Beratung IT-Sicherheit Fürth

Ein IT-Security Audit, kurz "Sicherheitsaudit", ist eine Sicherheitsüberprüfung, bei der ein Angriff durch eine böswillige Partei auf ein Netzwerk oder eine Anwendung emuliert wird, um Sicherheitslücken zu identifizieren. Dieser Test wird im Vorfeld koordiniert und so durchgeführt, dass kein System beschädigt wird. Am Ende des Tests erhalten Sie einen Bericht, der die gefundenen Probleme und Schwachstellen zusammen mit Vorschlägen zu deren Behebung enthält.

Wie bei jeder Unternehmensdienstleistung variieren auch die Kosten für einen IT-Security Audits in Abhängigkeit von mehreren Faktoren erheblich.

Scoping-Details wie Netzwerk-IP-Adressen, Komplexität und Anzahl der (Web-)Anwendungen und Mitarbeiter für Social Engineering sind Schlüsselfaktoren zur Bestimmung der Projektgröße. Unter Berücksichtigung dieser Variablen arbeitet unser Team sorgfältig daran, die Details des Umfangs mit den Sicherheitsanforderungen Ihrer Organisation abzustimmen.

Dennoch lassen sich einige Erfahrungswerte, die als erste Anhaltspunkte dienen können, nennen. Ein hochwertiger, professioneller und von Experten durchgeführter Sicherheitsaudit kostet üblicherweise ab etwa €8.000, kann aber bei großen Projekten auch deutlich über diesem Betrag liegen.

Redlings bietet auch Rabatte für Mehrjahresverträge an ("Continuous-Sicherheitsauditing"), um sicherzustellen, dass Ihr Unternehmen einen beständigen Sicherheitsauditing-Partner hat und das Sicherheitsbudget weiter strecken kann.

Ähnlich wie bei den Kosten, hängt die Dauer von IT-Security Audits von mehreren Faktoren ab. IT-Security Audits sind eine praktische Bewertung, die sich nicht für kurze, schnelle Sprints eignet. Bei Redlings neigen wir dazu, Sicherheitsauditingprojekte ab etwa einer Woche beginnen zu lassen, aber viele Projekte können sich auch über einen deutlich längeren Zeitraum erstrecken.

Zu Beginn des Prozesses versuchen wir, uns mit Ihrem Unternehmen und dem Arbeitsumfang vertraut zu machen, damit wir in der Lage sind, ein genaues Angebot zu erstellen. Wir sammeln diese Informationen absichtlich, damit wir nicht zurückkommen und um mehr Testzeit (und zusätzliche Kosten) bitten. Je mehr Informationen Sie bereit sind, uns mitzuteilen, desto besser können wir eine Einschätzung abgeben.

Manche Kunden wünschen jedoch einen Blackbox-Ansatz, bei dem nur wenige Informationen zur Verfügung gestellt werden, um einen realen Angriff und die Reaktion darauf zu simulieren. In diesem Fall müssen wir immer noch die Größe/Komplexität erfassen, die für das Testen erforderlich ist, und haben daher einige grundlegende Fragen zum Umfang.

Zugegeben, das ist gar nicht so einfach - wenn Ihnen jemand erzählt, dass er nur mit den besten IT-Sicherheitsexpertenn arbeitet, mag das schwer nachzuprüfen sein. IT-Sicherheitsexperten mit mehr Erfahrung und aufwändigerer Ausbildung sind auch häufig teurer. Denken Sie einfach daran, dass Sie das bekommen, wofür Sie bezahlen. Hüten Sie sich vor IT-Sicherheitsexpertenn, die Preise anbieten, die zu gut sind, um wahr zu sein. Sie machen wahrscheinlich keine gründliche Arbeit. Ich schlage vor, nach IT-Security Auditern zu suchen, die eine oder - besser - mehrere anerkannte IT-Sicherheitsexperten-Zertifizeriungen haben.

Zu den in Sicherheitskreisen am meisten geachteten (und aufwändigsten) Zertifizierungen im Bereich Penetration Testing gehören die Zertifizierungen von Offensive Security (insbes. OSCP - Offensive Security Certified Professional, OSCE - Offensive Security Certified Expert) und von SANS/GIAC.

Ein IT-Sicherheitsaudit untersucht die Sicherheit der IT-Systeme eines Unternehmens aus einer ganzheitlichen Perspektive. Sicherheitsbedrohungen können nicht nur durch Angriffe entstehen, sondern auch durch technische Vorfälle, organisatorische Mängel oder höhere Gewalt.
Sicherheitsaudits finden oft im Rahmen eines ISMS (Informationssicherheits-Managementsystems) und prüfen nicht nur technische Sicherheitselemente, sondern auch die Einhaltung der eigenen Standards und Richtlinien, Sicherheitsprozesse, Schulung der Mitarbeiter (Stichwort Information Security Awareness) und ähnliche Aspekte. Manche Sicherheitsaudits beinhalten auch Elemente eines Schwachstellen-Scans.
Allerdings geht ein Sicherheitsaudit meist nicht so sehr ins technische Detail wie ein manueller IT-Security Audit.