Fast tagtäglich berichten die Medien über neue Angriffe und erfolgreiche Cyber-Kriminelle, die Daten von Firmen und Privatpersonen stehlen und grossen Schaden anrichten. Was bedeutet das für meine Firma? Wie gut sind wir gegen diese Bedrohungen geschützt? Keine einfachen Fragen! Und die Antworten von internen Fachkräften sind manchmal nicht einfach zu verstehen oder zu wenig aufschlussreich.

Externe Risikoanalyse als erster Schritt

Der erste Schritt, um die eigene IT zu schützen, ist eine Standortbestimmung: Wer Risiken und Bedrohungen kennt, kann Budgets für Cyber-Security-Massnahmen sinnvoll einsetzen. Ein Sicherheitsaudit prüft, wo IT und Daten Gefahren drohen. Sind solche identifiziert, suchen Experten in der Tiefe minuziös nach Schwachstellen.

Fünf Testfragen zur Vorbereitung

Stellen Sie sich diese fünf Fragen bevor Sie weitere Schritte unternehmen:

• Entspricht Ihre IT-Umgebung der aktuellen Best Practice Ihrer Branche?
• Gegen welche Art von Cyber-Angriffen sind Sie gewappnet?
• Kennen Sie Ihre digitalen Key Assets?
• Sind diese ausreichend geschützt?
• Wo besteht hinsichtlich Informationssicherheit der grösste Handlungsbedarf?

Geprüft: Technik, Applikationen, Organisation

Ein Security-Audit untersucht alles, was Ihre IT ausmacht: Die technische Infrastruktur, Ihr Netzwerk aber auch Applikationen. Auf Sicherheitslücken prüfen die Experten auch den täglichen Betrieb: Wie ist die IT organisiert? Wer hat welche Rechte? Sind Aufgaben sauber getrennt oder gibt es Klumpenrisiken – etwa durch die Konzentration von verschiedenen Funktionen und Aufgaben auf eine einzige Person?

Bericht und Besprechung für gutes Verständnis

Die gesammelten Informationen werden durch den Auditor analysiert und im Bericht als Risikoprofil dokumentiert. Abgerundet wird der Auditbericht mit passenden Massnahmen zur Verringerung des Risikos und Verbesserung der Sicherheit. In einem Workshop wird der Bericht detailliert besprochen und sichergestellt, dass die Risiken und Massnahmen richtig verstanden wurden und der Auftraggeber und seine Mitarbeiter mit den Angaben autonom weiterarbeiten können.