Vulnerability Management
Die meisten Vulnerability-Management-Programme
scheitern nicht an der Technik.
Sie scheitern daran, dass nie definiert wurde, wer was bis wann behebt. Das Werkzeug meldet Befunde, und danach passiert wenig. Wir bauen den Prozess dahinter auf, Ihre Engineers betreiben ihn, und wir sorgen dafür, dass er nicht wieder einschläft.
Die Ausgangslage
Wie hoch Ihre Abdeckung wirklich ist, weiss meistens niemand.
Wenn wir nach der Abdeckung fragen, bekommen wir fast immer eine Zahl, die das Werkzeug ausgibt. Diese Zahl ist fast immer zu hoch. Nicht authentifizierte Scans laufen in der Statistik als authentifiziert mit. Die Deduplizierung fasst Hosts zusammen, die nicht zusammengehören. Und ganze Netzsegmente stehen gar nie im Scope, weil sie bei der Einführung niemand erwähnt hat.
Das ist keine Kritik am Produkt. Die kommerziellen Plattformen sind gut. Sie berichten aber über das, was sie gesehen haben, und nicht über das, was vorhanden ist. Der Unterschied zwischen diesen beiden Zahlen ist genau der Teil Ihrer Umgebung, über den niemand etwas weiss.
Wir fangen bei dieser Differenz an, weil sie in aller Regel der Befund ist, der das Gespräch verändert.
Zwei Wege
Wir treffen Organisationen in einem von zwei Zuständen an.
Die beiden Situationen sehen von aussen ähnlich aus, verlangen aber einen unterschiedlichen Einstieg. Deshalb klären wir im ersten Gespräch, in welcher Sie sich befinden.
Die Plattform steht und liefert nichts
Jemand hat vor zwei Jahren eingekauft. Scans laufen unregelmässig oder gar nicht, die Befunde landen in keinem Ticket, und die Lizenz verlängert sich trotzdem jedes Jahr. Diese Situation ist unangenehm, aber sie hat einen Vorteil: Sie können auf die Rechnung zeigen und wissen genau, was das Problem kostet. Wir klären, warum die Einführung stehen geblieben ist, welche der damaligen Entscheide zurückgenommen werden müssen, und bringen das Programm zum Laufen.
Es gibt noch gar kein Programm
Sie wissen, dass etwas fehlt, aber nicht, wie ein gutes Programm aussieht, wie lange der Aufbau dauert und was Sie am Ende wirklich brauchen. Diese Unsicherheit ist der eigentliche Grund, weshalb solche Vorhaben liegen bleiben. Wir entwerfen den Prozess, unterstützen Sie bei der Werkzeugwahl passend zu Ihrer Umgebung, definieren die Kennzahlen und begleiten Ihre Engineers beim Aufbau, bis Sie es selbst betreiben.
Zusammenarbeit
Drei Arten, mit uns zu arbeiten.
Alle drei laufen zu einem festen Umfang und einem festen Preis, der bei der Auftragsbestätigung feststeht. Ihre Engineers führen die Arbeit aus, wir entwerfen, messen und prüfen nach. Der einfachste Einstieg steht zuoberst.
Beratungsmandat
Ein Tag pro Monat, und Sie bestimmen die Agenda. Wir gehen die Kennzahlen durch und fragen nach, warum sie sich bewegt haben. Wir arbeiten Ausnahmen ab, die über die Frist hinaus gealtert sind, und nehmen neue Geschäftsbereiche in den Prozess auf. Und wir sind da, wenn einer Ihrer Engineers vor einer Entscheidung eine zweite Meinung möchte. Der Aufwand ist vertraglich gedeckelt, damit aus dem Mandat keine Dauerbereitschaft wird.
Standortbestimmung
Eine Woche, in der wir feststellen, wo Sie tatsächlich stehen. Was die vorhandenen Werkzeuge wirklich sehen, wie ein Befund heute von der Entdeckung bis zur Behebung wandert und an welcher Stelle die Kette reisst. Sie erhalten eine Bestandsaufnahme mit einem priorisierten Fahrplan, die Ihnen gehört und die Sie intern weitergeben können. Entscheiden Sie sich innerhalb von drei Monaten für ein Programm, rechnen wir die Hälfte des Honorars an.
