Wie Regeltermine eine zügige Bearbeitung der Findings durch einen externen Dienstleister ermöglichen
Wenn Daten eines Mitarbeiters im Darknet landen, sind zwei Dinge entscheidend. Erstens: die Überprüfung der Systeme auf Indicators of Compromise. Zweitens: Die zügige Behebung vorhandener Schwachstellen, um das Risiko eine Kompromittierung zu minimieren.
Herr Cirener hat als Geschäftsführer der Vogtmann-Herold+Co.GmbH beides erreicht, indem er uns neben einer forensischen Analyse mit Consulting für die effiziente Schließung von Schwachstellen beauftragt hat. Wie genau wir dabei vorgegangen sind und warum Herr Cirener dadurch einen wichtigen Mitarbeiter hinzugewinnen konnte, beschreiben wir in dieser Success Story.
Die Vogtmann-Herold+Co.GmbH ist ein Unternehmen mit 77 Jahren Erfahrung in der Mobilität in Verbindung mit Emotionalität und Nachhaltigkeit. Der Full-Service-Anbieter der Automobilbranche deckt von Werkstätten über Leasing bis hin zum Fahrzeugbau alles ab.
Fritz Cirener
Geschäftsführender Gesellschafter
Herr Cirener ist seit über vier Jahren Geschäftsführer der Vogtmann-Herold+Co.GmbH. Ihn zeichnet aus, dass er um die Wichtigkeit von IT Security in einem modernen Unternehmen weiß und seine Position nutzt, um Optimierungen in diesem Bereich anzustoßen und pragmatisch umzusetzen.
Grundlage für diese Erfolgsstory war ein Brief: Herr Cirener erhielt von offizieller Stelle die Information, dass Daten eines Mitarbeiters bei einem Leak aufgetaucht seien. Die sehr akute Fragestellung an uns war daher: Finden wir Indicators of Compromise (IoCs) im Netzwerk? Wurden die veröffentlichten Daten ausgenutzt?
Die daraus folgende zweite Frage war: Wie gut sind wir allgemein bei einem solchen und anderen Szenarien vor Cyber Angriffen geschützt?
Insbesondere bei der zweiten Frage konnten wir auf einen Pentest aufbauen, den wir zuvor bereits für die Vogtmann-Herold+Co.GmbH durchgeführt hatten. Die Findings aus diesem Assessment hatte das Unternehmen bisher eigenständig bearbeitet. Durch die für das Unternehmen neue Brisanz des Themas kam nun der Wunsch auf, hierbei unterstützt zu werden, um die Risiken zügig zu minimieren.
Eine Herausforderung lag darin, dass die Vogtmann-Herold+Co.GmbH ihre IT zu diesem Zeitpunkt vollständig an einen externen Dienstleister ausgelagert hatte.
Das Credo des Auftrags an uns war: Findet mit uns pragmatische Lösungen, die wir schnell umsetzen können.
Wir führten zunächst eine forensische Analyse durch, um alle Systeme gründlich auf Indicators of Compromise zu überprüfen. Dabei fanden wir keine Anzeichen für eine Kompromittierung, sodass wir umgehend mit der Abstellung von Schwachstellen starten konnten.
In der Lösungsstrategie für die Risikominimierung arbeiteten wir parallel auf zwei Ebenen:
In Regelterminen mit dem externen Dienstleister priorisierten wir die Findings und unterstützten durch Wissenstransfer und Projektmanagement bei deren Behebung.
In monatlichen Status-Terminen mit Herrn Cirener informierten wir über Fortschritte und Blockaden, um die Kommunikation zwischen Fach-Dienstleister und Geschäftsleitung zu erleichtern und bei Bedarf zeitnah zusätzliche Ressourcen für die IT einholen zu können.
Die Regeltermin-Struktur baute im positiven Sinne ein gewisses Maß an Druck auf den IT-Dienstleister auf, sodass innerhalb eines Jahres (inklusive der eigenständigen Bearbeitungszeit zu Beginn) alle Findings des ersten Pentests behoben werden konnten.
Herr Cirener hat einen Retest beauftragt, um die Ergebnisse zu validieren und eine Grundlage für weitere Optimierungen zu haben. Das Thema IT Security ist für ihn inzwischen integraler Bestandteil seiner Unternehmensstrategie.
Der Mitarbeiter des externen IT-Dienstleisters, der für die Betreuung der Vogtmann-Herold+Co.GmbH zuständig war, ist inzwischen fest im Unternehmen angestellt. Dadurch können Projekte effizienter umgesetzt werden und das Unternehmen profitiert nachhaltiger vom Wissenstransfer durch ProSec.
Wie bringt man Innovation und Digitalisierung mit Sicherheit zusammen? Wie schafft man sich operativ Luft für die effiziente Umsetzung von IT Security Projekten?
