Unternehmenssicherheit : { BSI, KRITIS, ITSG 2.0, CC, Intrusion Detection, EDR, DLP, Siem + mehr }
Bei Reiser & Partner finden Unternehmen und Organisationen umfassende, auf strategische IT- und Unternehmenssicherheit spezialisierte Dienstleistungen.
Unternehmenssicherheit dient als oberste Governance-Instanz und schützt täglich, weitgehend automatisiert, zentrale Werte und technologische Vorsprünge vor wirtschaftlichen und reputationsschädigenden Risiken. Dazu gehört auch der Schutz kritischer Infrastrukturen (KRITIS) zur Vermeidung von Ausfällen, Schäden und Unterversorgung, die die Allgemeinheit betreffen könnten.
Die Anforderungen an die Unternehmenssicherheit variieren je nach spezifischer Situation und können von einfachen bis hin zu komplexen Maßnahmen reichen.
Unsere Sicherheitsmaßnahmen umfassen unter anderem Cybersecurity-Softwarelösungen für IT-Netzwerke, Endpunkte und Gateways. Diese Lösungen sind jedoch nur ein Teil der wichtigen Strukturelemente, die zum umfassenden Schutz eines Unternehmens beitragen.
Unternehmenssicherheit wird oft als ganzheitliches Sicherheitsmanagementsystem betrieben, häufig unter dem Dach eines Informationssicherheits-Managementsystems (ISMS) nach ISO 27001. Diese Systeme stellen weitergehende Anforderungen, die über die reine Informationssicherheit hinausgehen.
Ein ISMS nach ISO 27001 gewährleistet nicht automatisch eine umfassende Unternehmenssicherheit. Weitere Informationen dazu finden Sie auf den Seiten des BSI zum Thema KRITIS.
Unsere Erfahrung als Spezialisten ist umfassend und international. Wir leiten oder unterstützen Teams bei unseren Kunden mit spezialisierten Kenntnissen aus führenden Cybersecurity-Universitäten weltweit.
Unsere Unternehmenssicherheitsberater haben jahrelange Erfahrung im Schutz von Unternehmen und Einrichtungen durch führende Cybersecurity-Firmen und Softwarehersteller.
Gerne bringen wir unser Know-how aus hunderten Projekten ein und erweisen uns als zuverlässige Berater für den strategischen Schutz Ihres investierten Vermögens und Kapitals.
Mit welchen Kosten können Sie rechnen ?
Kosten sind abhängig von Schwierigkeit und Projektumfang und bewegen sich durchschnittlich zwischen € 100 und € 269 pro Stunde zuzüglich Reisekosten, Spesen und Übernachtungskosten.
Weiter unten haben wir ein Beispielverfahren mit Berechnung transparent aufgemacht.
Unsere Leistungen sind Interessant, wenn Sie diese Security Anforderungen umsetzen müssen:
- Information Security Management System (ohne KRITIS) Pflichten: Normales Unternehmen
- ISMS iso 27001 + ITSG 2.0 | KRITIS
- ISMS iso 27001 + ITSG 2.0 | KRITIS + DSGVO/GDPR
- Lieferant i.S. KRITIS | ITSG 2.0
- KRITIS Unternehmen
- IT SG 2.0
- National Institute of Technology (us) Standards NIST
- Common Criteria
- Privatpersonen
Leistungen zur Unternehmenssicherheit:
1. Informationssicherheits-Managementsysteme (ISMS)
- Implementierung und Betrieb: Einrichtung und Betrieb von ISMS nach ISO 27001, inklusive spezieller Betrachtung von KRITIS (kritische Infrastrukturen).
- Zertifizierung: Beratung und Unterstützung bei der ISO 27001-Zertifizierung.
2. Haftungsreduktion für IT-Fachkräfte und Administratoren
- Schulungen und Workshops: Programme zur Minimierung der Haftung von IT-Mitarbeitern und Administratoren.
- Richtlinienentwicklung: Erstellung und Implementierung von Haftungsreduktionsrichtlinien und Prozessen.