Programm-Neustart
Die Diagnose einer stehen gebliebenen Einführung und die Rückführung in ein funktionierendes Programm. Wir klären zuerst, welche der damaligen Entscheide das Programm blockieren, und nehmen nur die zurück, die es tatsächlich müssen. Danach steht derselbe Prozess wie bei einem Neuaufbau, allerdings auf der Plattform, die Sie ohnehin bereits bezahlen.
Warum BrightPath
Wir verdienen nichts daran, welche Plattform Sie wählen.
Wenn Sie eine Plattform kaufen, bietet Ihnen der Hersteller die Einführung gleich mit an. Diese Teams sind fachlich gut und kennen ihr Produkt besser als jeder externe Berater. Sie werden allerdings daran gemessen, dass die eigene Software am Ende läuft, und nicht daran, ob sie für Sie die richtige war.
Eine Frage, mit der Sie uns prüfen können
Fragen Sie uns, was wir verdienen, wenn Sie sich für eine andere Plattform entscheiden. Die Antwort lautet: nichts. Wir führen keine Wiederverkaufsmargen, keine Rückvergütungen und keine Herstellerzertifizierungen, die eine Präferenz erzeugen würden. Diese Antwort ist bei jedem Produkt dieselbe, und Sie können sie überprüfen.
Zuerst die Anforderungen, dann das Produkt
Wir legen mit Ihnen fest, was die Lösung können muss, bevor wir über einzelne Produkte sprechen. In der Empfehlung stehen die geprüften Alternativen mit der jeweiligen Begründung. So bleibt die Entscheidung bei Ihnen und ist auch in zwei Jahren noch nachvollziehbar.
Schweizer Vertrag, Schweizer Recht
BrightPath GmbH mit Sitz in Windisch im Kanton Aargau. Der Vertrag läuft nach Schweizer Recht mit Schweizer Gerichtsstand, und die Arbeit wird von Schweizer Personal erbracht. Eine Berufshaftpflicht besteht. Es gibt keine Sub-Prozessoren, keine Lizenzkette und keinen Dritten im Datenweg, also auch keinen Lieferanten hinter dem Lieferanten.
Ihre Leute führen aus
Wir entwerfen und prüfen nach, betreiben aber nichts. Das hält die Aufträge zeitlich begrenzt und sorgt dafür, dass Ihr Team die Sache am Ende wirklich beherrscht, statt von uns abhängig zu sein. Wenn Sie den Betrieb lieber abgeben möchten, sind Sie bei einem Managed-Service-Anbieter besser aufgehoben, und wir nennen Ihnen gerne einen.
Klarheit
Was wir nicht anbieten.
Wir machen eine Sache und verweisen den Rest weiter. Das steht so in jedem Auftrag, zusammen mit der Adresse, an die wir verweisen.
- Kein SOC, keine Überwachung rund um die Uhr und keine Managed Detection
- Keinen Betrieb Ihrer Werkzeuge, denn wir entwerfen und prüfen, Sie führen aus
- Keine Penetrationstests und keine Red-Team-Einsätze
- Keine Incident Response, wobei wir die Aufarbeitung danach übernehmen
- Keine Zertifizierungen und keine Testate, sondern die Belege, die Ihr Auditor verwendet
- Keinen Verkauf von Software oder Hardware, in keiner Form
Häufige Fragen
Was Sie vermutlich als Nächstes fragen
Nächster Schritt
Reden wir zuerst, bevor Sie etwas entscheiden.
Ein bis zwei Stunden mit Ihren technischen Leuten. Wir gehen durch, wo Sie stehen, was bereits versucht wurde und was realistisch der nächste Schritt wäre. Sollte dabei herauskommen, dass Sie das selbst machen können, ist das ebenfalls ein Ergebnis.
Gespräch vereinbaren