Wie setzt man in Frankreich mit einem 12-köpfigen Team ein Schwachstellenmanagement nach ANSSI-Standard auf?

Große Industriekunden schieben ihre Konzernfragebögen einfach 1:1 an die Zulieferer durch. Wenn man mit 12 Leuten bei jeder Zeile 'Ja' ankreuzt, sitzt man in der Falle, sobald der Auditor Nachweise sehen will. Es reicht völlig, einen realistischen, auf die eigene Betriebsgröße abgestimmten Patch-Plan vorzulegen.

Wir sind ein 15-köpfiges Entwicklerteam. Haben mit unserem IT-Dienstleister einen Wartungsvertrag über 400 EUR im Monat. Einmal im Monat gibt's einen Scan-Report vom System und sie zeichnen gegen, dass kritische Patches eingespielt wurden. Zwei große Enterprise-Audits haben wir mit diesem Wisch völlig problemlos bestanden.

Legt direkt morgen eine Tabelle an. Schreibt die Marke, das Modell und das Betriebssystem der 12 Firmenrechner des einen gemeinsamen Servers und des Routers rein. Daneben noch das Datum des letzten Patches. Schon habt ihr euer erstes Schwachstellen-Inventar fertig.

Der Einkauf beim Kunden liest sich diese Formulare meistens nicht mal durch. Wichtig ist nur keine Felder leer zu lassen und den eigenen sinnvollen Prozess mit Verweis auf gängige Standards in klaren Sätzen zu beschreiben.

Der Auditor will im Grunde 3 handfeste Nachweise sehen: 1) Eine aktuelle Liste aller Geräte und Software. 2) Screenshots, die belegen, dass automatische Updates aktiviert sind. 3) Serviceberichte des externen ITlers über die eingespielten Updates der letzten 3 Monate.

auf der anssi-seite gibts nen supr hygiene-leitfaden mit 12 punkten speziell für kmu verweist bei der antwort einfach auf den punkt zu schwachstellen gegen diese konzern-fragebögen ist das der beste schutzschild überhaupt.

Nach französischem Vertragsrecht sind die von Ihnen deklarierten Sicherheitsverfahren rechtlich bindend. Ich rate Ihnen daher dringend davon ab, Zusagen über wöchentliche Penetrationstests oder kontinuierliche Schwachstellenscans zu machen, die Sie in der Praxis nicht einhalten können.

Richtig.

Dieses Thema ist archiviert.

Ich möchte kurz warnen. Wenn man Fehlalarme anschreit, meldet sich danach niemand mehr.

Nur als Notiz, könnte nützlich sein.

Wir sind auch eine Zeit lang an derselben Stelle hängen geblieben. Wenn wir ohne Messung entscheiden, landen wir immer wieder am selben Punkt.

Wer bei Schwachstellenmanagement hetzt, stolpert alle an derselben Stelle. Nur als Notiz, könnte nützlich sein.

Bleibe dran. Wenn Genehmigung und Umfang nicht schriftlich vorliegen, darf der Test nicht starten.

Wenn du zu einem Thema drei verschiedene Antworten bekommst war die Frage falsch gestellt. Wenn deine Situation anders ist, ändert sich das natürlich.

Wenn wir ins Detail gehen: Lösungen, die im kleinen Maßstab funktionieren, brechen bei Wachstum zusammen, das habe ich spät gelernt.

Entschuldigung, aber das gilt nicht in jedem Fall. Menschen verteidigen nicht den Prozess, sondern die Gewohnheit. Der Widerstand kommt daher.

Wer bei Schwachstellenmanagement hetzt, stolpert alle an derselben Stelle.

Bei uns ist es genauso.

Hier muss man eine Unterscheidung treffen. Wenn du zu einem Thema drei verschiedene Antworten bekommst, war die Frage falsch gestellt.

Ich hätte eine Frage, möchte aber nicht vom Thema abschweifen. Lösungen, die im kleinen Maßstab funktionieren, brechen bei Wachstum zusammen, das habe ich spät gelernt.

Das war's, entschuldige, wenn ich zu lang war.

Die Diskussion ist abgeschweift, ich fasse mal zusammen. Wenn Genehmigung und Umfang nicht schriftlich vorliegen, darf der Test nicht starten.

Wenn es jemand anders macht, würde mich das auch interessieren.