Externer, virtual CISO

Abseits eines Informationssicherheitsbeauftragten (ISB) für ein ISMS nach ISO/IEC 27001:2022, biete ich Ihnen auch die Rolle eines „virtuellen“ Chief Information Security Officer (CISO) an. Die Rolle des CISOs sehe ich differenzierter als die des ISBs.

Auch ohne ein ISMS nach ISO/IEC 27001:2022, kann ich durch meine tiefgreifende Praxiserfahrung Ihr Unternehmen im Bereich der IT-Sicherheit kräftig unterstützen. Wie kann das im Detail aussehen?

Die grundsätzliche Vorgehensweise von mir ist grob in diesen Schritten und in dieser Reihenfolge aufgeteilt:

1. Strukturelles IT-Security Assessment und begleitende Korrektur von Maßnahmen, welche sich hieraus ergeben.
2. Begleitung des Asset-Managements und Einarbeitung in Ihre Infrastruktur.
3. Von mir durchgeführtes Schwachstellen Management und System Härtungen, in Zusammenarbeit mit Ihrem IT-Team.*
4. Einführung oder Erweiterung eines ganzheitlichen, sehr detaillierten Infrastruktur-Monitorings. Hier nutze ich gerne die niederländische Phrase "Meten is Weten", zu Deutsch "Messen ist Wissen". Insbesondere eine Überwachung von fast allem kann eine böse Überraschung verhindern.
5. Optionale Einführung eines SIEMs mittels Wazuh.
6. Testen des Monitorings und des SIEMs, anhand von vorab besprochenen Use Cases.
7. Begleitung der Risikobewertung Ihrer Assets.
8. Gemeinsame Erstellung von Richtlinien und Prozessen, speziell was die Notfall-Pläne angeht. Pläne, sind jedoch erstmal nichts wert, wenn diese nicht getestet werden. Entsprechend werden Szenarios mit Ihrem
   IT-Team „geübt“. Diese Übungen verifizieren nicht nur einen Notfall-Plan, sondern testen auch das Monitoring und das Desaster-Recovery.
9. Kontinuierliche Kontrolle der Sicherheitseinrichtungen, des Monitorings, der aktuellen Bedrohungslage, etwaige Anpassungen und das aktive Einfordern einer gesunden Awareness.
10. Aufbau (soweit es möglich ist) eines SOCs.
11. 24 × 7 Rufbereitschaft
12. Und meiner Ansicht nach besonders wichtig: Führung durch gutes Beispiel.

Die stete Kommunikation mit dem IT-Team und dem Top-Management ist dabei selbstverständlich. Aus den obigen Punkten lässt sich allerdings erkennen, dass ein CISO viel Zeit investieren muss und auf die Zuarbeit der IT angewiesen ist. Eine passende Unterstützung des Top-Managements ist demnach Pflicht. Auch wenn Ihr Unternehmen gar keine ISO Zertifizierung anstrebt, sind die Parallelen meiner Tätigkeiten doch verblüffend. Schaut man auch in die NIS-2 Gesetzgebung rein, findet man so ziemlich alles wieder.

 * Die Bewertung der jeweiligen Systeme benötigt einen Netzwerkzugang (via VPN) und auch erhöhte Rechte innerhalb dieser Systeme. Nach einer Bewertung, rate ich die Zugänge zu deaktivieren und nur bei einer nötigen Verwendung wieder zu aktivieren.