Kunde verlangt Security Operations Center – ist das für eine 20-Mann-Firma wirklich Pflicht?

Kreuzt im Fragebogen bloß nicht einfach „Nein“ an. Schließt vorher eine Vereinbarung mit einem externen MSSP und tragt dann ein: „24/7-Überwachung über externe Managed-SOC-Infrastruktur“. Sonst werdet ihr direkt aussortiert.

Edit: Ich habe vom Handy geschrieben, entschuldigt die Tippfehler.

Wir hatten mit unserem 22-köpfigen Team eine ähnliche Ausschreibung im öffentlichen Sektor. Intern aufbauen hätte uns locker 400.000 SAR Personalkosten im Jahr gekostet. Wir haben dann externes SOC gebucht: Für 8 Server und 25 Endpoints zahlen wir monatlich rund 4.800 SAR und sind damit problemlos durchs Kundenaudit gekommen.

Achtet unbedingt darauf, dass der externe Dienstleister die Logs innerhalb Saudi-Arabiens speichert. Nach den nationalen Datenschutzbestimmungen kann die Übertragung von Sicherheitslogs ins Ausland bei Dienstleistern kritischer Sektoren zu behördlichen Strafen führen.

Großkonzerne verschicken diese Fragebögen standardmäßig an jeden. Oft wissen die selbst dass eine kleine Softwareschmiede das intern nicht stemmen kann. Geht ins Gespräch und sagt, dass die API-Endpunkte überwacht werden und ihr die Log-Aufbewahrung garantiert – meistens lässt sich die Anforderung dann anpassen.

wer einer 20-mann-bude ein internes soc einreden will hat keine ahnung vom markt. selbst mit drei analysten im schichtdienst geht man pleite. also holt euch einfach ein shared-paket über einen mssp und legt dem kunden den vertrag vor fertig.

Edit: Ich habe oben etwas falsch geschrieben, entschuldigung.

Achtet bei den Angeboten externer Dienstleister vor allem auf diese drei Dinge: 1) Erstaktionszeit bei kritischen Sicherheitswarnungen (SLA sollte bei 15–30 Minuten liegen), 2) Log-Vorhaltung für mindestens 12 Monate, 3) monatliches Incident-Reporting in einem Format, das ihr direkt im Kundenaudit vorlegen könnt.

Verweist das Lastenheft des Kunden direkt auf die NCA Essential Cybersecurity Controls (ECC) oder die Cybersecurity Controls for Contractors (CCC)? Falls ja: Welches Compliance-Level wird genau verlangt?

wir haben bei unserem Cloud-Hoster einfach die Sicherheitsalarme und E-Mail-Benachrichtigungen aktiviert – zählt das für sich allein genommen nicht schon als Erfüllung der SOC-Auflage?

Da hast du recht. Verlasst euch nicht auf eine einzige Maßnahme; geht schichtweise vor.

Änderungen an Zahlungsdaten werden niemals über den Kanal bestätigt über den sie eingehen. Viel Erfolg.

Ich werde das Gegenteil vertreten, bitte nicht böse sein. halt ein automatisierter Scan-Report ist kein Penetrationstest.

Änderungen an Zahlungsdaten werden niemals über den Kanal bestätigt, über den sie eingehen. Das ist meine Meinung ich behaupte nicht dass es absolut richtig ist.

ich fasse kurz zusammen, was bisher gesagt wurde. naja kein Prozess ohne Dokumenttion verbessert sich weil man nicht weiß, was man verbessern soll.

dass das Backup im gleichen Netzwerk und mit derselben Identität erreichbar ist macht es zum Teil des Ziels... ehrlich gesagt korrigiert mich falls ich falssch liege.

Ich fasse kurz zusammen, was bisher gesagt wurde. Beginnt mit einem kleinen Test bindet nicht gleich alles fest.

Viel Erfolg.

Du hast recht, ich bin denselben Weg gegangen. Nur weil alle es tun, heißt es nicht, dass es richtig ist.

Zwei Wochen Notizen machen liefert bessere Ergebnisse als eine sechsmonatige Schätzung.

Bei mir war es genau umgekehrt, deshalb schreibe ich das. Entscheidend ist nicht die Zahl, sondern worauf sie sich bezieht.

Aus Erfahrung weiß ich das.

Absolut. Wenn ich noch etwas hinzufügen darf: Nur weil alle es tun, heißt es nicht, dass es richtig ist.

Nur als Notiz, könnte nützlich sein.

Ich bin derselben Meinung. Ein nicht getestetes Backup ist kein Backup.

Ich hoffe, das hilft dir weiter.

Genau so ist es. Wenn du das nicht von Anfang an schriftlich festhältst, gibt es später Streit.

Aus Erfahrung weiß ich das.

lasst uns die Begriffe trennen, sie werden oft verwechselt dann vergessene Testumgebungen sind häufiger das Einfallstor als das Live-System.