Informationssicherheitsmanagement nach Comma Art

Unser Leistungsportfolio ist modular und zugleich inhaltlich aufeinander aufgebaut:

CAPABILITY ASSESSMENTS
  • Management
  • Organisation
  • Response
SECURITY & RESILIENCE STRATEGY ALIGNMENT
SECURITY & RESILIENCE MANAGEMENT TRANSFORMATION

Security & Resilience Strategy Alignment

Wir überprüfen Ihr Bedrohungsumfeld und Ihre darauf ausgerichtete Sicherheitsarchitektur. Daraus bilden wir den Status quo in einem anschaulichen Sicherheitslagebild ab.

  • Was ist die vollständige Bedrohungslage für meine Organisation?
  • Ist meine Sicherheitsarchitektur auf die aktuelle Bedrohungslage effektiv und effizient angepasst?
  • Was sind die rechtlichen Risiken und haftungsrechtlichen Fragestellungen, die das Top-Management im Kontext des Themas Sicherheit betreffen?
  • Sind alle notwendigen Prozesse und Kontrollverpflichtungen definiert – und wenn ja: Werden diese hinreichend gelebt?
  • Mit welchen „Best Practices“ und Benchmarks misst meine Organisation Effizienz und Effektivität unserer Sicherheitsarchitektur und -prozesse?

Um Ihnen einen umfassenden Einblick in Ihr Bedrohungsumfeld und Ihre aktuellen Antworten in Form Ihrer Sicherheitsarchitektur auf diese Bedrohungen zu geben, überprüfen wir die folgenden drei wesentlichen Komponenten:

  1. Innere und äußere Bedrohungsfaktoren für Ihr Unternehmen – gleich, ob sie körperlicher Natur sind oder ausschließlich im Cyberspace stattfinden.
  2. Untersuchung des Status quo im Sicherheits-Management auf der Ebene von Top-Management und Geschäftsführung sowie nachfolgend in der zweiten und dritten Führungsebene. Neben Art und Weise sowie Angemessenheit der Sicherheitsmaßnahmen konzentrieren wir uns auf den Nachweis eines wirksamen Kontrollumfeldes im Bereich der Unternehmenssicherheit.
  3. Überprüfung der Gesamtorganisation hinsichtlich der effektiven und effizienten Umsetzung der aktuell gültigen Sicherheitsstrategie und Vergleich mit „Best Practices“ in der jeweiligen Industrie.

Security Operations Center

Wir analysieren Ihre Daten und Systeme mit unseren Data Scientists und schaffen so die Grundlage für erfolgreiche Abwehrmaßnahmen – die Offenlegung von Cyber-Angriffen.

  • Woher weiß ich, wann und wie oft ich angegriffen werde?
  • Kann es sein, dass meine IT-Systeme schon längst infiltriert sind – und ich es gar nicht merke?
  • Welche Einfallstore haben Angreifer in mein IT-System?
  • Wie kann ich kontinuierlich meine Systeme auf Angriffe überwachen?
  • Wie kann ich die Performance meiner Präventions- und Abwehrmaßnahmen bewerten, wenn ich gar nicht weiß, wann und wie oft ich angegriffen werde?

Häufig stehen die Fragen im Raum, ob bereits kompromittierte Systeme im Unternehmen vorhanden sind und wann neue Angriffe stattfinden. Diese Fragen beantworten wir Ihnen. Wir untersuchen Ihre Daten im Einklang mit allen rechtlichen Normen und Datenschutzvorschriften, um Auffälligkeiten in Ihrem Datenstrom zu identifizieren – in der Retrospektive genauso wie zukünftig kontinuierlich.

Zu diesem Zweck bestimmen wir zunächst gemeinsam mit Ihnen den Umfang der zu analysierenden Systeme und erfassen die relevanten Funktionen wie zum Beispiel E-Mails, Server, Internet Gateways und End-User Clients. Anschließend analysieren die Data Scientists von Comma Management Consulting für Sicherheit das definierte Umfeld auf Unregelmäßigkeiten und mögliche Schwachstellen, die angegriffen wurden. Dazu nutzen wir Produkte aus dem Open-Source-Umfeld sowie deutsche Analyseprodukte. Zusätzlich werden Informationen aus öffentlichen Quellen hinzugefügt, die eine bessere Analyse von Geographien und bekannten „Known Bad Services“ (wie zum Beispiel Command & Control Server, Spam Server und andere) ermöglichen.

Penetration Testing

Die Erfahrung zeigt, dass die Komplexität von IT-Infrastrukturen und Web-Anwendungen häufig Schwachstellen aufweist: Einerseits nicht vermeidbare, weil sie eine Eigenschaft eines eingesetzten Produktes darstellen, andererseits durchaus vermeidbare, weil man kompensierende Maßnahmen treffen oder vermeidbare Löcher stopfen kann, die aus fehlerhafter Systementwicklung resultieren.

Wir, die Datendetektive von CMC für Sicherheit, „erschnüffeln“ diese Schwachstellen in ihrer Datenstruktur.

