Unser Kunde will eine Sicherheitsaudit-Klausel in den Vertrag aufnehmen, was bedeutet das?

Bevor ihr euch mit dem Kunden an den Tisch setzt, müsst ihr diese 3 Unterscheidungen klären: 1) Wollen sie einen technischen Schwachstellen-Scan oder ein zertifizierungsorientiertes Audit? 2) Wer wählt die Prüfungsfirma aus und wer bezahlt die Auditgebühr? 3) Wie werden die Korrekturzeit und der Go-Live-Zeitplan beeinflusst, wenn ein Befund auftaucht? Wenn ihr diese drei Punkte nicht im Vertrag festhaltet, blockiert der Prozess.

Lehnt den Vertrag nicht sofort ab, aber setzt dieser Formulierung eine Einschränkung. Lasst in den Text die Formulierung aufnehmen: "ein Penetrationstest auf Anwendungsebene im vom Kunden als angemessen erachteten Umfang und höchstens einmal jährlich". Bietet sogar an, dass die Prüfergebühr im ersten Jahr vom Kunden getragen oder zur 55.000-Dollar-Rechnung hinzugefügt wird. In der Regel akzeptiert der Unternehmenseinkauf das.

Wir sind in einer ähnlichen Situation bei einem Vertrag über 40.000 Dollar mit einer Firma mit Sitz in New York auf diese Klausel gestoßen. Wir haben uns mit einem unabhängigen Testteam geeinigt und nur einen Grey-Box-Penetrationstest für die API und das Panel durchgeführt. Der Prozess dauerte 8 Werktage, wir haben 4.200 Dollar bezahlt. Die 2 mittelschweren Lücken im Bericht haben wir in 3 Tagen geschlossen und dem Kunden vorgelegt, sie haben sofort akzeptiert.

Welche Daten werdet ihr im System des Kunden speichern? Fallt ihr in regulierte Bereiche wie Kreditkarten, persönliche Gesundheitsdaten oder sensible Mitarbeiterdaten? Wenn nur operative Logistikdaten und Routeninformationen gespeichert werden, kann die Compliance-Abteilung des Kunden sogar mit fertigen Sicherheitsfragebögen zufrieden sein. Habt ihr versucht, ihnen euer eigenes Infrastruktur-Sicherheitsdokument vorzulegen?

uns ist das auch passiert in der fertigen Vertragsvorlage von unternehmen steht diese klausel standardmäßig drin. als wir angerufen und gefragt haben, wussten sie selbst nicht genau, was sie wollten es stellte sich raus, dass es reicht wenn wir den internen sicherheitsfragebogen ausfüllen... kauft nicht unnötig einen teuren audit-service von außen, verlangt erst schriftlich, was sie genau erwarten.

Die meisten sagen, lasst halt schnell einen billigen Penetrationstest machen und gut ist, aber so einfach ist die Sache nicht. Wenn die IT-Abteilung des Kunden ein Unternehmen ist, schauen sie bis auf das Format des Berichts und die Akkreditierung der Prüfungsfirma. Wenn ihr ihnen einen 1.000-Dollar-Bericht eines automatischen Scans hinlegt, den ihr schnell im Internet gefunden habt, erzeugt ihr Misstrauen. Schädigt nicht euer professionelles Image, während ihr den Umfang verkleinern wollt.

Die Audit-Klausel ist in Unternehmensverträgen eine gängige Praxis. Aber die Grenzen dieses Rechts müssen unbedingt gezogen werden. Ich empfehle, ein Zusatzprotokoll aufzusetzen, dass das Audit nur innerhalb der üblichen Geschäftszeiten durchgeführt wird, die operativen Prozesse nicht stört, von einer unabhängigen Organisation durchgeführt wird, die einer Geheimhaltungsvereinbarung unterliegt, und dass die entstehenden Kosten budgetiert werden.

müssen wir also während dieses Audits unseren Quellcode dem Kunden oder dem Dritten, der das Audit durchführt aushändigen? halt entsteht aus Sicht des geistigen Eigentums ein Risiko, dass unser Code nach außen gelangt oder wird das System nur von außen getestet?

richtig aber die meisten Vorfälle beginnen nicht mit einer Schwachstelle sondern mit einem geleakten Passwort.

schreibt mir wenn ihr Fragen habt, ich antworte so gut ich kann.

Die Diskussion ist abgeschweift, ich fasse mal zusammen. Ein nicht getestetes Backup ist kein Backup.

Aus Erfahrung weiß ich das.

Das habe ich auch erlebt.

da verstehe ich etwas nicht ganz aber nur weil alle es tun heißt es nicht dass es richtig ist.

das wars entschuldige, wenn ich zu lang war.

Gut gemacht. Dass das Backup im gleichen Netzwerk und mit derselben Identität erreichbar ist macht es zum Teil des Ziels.

Wenn ihr das Ergebnis hier postet, hilft es auch anderen.

Es gab drei verschiedene Ansichten, die sich alle ergänzen. Lösungen, die im kleinen Maßstab funktionieren, brechen bei Wachstum zusammen, das habe ich spät gelernt.

Korrigiert mich, falls ich falsch liege.

Ich stimme zu.

Richtig.

Der billige Weg stellt sich oft im Nachhinein als teuer heraus. Wenn man versucht, alles gleichzeitig zu ändern, etabliert sich nichts richtig.

Ein Thema, das gerade aktuell ist.