Leistungen

Wir entwerfen den Prozess.
Ihre Engineers betreiben ihn.

Vier Arten der Zusammenarbeit, alle mit festem Umfang und festem Preis. Wir bringen das Wissen ein, das Ihr Team sonst über Monate selbst zusammensuchen müsste, und ziehen uns zurück, sobald es sitzt.

Laufend

Beratungsmandat

Der einfachste Einstieg, und für die meisten der richtige.

Ein Tag pro Monat, und Sie bestimmen die Agenda. Das Mandat setzt kein Projekt voraus und ist auch dann sinnvoll, wenn bei Ihnen noch gar nichts aufgebaut ist.

Typischerweise gehen wir die Kennzahlen der letzten Wochen durch und fragen nach, warum sie sich bewegt haben. Wir arbeiten Ausnahmen ab, die über ihre Frist hinaus gealtert sind, und nehmen neue Geschäftsbereiche oder Zukäufe in den Prozess auf. Wir prüfen anstehende Änderungen an Ihrer Werkzeuglandschaft auf ihre Folgen. Und wir sind erreichbar, wenn jemand aus Ihrem Team vor einer Entscheidung eine zweite Meinung möchte.

Der Aufwand ist vertraglich gedeckelt, und die Kündigungsfrist beträgt drei Monate auf beiden Seiten. Beides ist Absicht. Ein Mandat ohne Deckel wird über die Zeit zur Dauerbereitschaft, und das ist ein anderes Geschäft, das wir nicht betreiben.

Einmal pro Quartal kommen wir zu Ihnen ins Haus, den Rest erledigen wir remote.

Eine Woche

Standortbestimmung

Eine Woche, um zu klären, wo Sie wirklich stehen. Die Standortbestimmung ist unabhängig von allem anderen sinnvoll. Sie liefert Ihnen eine belastbare Bestandsaufnahme, und falls Sie danach nichts weiter mit uns machen, haben Sie trotzdem etwas in der Hand.

Gespräche führen

Wir sprechen mit den Personen, die es tatsächlich wissen. Also mit Ihren Security Engineers, mit der Person, der die Asset-Verwaltung gehört, mit denjenigen, die Behebungen durchführen, und mit denen, die erklären müssen, wenn etwas übersehen wurde.

Abdeckung prüfen

Wir vergleichen die Scan-Konfiguration mit dem Asset-Verzeichnis und beides mit der Realität. Aus dieser Differenz entsteht in aller Regel der Befund, wegen dem sich das weitere Gespräch überhaupt lohnt.

Prozess nachvollziehen

Wir verfolgen, wie ein Befund heute von der Entdeckung bis zur Behebung wandert, und halten fest, an welcher Stelle die Kette reisst. Meistens ist es nicht die Technik, sondern eine ungeklärte Zuständigkeit.

Sie erhalten eine schriftliche Bestandsaufnahme, eine Übersicht der Lücken und einen priorisierten Fahrplan mit Aufwandsschätzungen. Dazu eine Besprechung mit Ihren technischen Leuten und, wenn gewünscht, eine kürzere Fassung für die Geschäftsleitung. Die Standortbestimmung dauert fünf bis acht Arbeitstage. Entscheiden Sie sich innerhalb von drei Monaten für einen Neustart oder einen Aufbau, rechnen wir die Hälfte des Honorars an und kürzen den Umfang des Programms um die Arbeit, die bereits getan ist.

Drei bis vier Monate

Programm-Neustart

Wenn die Plattform steht und trotzdem nichts passiert.

Diese Situation ist häufiger, als sie öffentlich zugegeben wird. Jemand hat vor zwei Jahren eine Plattform eingekauft, die Einführung ist auf halbem Weg stehen geblieben, und seither verlängert sich die Lizenz jedes Jahr, ohne dass jemand die Befunde bearbeitet.

Wir beginnen mit der Diagnose. Was wurde konfiguriert, welche Annahmen lagen dem zugrunde, warum ist die Abdeckung kürzer als angenommen, und welche der damaligen Entscheide müssen zurückgenommen statt erweitert werden. Dieser Teil ist die eigentliche Arbeit und fachlich anspruchsvoller als ein Aufbau, weil wir die Überlegungen anderer Leute rückwärts nachvollziehen müssen, bevor wir etwas verändern.

Danach folgt derselbe Weg wie beim Aufbau, ab dem Prozessentwurf. In den meisten Fällen bleibt die vorhandene Plattform im Einsatz, weil sie deutlich mehr kann als konfiguriert ist. Sollte sie tatsächlich die falsche Wahl gewesen sein, sagen wir Ihnen das ebenfalls.

Ein Neustart dauert kürzer als ein Aufbau und ist im Verhältnis dazu trotzdem nicht billig. Der Grund ist, dass die Diagnose der schwierige Teil ist und nicht die Umsetzung.

Sechs bis neun Monate

Programm-Aufbau

Vom Nichts zu einem Prozess, den Ihr Team selbst betreibt.

Wenn noch kein Programm existiert, ist das eigentliche Problem selten technischer Natur. Es ist die Unsicherheit darüber, wie ein gutes Programm aussieht, wie lange der Aufbau dauert und was am Ende wirklich gebraucht wird. Genau diese Unsicherheit ist der Grund, weshalb solche Vorhaben liegen bleiben.

