Großkunde verlangt Sicherheitsaudit vor Vertragsabschluss – Checkliste gesucht

Was Auditoren am meisten hassen, ist Blendwerk. Wenn ihr bei Sicherheitsmechanismen 'ja' ankreuzt, die ihr gar nicht habt, und beim Nachweis ins Stottern geratet, ist der Deal sofort tot. 'Dieser Prozess erfolgt derzeit manuell, die Automatisierung ist für Q3 geplant' wirkt tausendmal professioneller als irgendeine Ausrede.

Nutzen Sie das Shared-Responsibility-Modell Ihres Cloud-Anbieters voll aus. Bei Fragen zu physischer Rechenzentrumssicherheit, Brandschutz oder Hardware-Redundanz verlinken Sie direkt auf die Compliance-Zertifikate von AWS, Azure oder GCP. Damit sind mindestens 30 Prozent des Fragebogens schon mal sauber abgefrühstückt.

Aktiviert direkt dieses Wochenende im zentralen Admin-Panel für alle Team-Accounts die Pflicht für Passwort-Manager und MFA. Screenshots aus dem Dashboard die das belegen sind im Fragebogen der stärkste Nachweis für den Bereich Authentifizierung.

Wir sind letztes Jahr an genau so einem Fragebogen hängengeblieben, der Vertrag hat sich um 3 Monate verzögert. Haben dann für 3.500 Pfund eilig einen Pentest machen lassen und eine saubere, einseitige Management Summary bekommen. Als wir den Bericht angehängt haben, hat das Security-Team die Hälfte der technischen Fragen direkt abgenickt.

Bitte bedenken Sie, dass das Großunternehmen als Auftragsverarbeiter einen Auftragsverarbeitungsvertrag (DPA / AVV) von Ihnen verlangen wird. Es empfiehlt sich, die Klauseln zu Speicherorten, Subunternehmern und Audit-Rechten vorab gemeinsam mit Ihrem Rechtsbeistand durchzugehen.

Nicht alle 180 Fragen betreffen euch zwangsläufig. Konzerne schicken jedem Dienstleister dasselbe Standard-Template. Bei Punkten außerhalb eures Scopes (wie physische Bürosicherheit oder Zutrittskontrollsysteme) einfach klar 'Nicht zutreffend (N/A)' eintragen und kurz begründen – bindet euch da bloß nichts unnötig ans Bein.

lasst euch nicht einschüchtern, solche Fragebögen gehören im Vertrieb mittlerweile einnfach dazu. also bittet um ein 30-minütiges Meeting mit dem Security-Verantwortlichen des Kunden und macht transparent, dass ihr ein kleines, agiles Team seid aber die wesentlichen Sicherheitsmaßnahmen voll im Griff habt – das beschleunigt das Ganze ungemein.

Korrektur: Ich hatte die Zahl falsch im Kopf, sie war etwas niedriger.

Der billige Weg stellt sich oft im Nachhinein als teuer heraus. Wenn ihr es zum ersten Mal macht, fangt klein an, die Skalierung kommt später.

Vergessene Testumgebungen sind häufiger das Einfallstor als das Live-System. Ich hoffe, das hilft dir weiter.

So klar geschriebene Texte sind selten. übrigens schaut zuerst welche Daten ihr bei der Entscheidungsfindung zur Hand habt.

Das ist meine Meinung ich behaupte nicht, dass es absolut richtig ist.

nach diesem Erlebnis hat sich meine Sichtweise geändert. halt wenn man Fehlalarme anschreit meldet sich daach niemand mehr.

wenn man Fehllarme anschreit meldet sich danach niemand mehr dann aus Erfahrung weiß ich das.

Ich hätte eine Frage, möchte aber nicht vom Thema abschweifen. Wenn die Zwei-Faktor-Authentifizierung aktiv ist, reicht ein gestohlenes Passwort allein nicht aus.

Viel Erfolg.

Hier muss man eine Unterscheidung treffen. Änderungen an Zahlungsdaten werden niemals über den Kanal bestätigt, über den sie eingehen.

Beginnt mit einem kleinen Test, bindet nicht gleich alles fest. Aus Erfahrung weiß ich das.

Dabei gibt es einen sehr häufigen Fehler. Lösungen die im kleinen Maßstab funktionieren, brechen bei Wachstum zusammen, das habe ich spät gelernt.

Wenn man versucht, alles gleichzeitig zu ändern, etabliert sich nichts richtig. Das ist meine Meinung ich behaupte nicht dass es absolut richtig ist.

Ich bin derselben Meinung. Schaut zuerst, welche Daten ihr bei der Entscheidungsfindung zur Hand habt.

Ich fasse kurz zusammen, was bisher gesagt wurde. Bei uns war der größte Zeitfresser die Unklarheit darüber, wer entscheidet.

Die Zeit, die ihr braucht, um ein Problem zu erkennen, bestimmt direkt dessen Kosten. Viel Erfolg.

Da verstehe ich etwas nicht ganz. Änderungen an Zahlungsdaten werden niemals über den Kanal bestätigt, über den sie eingehen.

An deiner Stelle würde ich so vorgehen.

Ich stimme zu. Dass das Backup im gleichen Netzwerk und mit derselben Identität erreichbar ist, macht es zum Teil des Ziels.

Schreibt mir, wenn ihr Fragen habt, ich antworte so gut ich kann.

Beim Lesen dieser Antwort war ich erleichtert, es liegt also nicht nur an mir. Wenn Genehmigung und Umfang nicht schriftlich vorliegen darf der Test nicht starten.

Korrigiert mich, falls ich falsch liege.