Mehr als Compliance: wir bauen Resilienz

In Umfang und Dauer, nicht in der Qualität. Beratung ist abgegrenzte Arbeit mit Anfang und Ende: eine Risikobewertung, eine Roadmap, ein Governance-Rahmen, die Vorbereitung auf einen bestimmten Standard. Ein vCISO ist jemand, der die Sicherheitsführung dauerhaft innehat: Woche für Woche entscheidet und dafür geradesteht. Die meisten Organisationen beginnen mit dem Ersten und wechseln zum Zweiten, wenn sie merken, dass die Entscheidungen ohnehin eintreffen — ob jemand da ist, sie zu treffen, oder nicht. Manche gehen den umgekehrten Weg und lassen mit Beratung die Arbeit eines bereits angestellten CISO gegenprüfen. Wenn Sie nicht sicher sind, was Sie brauchen, ist das eher ein Gespräch als ein Angebot.

Weil der Bericht der billige Teil ist und wir nicht allein dafür bezahlt werden möchten. Zu jeder Empfehlung gehören eine verantwortliche Person, ein Termin und ein Platz in einer Reihenfolge — und genau die Reihenfolge lassen die meisten Berichte aus. So kommen hundertvierzig Befunde auf einmal, und keiner wird erledigt. Wo Sie es wollen, trägt dasselbe Team die Arbeit durch; wo wir nicht die Richtigen dafür sind, sagen wir das und verfolgen es trotzdem bis zum Abschluss, statt das Mandat bei der Übergabe zu schließen. Und wenn Sie wirklich das Dokument brauchen — für ein Gremium, einen Käufer, eine Prüferin —, sagen Sie es: Dann kalkulieren wir das, und zwar günstiger.

Bei dem, was Sie haben, nicht bei dem, was Sie haben sollten. Die erste Bewegung ist immer die Bewertung: Ihr aktueller Stand, die für Sie geltenden Pflichten, Ihre tatsächlichen Risiken und Ihre geschäftlichen Prioritäten — übersetzt in ein Bild, mit dem die Führung etwas anfangen kann, und nicht in eine Liste von Befunden. Das ist bewusst der günstigste Teil jedes Mandats, denn er macht alles Nachfolgende überhaupt erst diskutierbar. Es gibt auf dieser Seite außerdem eine kostenlose Selbstbewertung von wenigen Minuten — für eine kleinere Organisation reicht sie oft, um das erste Gespräch nützlich zu machen.

Wir gehen von der geschäftlichen Wirkung aus, nicht von einer Schwere-Bewertung. Eine als kritisch eingestufte Schwachstelle auf einem System, das niemand von außen erreicht und auf dem nichts liegt, ist nicht Ihr erstes Problem; eine unauffällige Fehlkonfiguration auf dem System, über das Ihr Umsatz läuft, schon. Die Bewertung muss also zuerst klären, was bei Ihnen wirklich zählt — welche Systeme, welche Daten, welche Prozesse Sie keinen Tag entbehren könnten und wer es merken würde. Aus allgemeiner Schwere entsteht das Risikoregister, das niemand liest, und die Roadmap, der niemand folgt.

Nicht „ja“ — wer glaubwürdig ist, sagt nicht ja. Womit ein Vorstand arbeiten kann, sind wenige Dinge: wo Sie gegenüber dem gewählten Standard stehen, was sich seit der letzten Frage geändert hat, welches Risiko Sie bewusst tragen und was Sie von ihm brauchen, um daran etwas zu ändern. Zwischen technischer Wirklichkeit und diesem Gespräch zu übersetzen ist einer der Gründe, warum es diesen Service gibt — und eine Berichterstattung in dieser Form gehört dazu, statt etwas zu sein, das Ihr Team nachts zusammenstellt.

Damit, ob sie für Sie gelten und in welchem Umfang — weniger offensichtlich, als es klingt, und genau dort geht die meiste vergebliche Mühe hin. Danach ist die Arbeit weitgehend dieselbe, um welches Regelwerk es auch geht: klären, was im Geltungsbereich liegt, gegen die Anforderungen messen, die Lücken nach Risiko und Aufwand ordnen und die Nachweise unterwegs sammeln statt in den zwei Wochen vor einem Audit. Die Reihenfolge zählt mehr als der Name des Rahmenwerks: Steuerung, das Wissen über den eigenen Bestand und ein Risikobild kommen vor Überwachung und Erkennung. Und wenn bereits ein Termin im Kalender steht, ist das eine andere und dringendere Form von Mandat.

Beides — und wir sagen Ihnen vorher, welches von beidem. Wir machen Umsetzungsarbeit: Sicherheitswerkzeuge einführen und konfigurieren, Härtung, Firewall- und Netzwerkarbeit — so können dieselben Leute die Empfehlung durchtragen, die sie geschrieben haben, was die Übersetzungsverluste vermeidet, an denen gute Roadmaps scheitern. Aber die Empfehlung hängt nicht daran, dass wir es tun. Ein Teil gehört zu Ihrem eigenen Team, ein Teil zu einem Dienstleister, den Sie schon haben — und das zu sagen gehört zu dem, wofür Sie uns bezahlen. Eine Empfehlung, die nur die Firma umsetzen kann, die sie verfasst hat, verdient ein zweites Lesen.

Darin liegt der größte Teil des Werts — und uns fällt es leichter als jemandem auf Ihrer Gehaltsliste. Wir haben den Vergleich geschrieben, der gegen ein Produkt argumentierte, das wir selbst hätten verkaufen können. In unserer Härtungsarbeit stellen wir Befunde regelmäßig zurück, statt sie zu empfehlen, wenn die Änderung mehr Risiko trägt als die Lücke. Und wir sagen auch, wenn etwas nicht behoben zu werden braucht — ein schwierigerer Satz als eine Liste all dessen, was theoretisch besser sein könnte. Wir sind zudem selbst nach ISO/IEC 27001 zertifiziert: Uns prüft jemand auf derselben Grundlage, deren Anerkennung wir von Ihnen erbitten — das macht die Offenheit in beide Richtungen leichter.

Drei Formen. Eine kostenpflichtige einmalige Bewertung dauert Wochen zu einem Festpreis und ist der übliche Einstieg. Ein Projekt mit festem Umfang — ein Governance-Rahmen, eine Roadmap, die Vorbereitung auf einen Standard — wird vorab gegen ein definiertes Ergebnis zugeschnitten und bepreist, sodass Sie vor dem Kauf wissen, was Sie kaufen. Fortlaufende Beratung, bei der wir die Rolle innehaben statt sie zu besuchen, ist das vCISO-Mandat: monatlich, mit zwölf Monaten Mindestlaufzeit. Die Zahl bewegt in allen Fällen der Umfang — wie viele Systeme und Standorte dazugehören, welches Regelwerk gilt und wie viel der Arbeit Sie im Haus behalten wollen.