3. Erfüllung von Arbeitgeber-Protokollierungspflichten
- Protokollierungslösungen: Beratung und Implementierung zur Einhaltung gesetzlicher Protokollierungspflichten.
- Überwachung und Reporting: Systeme zur kontinuierlichen Überwachung und Berichterstattung.
4. Zentrale Security-Verwaltungskonsolen
- Bereitstellung: Installation und Konfiguration von zentralen Sicherheitsverwaltungsplattformen.
- Management: Laufendes Management und Support für zentrale Sicherheitskonsolen.
5. Endpoint Security Management (inkl. EDR)
- Implementierung: Einführung und Verwaltung von Endpoint-Detection-and-Response (EDR)-Systemen.
- Schutz und Überwachung: Sicherung und Überwachung aller Endgeräte im Netzwerk.
6. CISO-Sharing
CISO: Bereitstellung eines Chief Information Security Officers (CISO) auf zeitlicher Kontingentbasis.
- Strategische Beratung: Führung und strategische Beratung im Bereich Informationssicherheit.
7. Sicherheitsberatung (Consulting)
- Umfassende Beratung: Ganzheitliche Beratung in allen Aspekten der IT-Sicherheit.
- Strategieentwicklung: Entwicklung und Implementierung maßgeschneiderter Sicherheitsstrategien.
8. Standortbezogene Sicherheitsanalysen
- Sicherheitsauswertungen: Durchführung von Sicherheitsanalysen basierend auf Satellitendaten und anderen externen Quellen.
- Risikobewertung: Detaillierte Bewertung von Standortrisiken und Empfehlungen für Maßnahmen.
9. Dokumentation und Versionierung
- Erstellung und Pflege: Erstellen und laufende Pflege von Sicherheitsdokumentationen.
- Versionierung: Nachverfolgung und Management von Dokumentenversionen.
10. Sicherheitsaudits
- Prüfung und Bewertung: Durchführung von Sicherheitsaudits zur Bewertung der Unternehmenssicherheit.
- Auditberichte: Erstellung detaillierter Auditberichte und Handlungsempfehlungen.
11. Double-Blind Penetration Testing
- Durchführung: Durchführung von Penetrationstests unter doppelter Geheimhaltung zur Erhöhung der Testintegrität.
- Ergebnisanalyse: Auswertung und Berichterstattung der Testergebnisse.
12. Beratung zur IT-Sicherheitszertifizierung
- ISO 27001: Beratung zu ITSEC und Unterstützung bei der Implementierung von ISO 27001 Security Controls.
- Compliance-Management: Unterstützung bei der Einhaltung und Umsetzung relevanter Sicherheitsstandards.
Analyse der Unternehmenssicherheit?
Verfahren zur praktischen Umsetzung und normative ISO 27001-Umsetzung zum Aufbau eines ISMS
Praktische Umsetzung des Verfahrens
Vorbereitungsphase:
- Projektplanung und Initiales Meeting: Diese Schritte sind realistisch und notwendig, um den Umfang der Analyse, den Zeitplan und die Ressourcen festzulegen sowie um die Ziele klar zu definieren.
Datensammlung und Dokumentation:
- IST-Analyse: Interviews, Dokumentenanalysen und Vor-Ort-Besichtigungen sind praxisnahe Methoden zur Erhebung des aktuellen Sicherheitsstatus.
- Asset-Identifikation und Dokumentationsprüfung: Diese Schritte sind essenziell, um ein vollständiges Bild der Unternehmenssicherheitslage zu erhalten.
Technische Analyse:
- Netzwerksicherheitsanalyse und Penetrationstests: Diese Schritte sind unverzichtbar zur Identifizierung von Schwachstellen in der IT-Infrastruktur.
- Endpoint-Security-Analyse: Wichtig für den Schutz der Endgeräte.
- Satelliten-Sicherheitsauswertung: Überprüfung von Schwachstellen aufgrund lokaler Lage oder angrenzender Gebäude, bspw. auf Einbruchdiebstahl, Sabotage, Sniffing, Shouldersurfing und weiteren Risiken
Compliance-Prüfung nach ISO 27001:
- ISMS-Bewertung und Security Controls Review: Diese Schritte sind entscheidend für die Übereinstimmung mit ISO 27001.
