz, könnte nützlich sein.

Wie habt ihr das Problem gelöst? Die Antwort hängt stark von der Branche ab, es gibt keine allgemeine Regel.

Schreibt mir wenn ihr Fragen habt, ich antworte so gut ich kann.

Genau so ist es. Wenn die Zwei-Faktor-Authentifizierung aktiv ist, reicht ein gestohlenes Passwort allein nicht aus.

Schreibe bei Entscheidungen auch das Worst-Case-Szenario auf, nicht nur das Beste. Das ist meine Meinung, ich behaupte nicht, dass es absolut richtig ist.

Wenn wir ins Detail gehen: Die Zeit, die ihr braucht um ein Problem zu erkennen bestimmt direkt dessen Kosten.

Fehler auf der tools für schwachstellenmanagement-Seite sind meist rückgängig zu machen, aber teuer.

Bei uns war es so. Zwei Wochen Notizen machen liefert bessere Ergebnisse als eine sechsmonatige Schätzung.

In den ersten drei Monaten läuft alles gut, die Probleme tauchen im vierten Monat auf.

Ich schreibe kurz, wie das in der Praxis gemacht wird. Wenn du zu einem Thema drei verschiedene Antworten bekommst, war die Frage falsch gestellt.

Wenn man versucht, alles gleichzeitig zu ändern, etabliert sich nichts richtig. An deiner Stelle würde ich so vorgehen.

Der am häufigsten übersehene Punkt bei tools für schwachstellenmanagement ist dieser: Je schwerer es ist, eine Entscheidung rückgängig zu machen, desto langsamer solltet ihr sie treffen.

Viel Erfolg.