IT-Sicherheitsberatung
IT-Sicherheit, SIEM, SOAR, ISMS, ISO27001 Zertifizierung & Audit
Der erste Teil der KRITIS-Verordnung zur Umsetzung des IT-Sicherheitsgesetzes ist am 3. Mai 2016 in Kraft getreten. Welche Unternehmen sind betroffen? Unternehmen aus den Sektoren
- Energie
- Informationstechnik und Telekommunikation
- Wasser und Ernährung
Der zweite Teil der KRITIS-Verordnung mit den Sektoren Finanzen, Transport und Verkehr sowie Gesundheit wird im Frühjahr 2017 erwartet.
Mit dem seit Juli 2015 gültigen IT-Sicherheitsgesetz 1.0 leistet die Bundesregierung einen Beitrag dazu, die IT-Systeme und digitalen Infrastrukturen Deutschlands zu den sichersten weltweit zu machen.
Insbesondere im Bereich der Kritischen Infrastrukturen (KRITIS) - wie etwa Strom- und Wasserversorgung, Finanzen oder Ernährung - hätte ein Ausfall oder eine Beeinträchtigung der Versorgungsdienstleistungen dramatische Folgen.
Die Mindestanforderung bis 31.1.2018 ist die Einführung eines ISMS und eine ISO27001 Zertifizierung unter Berücksichtigung des Leitfadens aus ISO27019 (ISMS für Steuerungssysteme der Energieversorgung) auf Grundlage der Maßnahmen aus dem ISO27002 Maßnahmenkatalog.
IT-Sicherheitsgesetz 2.0
Das Zweite Gesetz zur Erhöhung der Sicherheit informationstechnischer Systeme ist durch die Unterzeichnung des Bundespräsidenten und der Veröffentlichung im Bundesgesetzblatt (IT-Sicherheitsgesetz 2.0) in Kraft getreten.
Das BSI (Bundesamt für Sicherheit in der Informationstechnik) bekommt damit neue Kompetenzen - beispielsweise wird seine Arbeit als Cyber-Sicherheitsbehörde des Bundes dadurch deutlich gestärkt.
Folgende Neuerungen im Überblick:
- Die "Entsorgung von Siedlungsabfällen" wurde in die Liste der kritischen Sektoren aufgenommen
- Neu ist die Übertragung von Verbraucherschutz-Aufgaben an das BSI
- Zukünftig soll mit einem "IT-Sicherheitskennzeichen" die IT-Sicherheit von Produkten sichtbar gemacht werden
- Ebenfalls neu ist, dass das BSI für diese KRITIS-Kernkomponenten zukünftig explizit Mindeststandards definiert
Neu ist auch:
- die Definition sogenannter "Infrastrukturen im besonderen öffentlichen Interesse". Dazu zählen Rüstungshersteller oder Unternehmen mit besonders großer volkswirtschaftlicher Bedeutung
- Das BSI erhält verstärkte Kompetenzen bei der Erkennung von Sicherheitslücken und der Abwehr von Cyber-Angriffen
- Ein SIEM wird explizit verpflichtend. Das BSI macht sogar künftig konkrete Vorgaben zur Ausgestaltung solcher Systeme
- Unter anderem wird die Pflicht zur Aufbewahrung von anonymisierten Protokolldaten erhöht - von drei auf 18 Monate
Wir unterstützen Sie gerne bei der Umsetzung und begleiten Sie, Ihre IT-Sicherheit zu optimieren. Wir sind gerne Ihr Ansprechpartner!
Jetzt anfragenIncident Response Workflows
Unter Incident Response versteht man die Reaktion auf einen Sicherheitsvorfall.
Die eigentliche Analyse befasst sich mit zwei Bereichen: Einmal die näheren Umstände des Vorfalls aufzuklären:
- Wann und wo ist der Vorfall passiert?
- Was genau ist passiert?
- Wer ist beteiligt und wer ist der Angreifer?
- Wie ging er vor? Welche Schwachstelle wurde ausgenutzt?
- Welcher Schaden ist bisher entstanden? Welcher weitere Schaden droht?
Daneben wird das weitere Vorgehen festgelegt, wie der Vorfall einzudämmen ist und wie die Kontrolle über die angegriffenen Systeme wieder erlangt werden kann.
Oft ist eine abschließende Lösung des Problems nicht sofort möglich. Das Einspielen von Patches während des Betriebs ist oft nicht gestattet (Service Level Agreements) oder man kann laufende Jobs / Experimente nicht abbrechen. Dennoch gilt es, weiteren Schaden, speziell bei Dritten, zu verhindern (z.B. durch Würmer, DDOS-Angriffe). Manchmal ist Eindämmen sogar die einzige verbleibende Option.
Grundsätzlich steht hinter Eindämmungsmaßnahmen immer die Abwägung zwischen dem eigenen Schaden durch die Maßnahmen (Abschaltung von Diensten) und dem (potentiellen) Schaden anderer durch Untätigkeit.
Einige Maßnahmen werden nur kurzfristig ergriffen, bis eine Wartung des Systems möglich ist.
ISMS Aufbau und Optimierung
Die ISO 27001 definiert die Anforderungen zur Impelementierung, Umsetzung, Überwachung sowie die Verbesserung des ISMS (Informations Sicherheits Management System)
Wir begleiten und unterstützen in den Vorbereitungen, Ihr ISMS zu optimieren, damit Sie optimal für eine erfolgreiche Auditierung vorbereitet sind. Über unsere praxiserprobte ISMS Doku Datenbank werden alle technischen und organisatorischen Maßnahmen ausführlich dokumentiert und dem Annex A der nativen ISO 27001 zugeordnet.
Aktuell begleiten wir mit unserer ISMS Doku Anwendung, Coaching und Workshops die Auditvorbereitung eines EVUs. Unsere Methode und das postive Ergebnis des internen Audits wurden besonders hervorgehoben und an die Geschäftsleitung weitergeleitet.
Nutzen auch Sie unsere Praxiserfahrung, um ihr ISMS zu optimieren und gut vorbereitet in das anstehende Audit zu gehen. Jetzt anfragen und Termin vereinbaren!
Jetzt anfragenISMS als Lösung
Ein ISMS trägt entscheidend dazu bei, die zunehmende Komplexität der Themen innerhalb der IT Infrastruktur zu reduzieren. Auf der anderen Seite wird das Thema IT Sicherheit und Informationssicherheit dadurch automatisch bedient und liefert die notwendige Transparenz und Vorteile:
- Systematische und strukturierte Herangehensweise an das Thema Informationssicherheit
- Identifizieren der Riskikobereiche und ableiten passender Maßnahmen
- Kontinuierliches arbeiten an der Optimierung der Informationssicherheit
Der Aufwand ein Managementsystem für Informationssicherheit einzuführen lohnt sich und ist eine sinnvolle und nachhaltige Investition. Es schafft vertrauen auf Seiten von Geschäftspartnern und Kunden. Auch die Zusammenarbeit innerhalb der Abteilungen und den geschäftskritischen Schnittstellen werden dadurch verbessert.
Mittelfristig werden durch ein ISMS auch Kosten eingespart und das unternehmensinterne Gefährdungspotential gesenkt. Die Mitarbeiter werden sensibilisiert und arbeiten aktiv am Sicherheitsprozess mit.
Wir begleiten Sie aktiv mit unserer Erfahrung und unseren Experten ein ISMS als Lösung erfolgreich einzuführen.