- KRITIS-Betrachtung: Notwendig für Unternehmen, die unter KRITIS fallen. Zeitaufwand kann nicht geschätzt werden.
Risikobewertung und Sicherheitsstrategie:
- Risikobewertung und Strategieentwicklung: Kernelemente für ein wirksames Sicherheitsmanagement.
Dokumentation und Berichtserstellung:
- Erstellung des Gutachtens und Präsentation: Diese Schritte sorgen für Transparenz und Klarheit gegenüber der Geschäftsleitung.
Umsetzung und Nachverfolgung:
- Maßnahmenplan und Follow-up Audits: Sicherstellen, dass identifizierte Schwachstellen behoben werden und die Sicherheitsmaßnahmen kontinuierlich verbessert werden.
Normative ISO 27001-Umsetzung
Das Verfahren deckt die wesentlichen Anforderungen der ISO 27001 ab, insbesondere:
- Informationssicherheits-Managementsystem (ISMS): Implementierung, Betrieb und Bewertung eines ISMS.
- Risiko-Management: Identifizierung und Bewertung von Risiken sowie Entwicklung von Maßnahmen zur Risikominimierung.
- Kontinuierliche Verbesserung: Regelmäßige Audits und Reviews zur Überwachung und Verbesserung der Sicherheitsmaßnahmen.
Realistische Minimalkosten
Angenommen, ein üblicher Stundensatz für einen IT-Sicherheitsberater liegt bei 150 EUR/Stunde, und basierend auf der geschätzten Zeit für jede Phase, ergibt sich folgendes Budget:
1. Vorbereitungsphase:
- Projektplanung und Initiales Meeting: 10 Stunden
- Kosten: 1.500 EUR
2. Datensammlung und Dokumentation:
- IST-Analyse, Asset-Identifikation, Dokumentationsprüfung: 40 Stunden
- Kosten: 6.000 EUR
3. Technische Analyse:
- Netzwerksicherheitsanalyse, Penetrationstests, Endpoint-Security-Analyse, Satelliten-Sicherheitsauswertung: ~60 Stunden
- Kosten: ~9.000 EUR
4. Compliance-Prüfung nach ISO 27001:
- ISMS-Bewertung, KRITIS-Betrachtung, Security Controls Review: 30 Stunden
- Kosten: ~4.500 EUR
5. Risikobewertung und Sicherheitsstrategie:
- Risikobewertung, Security Score Berechnung, Strategieentwicklung: ~30 Stunden
- Kosten: 4.500 EUR
6. Dokumentation und Berichtserstellung:
- Erstellung des Gutachtens, Präsentation: 20 Stunden
- Kosten: 3.000 EUR
7. Umsetzung und Nachverfolgung:
- Maßnahmenplan, Follow-up Audits: 30 Stunden
- Kosten: 4.500 EUR
Gesamtkosten:
- Gesamt: 33.000 EUR
Transparente Begründung der Kosten:
- Projektumfang und Komplexität: Der Aufwand für die Implementierung eines ISMS und die Durchführung einer umfassenden Sicherheitsanalyse ist hoch, da viele verschiedene Aspekte der Unternehmenssicherheit berücksichtigt werden müssen.
- Spezialisiertes Wissen: Die Anforderungen an die Expertise der Berater sind hoch, insbesondere bei der Einhaltung von ISO 27001 und der Durchführung technischer Analysen wie Penetrationstests und Netzwerksicherheitsbewertungen. Es kann ebenso zur zwingend notwendigen Berücksichtigung von branchenspezifischen Gesetzen, Landesrecht führen die individuell gestaltet sind.
- Nachhaltigkeit und Kontinuität: Die kontinuierliche Verbesserung und Nachverfolgung der Sicherheitsmaßnahmen erfordert regelmäßige Audits und Updates, was zusätzliche Kosten verursacht.
Diese Einschätzung berücksichtigt die umfassenden Anforderungen und den hohen Qualitätsanspruch, der mit der Umsetzung einer ganzheitlichen Unternehmenssicherheitsstrategie nach ISO 27001 verbunden ist.