Wir beginnen mit den Anforderungen und nicht mit Produkten. Erst wenn feststeht, was die Lösung leisten muss, bewerten wir Kandidaten dagegen und halten die geprüften Alternativen mit Begründung schriftlich fest.

Danach entsteht der Prozess: Scanning-Strategie und Rhythmus, der Umgang mit Zugangsdaten beim Scannen, die Abgrenzung und Zuordnung von Assets, die Triage-Logik, und Behebungsfristen, die Ihre Teams mit ihrer tatsächlichen Kapazität auch einhalten können. Dazu die Behandlung von Ausnahmen und Risikoakzeptanzen, weil jedes Programm daran scheitert, wenn dieser Teil fehlt.

Anschliessend definieren wir die Kennzahlen und erheben einen Ausgangswert, damit eine Verbesserung später nachweisbar ist. Wir begleiten Ihre Engineers beim Aufbau an vereinbarten Prüfpunkten, ohne die Arbeit selbst zu übernehmen. Am Ende steht eine Dokumentation, die Ihnen gehört und die Sie einem Auditor vorlegen können.

Der Aufbau erstreckt sich je nach Grösse Ihrer IT-Abteilung über mehrere Monate, allerdings mit geringer Intensität pro Woche und nicht als Block. Abgerechnet wird monatlich gegen einen fest vereinbarten Gesamtpreis.

Ein Aufbau als Projekt ist allerdings nicht der einzige Weg, wenn bei Ihnen noch nichts steht. Viele Organisationen kommen günstiger und nachhaltiger ans Ziel, indem sie mit einer Standortbestimmung beginnen und den Prozess anschliessend über zwölf bis achtzehn Monate im Beratungsmandat selbst aufbauen. Der Aufbau ist dann die richtige Wahl, wenn Sie einen definierten Anfang und ein definiertes Ende brauchen, etwa weil das Vorhaben intern als Projekt budgetiert ist oder Ihre Beschaffung diese Form verlangt.

Fachliches

Was wir können, und was wir nicht behaupten.

Ihre Engineers merken innerhalb von zwanzig Minuten, ob jemand die Materie beherrscht. Deshalb sagen wir zuerst, wo die Grenze liegt.

Programme entwerfen

Vulnerability Management von Grund auf, einschliesslich der organisatorischen Fragen. Wer ist zuständig, welche Kapazität steht für Behebungen bereit, und wie werden Ausnahmen behandelt. Dieser Teil entscheidet über Erfolg oder Misserfolg, nicht die Werkzeugwahl.

Abdeckung beurteilen

Der Umgang mit Zugangsdaten beim Scannen, die Abgrenzung von Assets, die Deduplizierung und die Lücke zwischen dem, was gescannt wurde, und dem, was vorhanden ist. Das ist die Detailarbeit, die darüber entscheidet, ob Ihre Abdeckungszahl etwas wert ist.

Werkzeuge bewerten

Herstellerneutrale Beurteilung der gängigen kommerziellen Plattformen gegen Ihre Anforderungen. Wir verkaufen keine davon und halten keine Zertifizierung, die eine Präferenz erzeugen würde.

Kennzahlen definieren

Messgrössen, die das Programm abbilden statt es zu beschönigen, mit einer sauberen Ausgangsmessung. Wir sagen Ihnen auch, was die jeweilige Zahl nicht zeigt.

Nicht: Betrieb Ihrer Werkzeuge

Wir arbeiten nicht in Ihren Konsolen. Wir entwerfen und prüfen nach, Ihre Engineers führen aus. Das hält die Aufträge zeitlich begrenzt und sorgt dafür, dass das Wissen bei Ihnen bleibt.

Nicht: industrielle Umgebungen

Wir arbeiten heute in IT-Umgebungen. Industrielle Steuerungsnetze bauen wir als Fähigkeit bewusst auf, bieten sie aber erst an, wenn sie wirklich vorhanden ist. Bis dahin verweisen wir weiter.

Abgrenzung

Was wir nicht anbieten.

Diese Liste steht in jedem Auftrag, zusammen mit der Adresse, an die wir verweisen. In der Schweizer Beschaffung ist eine klare Abgrenzung kein Mangel, sondern ein Hinweis darauf, dass jemand weiss, was er tut.

Kein SOC, keine Überwachung rund um die Uhr und keine Managed Detection
Keine Penetrationstests und keine Red-Team-Einsätze
Keine Incident Response, wobei wir die Aufarbeitung danach übernehmen
Keine Zertifizierungen und keine Testate, sondern die Belege, die Ihr Auditor verwendet
Keinen Verkauf von Software oder Hardware, in keiner Form
Keine Aufträge unterhalb der Standortbestimmung, weil sich der Aufwand sonst für beide Seiten nicht lohnt

Reden wir zuerst.

Ein bis zwei Stunden mit Ihren technischen Leuten, technisch und ohne Verkaufsteil. Danach wissen beide Seiten, ob eine Zusammenarbeit Sinn ergibt.

Gespräch vereinbaren

Wir entwerfen den Prozess.Ihre Engineers betreiben ihn.