Identity & Access Management

Die Verwaltung von Identitäten und die Gestaltung von Zugriffswegen zu unterschiedlichsten Systemen werden zunehmend komplexer. Waren es früher nur der eigene PC und Server im Unternehmen, so kommen mittlerweile Smartphones und andere mobile Endgeräte sowie diverse Cloud Services zum Einsatz. Einfache Benutzernamen und Passworte sowie die Notwendigkeit, diese ggf. wiederholt zur Anmeldung an einem Dienst oder Gerät nutzen zu müssen, macht die Sicherheit dieser Dienste nicht zwingend stärker. Die nachhaltige Verwaltung von Identitäten und die zentrale Verwaltung von erreichbaren Ressourcen dienen der Steigerung der Sicherheit und der Anwenderzufriedenheit.

Wir helfen Ihnen, Ihr Identity & Access Management Project richtig zu strukturieren. Dazu gehören die Identifizierung der richtigen „Use Cases“ und „Business Cases“, das Erstellen der richtigen Architekturen, die Anbieterauswahl und Einführung dieser Systeme.

Active Directory Security

Das Active Directory ist die Achilles Ferse der Unternehmenssicherheit geworden. Hat ein Angreifer erst Zugriff darauf erlangt und wichtige Konten kompromittiert oder gar eigene Konten installiert, ist der Dammbruch des Datenabflusses vorprogrammiert.

Prevention

Präventiv helfen wir, sichere Administrationskonzepte für das Active Directory zu entwickeln und zu implementieren. Dabei gehen wir stets risikoorientiert vor und bauen keine Luftschlösser mit goldenen Türklinken, die am Ende nicht mehr beherrschbar sind, sondern helfen hier mit pragmatischen Lösungen.

Detection

Sie wissen nicht, in welchem Status sich Ihr Active Directory befindet? Wir helfen Ihnen mit unserem Active Directory Fever Check Schwachstellen und Auffälligkeiten in Ihrem Active Directory und der Anwendungs- und Verwaltungsorganisation zu identifizieren.

Response

Wenn Sie festgestellt haben, dass Ihr Active Directory kompromittiert wurde, ist das Kind zwar bereits in den Brunnen gefallen, aber durch eine falsche Vorgehensweise wird es Ihnen nicht gelingen, den Angreifer nachhaltig aus Ihrer Infrastruktur zu verbannen. Die Spezialisten unseres Response Teams werden Ihnen helfen, kompromittierte Systeme, Accounts und installierte Schadsoftware zu identifizieren und mit der dafür geeigneten forensischen Methode einerseits Beweise sichern, andererseits helfen, den Angreifer wirksam auszusperren.

 

Asset-based Security

Der Perimeter ist tot. So, oder so ähnlich lautet der Horrorsatz eines jeden Sicherheitsbewussten Menschen. Mit der starken Verbreitung mobiler Endgeräte, Cloud Computing und Smartphones ist nahezu jeder Mitarbeiter mobil, kann an nahezu jedem Ort der Welt arbeiten und auf die Unternehmensdaten zugreifen und sie speichern, wo immer es beliebt. Häufig werden die Daten dabei aus den Perimetern des Unternehmens heraustransportiert, so dass Firewalls, Antivirensysteme etc. nicht mehr helfen können. Die Sicherheit muss also zur Information wandern und Diese direkt schützen. Und zwar so, dass die Informationen verschlüsselt sind, der Zugriff auf den Inhalt einschränkbar und jederzeit löschbar ist, sollte man die Daten an der falschen Stelle auffinden.

Wir lösen diese Herausforderungen für Sie mit den etablierten Technologien und Prozessen. Seien Sie sich bewusst. Die Einführung von Kryptografie bietet in sich bereits Risiken, denn meiner Herausforderung im Bereich Vertraulichkeit begegne ich mit der Schaffung einer neuen Herausforderung: Verfügbarkeit! Wir sind uns dieser Herausforderung sehr bewusst und wissen damit umzugehen.

 

Security Project Offices

Die Einführung oder Umgestaltung des Unternehmens-eigenen Sicherheitsmanagements erfordert viel Fingerspitzengefühl und eine wohldurchdachte Planung. Viele Komponenten greifen ineinander, wie die Zahnräder eines komplexen Getriebes. Die Schnittstellen zu anderen Disziplinen, wie IT-Service-Management, Datenschutz, Compliance, Facility Management etc. erfordern Mitarbeiter, die vielerlei Kompetenzen mitbringen müssen:

  • Langjähriges Know-how im Bereich der Informationssicherheit, um die Stolpersteine zu kennen.
  • Schnittstellenkompetenzen, um die Randbereiche und ihre Schnittstellen erkennen zu können.
  • Kommunikationsfähigkeiten, um unterschiedlichen Ansprechpartnern im Unternehmen kommunikativ begegnen zu können.
  • Agilität im Projektmanagement (z. B. nach PMI oder Prince 2), um nicht durch allzu starre Vorgehensweisen den Bruch im Projekt zuzulassen.
  • Seniorität, um sich in allen Hierarchieebenen des Unternehmens bewegen zu können und als Ansprechpartner auf Augenhöhe akzeptiert zu werden.