Beratung IT-Sicherheit Ulm

Ein IT-Security Audit, kurz "Sicherheitsaudit", ist eine Sicherheitsüberprüfung, bei der ein Angriff durch eine böswillige Partei auf ein Netzwerk oder eine Anwendung emuliert wird, um Sicherheitslücken zu identifizieren. Dieser Test wird im Vorfeld koordiniert und so durchgeführt, dass kein System beschädigt wird. Am Ende des Tests erhalten Sie einen Bericht, der die gefundenen Probleme und Schwachstellen zusammen mit Vorschlägen zu deren Behebung enthält.

Der Umfang eines IT-Security Audits sollte gemeinsam immer an die Besonderheiten des Unternehmens sowie des zu prüfenden Systems angepasst werden.

Im Falle einer Web-Applikation besteht der Umfang häufig aus der Server- und Betriebslandschaft sowie die Benutzeroberflächen und APIs. Oftmals gibt es Unternehmensanwendungen, die speziell für Ihre Informationen geschrieben wurde und die Sie sich ansehen lassen möchten.

Bei einem Netzwerk-Sicherheitsaudit spielen auch andere Überlegungen eine Rolle. Der gewählte Umfang sollte insbesondere unternehmenskritische Systeme umfassen, die im Falle einer Kompromittierung die Sicherheit beeinträchtigen können, z.B. weil sie sensible Daten speichern, wie beispielsweise Benutzerinformationen, Passwörter oder Kundendaten.

Die Begriffe "IT-Security Auditer" (kurz auch „IT-Sicherheitsexperten“), "White Hat Hacker" und "Ethical Hacker" werden oft synonym verwendet. Die Begriffe „Ethical Hacker“ und „White Hat Hacker“ umfassen die gesamte Hacking-Aktivität zur Verbesserung der IT-Sicherheit. Allen gemein ist, dass Aktivitäten die rechtswidrig oder nicht dem Code of Ethics entsprechen unterlassen werden.
Formal ist ein IT-Security Audit nur ein „Ethical Hack“ mit sehr klar vereinbarten Regeln, einem formalen Vorgehen sowie einem definierten Ziel.

Das kann – je nach Art des Sicherheitsaudits – verschieden sein. Häufig sind die Folgenden Punkte aber Teil des Scopes bzw. der gemeinsam getroffenen Vereinbarung:

- Zielsysteme (IP/Hostname) oder IP-Adressräume
- Testzeiträume sowie Ansprechpartner

Cloud-Provider wie AWS, Azure und Google haben für bestimmte Bereiche pauschale Einverständniserklärungen gegeben, jedoch kann dies je nach Provider unterschiedlich sein. Grundsätzlich muss eine solche vorliegen, falls die zu testenden System nicht auf eigener Infrastruktur liegen. Häufig ist es sinnvoll die betroffenen Systemverantwortlichen frühzeitig in den Planungsprozess mit einzubinden damit der „Sicherheitsaudit“ nicht als Angriff sondern als Potentialanalyse zur Verbesserung der IT-Sicherheit wahrgenommen wird. Um ehrlich zu sein, uns geht es auch nicht darum zu zeigen, dass wir ein Unternehmen hacken können, sondern in einer kollaborativen Arbeitsatmosphäre Verbesserungspotentiale der IT-Landschaft aufzudecken, Maßnahmen abzuleiten und zu priorisieren und so effektiv und effizient wie möglich die IT-Sicherheit zu verbessern.

Zu Beginn des Prozesses versuchen wir, uns mit Ihrem Unternehmen und dem Arbeitsumfang vertraut zu machen, damit wir in der Lage sind, ein genaues Angebot zu erstellen. Wir sammeln diese Informationen absichtlich, damit wir nicht zurückkommen und um mehr Testzeit (und zusätzliche Kosten) bitten. Je mehr Informationen Sie bereit sind, uns mitzuteilen, desto besser können wir eine Einschätzung abgeben.

Manche Kunden wünschen jedoch einen Blackbox-Ansatz, bei dem nur wenige Informationen zur Verfügung gestellt werden, um einen realen Angriff und die Reaktion darauf zu simulieren. In diesem Fall müssen wir immer noch die Größe/Komplexität erfassen, die für das Testen erforderlich ist, und haben daher einige grundlegende Fragen zum Umfang.

Wie bei jeder Unternehmensdienstleistung variieren auch die Kosten für einen IT-Security Audits in Abhängigkeit von mehreren Faktoren erheblich.

Scoping-Details wie Netzwerk-IP-Adressen, Komplexität und Anzahl der (Web-)Anwendungen und Mitarbeiter für Social Engineering sind Schlüsselfaktoren zur Bestimmung der Projektgröße. Unter Berücksichtigung dieser Variablen arbeitet unser Team sorgfältig daran, die Details des Umfangs mit den Sicherheitsanforderungen Ihrer Organisation abzustimmen.

Dennoch lassen sich einige Erfahrungswerte, die als erste Anhaltspunkte dienen können, nennen. Ein hochwertiger, professioneller und von Experten durchgeführter Sicherheitsaudit kostet üblicherweise ab etwa €8.000, kann aber bei großen Projekten auch deutlich über diesem Betrag liegen.

Redlings bietet auch Rabatte für Mehrjahresverträge an ("Continuous-Sicherheitsauditing"), um sicherzustellen, dass Ihr Unternehmen einen beständigen Sicherheitsauditing-Partner hat und das Sicherheitsbudget weiter strecken kann.