Was ist ein Security Baseline Review?

Was es ist

Das Review betrachtet die Kontrollen, die Ihr Unternehmen bereits umgesetzt hat, und vergleicht die vereinbarten Bereiche mit einem einheitlichen Sicherheitsmodell. Der Umfang wird vor Beginn der Arbeiten schriftlich bestätigt. Je nach gewähltem Service kann dies Authentifizierungseinstellungen, Zugriffsrechte, Kontowiederherstellung, Datenverarbeitungspraktiken, Integrationen von Drittanbietern, den Update-Stand und grundlegende betriebliche Regelungen rund um die Systeme im Umfang umfassen. Die Arbeit ist darauf ausgelegt, Konfiguration und Nachweise zu prüfen, nicht Kundendaten aus der Produktion einzusehen oder den normalen Betrieb zu stören. Sie erhalten einen strukturierten Bericht, der erläutert, was beobachtet wurde, warum es im jeweiligen Kontext relevant ist und was ein sinnvoller nächster Schritt sein könnte. Die Befunde sind so gegliedert, dass Entscheidungsträger den Unterschied zwischen einer sofortigen Priorität, einem einzuplanenden Punkt und einem Thema erkennen, das einen separaten Umfang oder Fachexpertise erfordert. Ihre Umgebung bleibt während der gesamten Bewertung so, wie Ihr Team sie konfiguriert hat; über etwaige Änderungen entscheiden Sie anschließend selbst.

Für wen es gedacht ist

Ein Security Baseline Review eignet sich für Unternehmen, die:

• digitale Produkte oder Services betreiben und ihre Sicherheitskonfiguration bisher noch nicht formell überprüfen ließen
• kürzlich Personal, Systeme, Hosting-Regelungen oder Drittanbieter gewechselt haben und prüfen möchten, ob Verantwortlichkeiten und Zugriffe aus dem Ruder gelaufen sind
• ein detaillierteres Sicherheitsprogramm vorbereiten und vor der Wahl des nächsten Service einen dokumentierten Ausgangspunkt benötigen
• auf eine Frage von Prüfern, Partnern, Kunden, Vorstandsmitgliedern oder Versicherern überlegt antworten müssen, ohne ihre aktuelle Lage zu überzeichnen

Was es zu klären hilft

Ein Baseline Review hilft zu klären:

• welche vereinbarten Kontrollen vorhanden zu sein scheinen und wo die Nachweise unvollständig sind oder die Konfiguration genauer betrachtet werden sollte
• wo Zugriffsrechte, gemeinsam genutzte Konten oder historisch gewachsene Einstellungen nicht mehr zur heutigen Arbeitsweise des Unternehmens passen
• welche Verbindungen zu Drittanbietern und Abhängigkeiten einen klareren Verantwortlichen, eine Rückfrage oder eine separate technische Prüfung verdienen
• was zuerst angegangen, was beobachtet und was als separat abgegrenztes Vorhaben besprochen werden sollte

Was ist enthalten

• Schriftliche Bestätigung des Umfangs vor Arbeitsbeginn, einschließlich der zu prüfenden Systeme und Nachweisquellen
• Remote-Prüfung der vereinbarten Konfigurationsbereiche und der von Ihrem Team bereitgestellten unterstützenden Informationen
• Ein strukturierter Befundbericht mit einem einheitlichen Schweregradmodell und klarem Entscheidungskontext
• Verständliche Hinweise zur Behebung für jede Beobachtung, einschließlich der Fälle, in denen ein anderer Verantwortlicher oder Service nötig sein kann
• Eine Management-Zusammenfassung, die intern geteilt werden kann, ohne auf unerklärte Fachbegriffe angewiesen zu sein
• Ein Folgegespräch zu Bericht, Prioritäten und sinnvollen nächsten Schritten

Was nicht enthalten ist

• Aktive Ausnutzung, Penetrationstests oder Versuche, Kontrollen zu umgehen
• Compliance-Zertifizierung, Prüfungsurteile von Aufsichtsbehörden oder eine Aussage, dass ein Unternehmen jede anwendbare Anforderung erfüllt
• Konfigurationsänderungen, Codeänderungen oder Behebungsarbeiten in Ihrer Umgebung während des Reviews selbst
• Laufendes Monitoring, Reaktion auf Alarme oder erneute Tests nach Abschluss des vereinbarten Auftrags
• Prüfung von Systemen, Domains, Anwendungen oder Anbietern, die nicht im schriftlichen Umfang enthalten sind

Wann man es wählt

Wählen Sie ein Security Baseline Review, wenn Sie ein klares, dokumentiertes Bild der aktuellen Situation wünschen, ohne sich sofort auf ein umfassendes Programm festzulegen. Es ist ein sinnvoller erster Schritt, wenn ein Team weiß, dass Sicherheit schwerer nachzuvollziehen ist, wenn sich Zuständigkeiten geändert haben oder wenn ein Stakeholder eine Frage stellt, die sich noch nicht mit Nachweisen beantworten lässt. Es kann auch vor einem Launch, einer Migration, einem Anbieterwechsel oder einem internen Planungszyklus helfen. Wenn Sie das konkrete technische Problem bereits kennen und eine definierte Änderung schnell umgesetzt werden muss, ist ein gezielter Härtungsauftrag oder ein spezialisierter Auftrag in der Regel die bessere Wahl. Der Wert der Baseline liegt darin, die nächste Entscheidung bewusster treffen zu können.

Unser Ansatz

Wir beginnen damit, die Grenzen des Reviews schriftlich zu bestätigen. Sie erhalten ein verständliches Briefing, das erläutert, was geprüft wird, was außerhalb des Umfangs liegt, welche Zugriffe oder Nachweise benötigt werden und was Sie bei der Übergabe erhalten. Der Prüfer nutzt Lesezugriff, beschränkt auf das, was zur Beobachtung der vereinbarten Konfiguration erforderlich ist. Lassen die verfügbaren Nachweise eine Frage offen, hält der Bericht sie klar fest, damit sie weiterverfolgt werden kann. Befunde werden als praktische Beobachtungen formuliert: der vorgefundene Konfigurationszustand, der Kontext, in dem er relevant sein kann, und eine angemessene Empfehlung oder nächste Frage. Der Bericht soll das Gespräch zwischen technischen und nicht-technischen Beteiligten unterstützen, nicht unnötig beunruhigen. Bei der Übergabe besprechen wir die Prioritäten mit Ihnen, damit das Dokument zu einer praktischen Arbeitsgrundlage wird und nicht zu einer Liste, die sich schwer umsetzen lässt.

Häufig gestellte Fragen

Verwandte Artikel