Uns wurde ein «IT-Sicherheitsaudit» verordnet — was ist das und geht es nicht auch ohne?

Die Prüfer werden Zugriff auf euer Repository, Server-Logs und die Netzwerktopologie haben wollen. Im Code schauen die, wie sensible Daten verschlüsselt sind, und auf dem Server, wo SSH-Keys und DB-Passwörter rumliegen. Wenn ihr das vorher sauber ordnet, spart das enorm Zeit.

Unterschreibt nicht gleich bei der teuersten Audit-Firma. Fragt den IT-Leiter des Kunden direkt: «Reicht ein Standard-Pentest-Bericht samt Remediation-Plan aus?» In den meisten Fällen wollen die gar kein riesiges Konzern-Audit sehen, sondern einfach den Nachweis, dass man das System nicht mal eben hacken kann.

Wir haben das letztes Jahr für 400.000 RUB machen lassen. Der Auditor hat 9 Lücken gefunden, davon 2 kritisch. Hat uns 10 Tage gekostet, die zu fixen, danach gab's den sauberen Bericht. Der Kunde hat daraufhin den Dreijahresvertrag an einem Tag unterschrieben — das Geld war sofort wieder drin.

Es gibt Anbieter auf dem Markt die für 150k Rubel einfach nur automatisierte Scanner durchjagen und ein PDF ausspucken. Fallt da bloß nicht drauf rein; die Security-Leute beim Großkunden merken sofort, wie oberflächlich das ist, und eure Glaubwürdigkeit ist dahin.

Konzerne haften bei Datenpannen in der Lieferkette rechtlich wie finanziell voll mit. Daher gehört die Anforderung eines Sicherheitsaudits im Rahmen des Third-Party Risk Managements heute zum absoluten Standard in jedem Beschaffungsprozess.

Das Prüferteam wird im Wesentlichen 3 Kernpunkte von Ihnen verlangen: 1) Ergebnisse der Penetrationstests für die Server, 2) Zugriffsprotokolle der Mitarbeiter auf interne Unternehmensdaten sowie die Pflicht zur Zwei-Faktor-Authentifizierung, 3) Ein Notfallwiederherstellungsplan, aus dem hervorgeht, in welchen Abständen und an welchem Ort die Daten gesichert werden.

Für einen 14-Millionen-Auftrag lohnen sich die 400 Tausend an Audit-Kosten definitiv, das ist kein Hindernis, sondern das Ticket in die Enterprise-Liga.

Ich habe mich lange damit beschäftigt. Wenn du zu einem Thema drei verschiedene Antworten bekommst, war die Frage falsch gestellt.

Wenn ihr das Ergebnis hier postet, hilft es auch anderen.

Die obige Antwort bringt es auf den Punkt. Wenn wir ohne Messung entscheiden landen wir immer wieder am selben Punkt.

Nur als Notiz, könnte nützlich sein.

Ich hätte eine Frage, möchte aber nicht vom Thema abschweifen. Wenn man Fehlalarme anschreit, meldet sich danach niemand mehr.

Wenn ihr das Ergebnis hier postet, hilft es auch anderen.

Gut, dass du diesen Thread eröffnet hast... Wenn ihr es zum ersten Mal macht, fangt klein an die Skalierung kommt später.

Die Antwort hängt stark von der Branche ab, es gibt keine allgemeine Regel. Wenn ihr das Ergebnis hier postet, hilft es auch anderen.

Ich stimme zu. Wenn Genehmigung und Umfang nicht schriftlich vorliegen, darf der Test nicht starten.

Das war's, entschuldige, wenn ich zu lang war.

Ich bin derselben Meinung. Ein automatisierter Scan-Report ist kein Penetrationstest.

Wenn ihr das Ergebnis hier postet hilft es auch anderen.

Ich bin derselben Meinung. Wenn ihr es zum ersten Mal macht, fangt klein an, die Skalierung kommt später.

Wenn ihr das Ergebnis hier postet, hilft es auch anderen.

Ich bin derselben Meinung. Wenn die Zwei-Faktor-Authentifizierung aktiv ist, reicht ein gestohlenes Passwort allein nicht aus.

Ein automatisierter Scan-Report ist kein Penetrationstest. Das war's, entschuldige, wenn ich zu lang war.

Bei mir war es genau umgekehrt, deshalb schreibe ich das. also die meisten Vorfälle beginnen nicht mit einer Schwachstelle sondern mit einem geleakten Passwort.

Wenn es jemand anders macht, würde mich das auch interessieren.

Genau so ist es... übrigens wenn man versucht alles gleichzeitig zu ändern, etabliert sich nichts richtig.

Viel Erfolg.

ich bin derselben Meinung und lösungen, die im kleinen Mßastab funktionieren, brechen bei Wachstum zusammen das habe ich spät gelernt.