IT-Sicherheitscheck: Überprüfung als präventive Maßnahme

Grundsätzlich ist es für jedes Unternehmen sinnvoll, regelmäßig die eigenen Sicherheitsmaßnahmen überprüfen zu lassen. Der Check überprüft, ob die entsprechenden Maßnahmen im Unternehmen implementiert und dokumentiert wurden. Dabei richtet sich der Check an alle Unternehmen unabhängig davon, ob sie sich nach einer konkreten Norm (wie bspw. der ISO 27001) ausrichten und wie sich interne Prozesse zur Informationssicherheit und IT‑Sicherheit gestalten.

Im Rahmen des Checks werden verschiedene organisatorische und technische Sicherheitsmaßnahmen überprüft, die jedes Unternehmen implementiert haben sollte, um ein zufriedenstellendes Sicherheitsniveau zu erreichen. Weiterhin ist der IT-Sicherheitscheck auch als Dienstleisterkontrolle geeignet, damit Sie überprüfen können, dass ihre Geschäftspartner die Ihnen anvertrauten Daten auch sicher speichern und verarbeiten.

Die IT‑Schwachstellenanalyse ist eine technische Überprüfung Ihrer in das Internet exponierten IT‑Systeme. Dabei werden die betroffenen Systeme aktiv technischen Tests ausgesetzt. Dies ist beim IT-Sicherheitscheck nicht der Fall. Hier werden keine Tools o.Ä. zum Testen Ihrer IT‑Systeme verwendet. Der IT-Sicherheitscheck umfasst aber im Gegensatz zur IT‑Schwachstellenanalyse die gesamte IT-Infrastruktur bzw. die hierfür getroffenen Sicherheitsmaßnahmen und nicht nur die, für die aus dem Internet erreichbaren Systeme. Zudem werden auch organisatorische Maßnahmen und das Thema Informationssicherheit an sich in Ihrem Unternehmen geprüft und bewertet.

Möchte das Unternehmen sich gegen einen bestimmten Standard wie die ISO 27001 oder das IT‑Grundschutzkompendium vom BSI prüfen lassen, ist eine GAP‑Analyse besser geeignet. Insbesondere wenn eine Zertifizierung angestrebt wird. Ziel ist es, die Punkte zu identifizieren, die vom Standard abweichen und somit einer erfolgreichen Zertifizierung im Wege stehen. Eine solche detaillierte Analyse ergibt dann Sinn, wenn Sie eine Zertifizierung nach dem dementsprechenden Standard anstreben.

Der Prüfkatalog wurde u.a. auf Basis des IT‑Grundschutzkompendiums des Bundesamtes für Sicherheit in der Informationstechnik sowie der ISO 27001 Norm erstellt. Die wichtigsten Aspekte für ein gutes Sicherheitsniveau wurden aus den Standards entnommen und umfassen sowohl die Informationssicherheit als auch die IT‑Sicherheit. Weiterhin ist die Expertise aus jahrelanger Erfahrung mit Informations-, und IT‑Sicherheit sowie der Behandlung von IT‑Sicherheitsvorfällen miteingeflossen. Aus diesem Grund werden für den Check verschiedene Parteien u. a. aus dem Bereichen IT, HR oder Gebäudemanagement interviewt, um einen umfassendend Eindruck zu bekommen.

Die Bewertung der Ergebnisse erfolgt abhängig davon, ob relevante Maßnahmen umgesetzt, teilweise umgesetzt oder gar nicht umgesetzt wurden. Sofern Potential zur weiteren Verbesserung vorhanden ist, werden Maßnahmen empfohlen, unabhängig von der im Bericht getroffenen Einstufung. Zusätzlich werden die Maßnahmen entsprechend priorisiert.