cirosec GmbH

IT- und Informationssicherheit bestehen aus vielen organisatorischen und technischen Bereichen, die laufend an die sich verändernde Bedrohungslage und an sonstige Rahmenbedingungen im Unternehmen angepasst werden müssen.

Dabei den Überblick zu behalten ist nicht einfach, zumal die eigenen Strukturen im IT-Sicherheitsbereich oft über Jahre gewachsen sind. Die wenigsten Sicherheitsverantwortlichen haben neben der täglichen Routine genügend Zeit, um über den Tellerrand zu schauen und über die zukünftige Sicherheitsstrategie nachzudenken. Häufig sind die in Unternehmen vorhandenen technischen Sicherheitsmaßnahmen nur eine Lösung von Teilproblemen, die von den Herstellern oder Resellern der einzelnen Produkte als dringlichstes Problem oder effektivste Lösung verkauft werden. Ob sie jedoch die individuell entscheidenden Probleme bzw. Sicherheitsdefizite tatsächlich lösen bzw. beheben und somit die Sicherheit des Unternehmens deutlich und dauerhaft erhöhen, steht auf einem anderen Blatt. Entscheidend ist, sich nicht von Hypes leiten zu lassen, die ins- besondere der Produktmarkt hervorbringt, sondern sich an den individuellen Bedürfnissen zu orientieren. Es muss genau betrachtet werden, was die eigenen zu schützenden Werte sind und welchen Bedrohungen diese tatsächlich ausgesetzt sind.

Unter Berücksichtigung der zu schützenden Werte, der vorhandenen Lösungen und der bereits getroffenen Maßnahmen erhalten Unternehmen im Rahmen einer 360-Grad-Sicherheitsanalyse einen Überblick, wie der Stand der IT- und Informationssicherheit in ihrem Unternehmen zu bewerten ist und wo der größte Handlungsbedarf gegeben ist bzw. wo Optimierungsmöglichkeiten bestehen.

Die Untersuchung möglicher Fälle von Computerkriminalität im eigenen Unternehmen stellt die meisten Organisationen vor Probleme, denn sowohl die technischen als auch die organisatorischen und rechtlichen Rahmenbedingungen sind alles andere als trivial.

Egal, ob es sich um externe Angriffe oder um Innentäter handelt: Oftmals wird den Verantwortlichen nach kurzer Zeit bewusst, dass sie bei der Handhabung des Vorfalls vieles falsch gemacht haben, dass wichtige Spuren bei der Untersuchung vernichtet wurden oder dass aufgrund von Fehlern im Ablauf eine rechtliche Verwertung gefundener Spuren nicht mehr möglich ist.

Wir bieten Ihnen unsere Unterstützung im gesamten Bereich der Behandlung von Sicherheitsvorfällen an.

Wir helfen Ihnen bei der Definition und Implementierung von Prozessen und Richtlinien oder bei der Festlegung sinnvoller Protokollierungseinstellungen für Ihre Systeme. So sind die Abläufe und Verantwortlichkeiten klar geregelt und Sie sind für den Ernstfall gut

vorbereitet. Auch können wir Sie bei der Auswahl geeigneter Werkzeuge beraten und Ihnen diese liefern.

Im technischen Bereich unterstützen wir Sie beginnend bei Sofortmaßnahmen, Spurensicherung, Analyse des Tathergangs bis hin zur gerichtsfesten Durchführung und Aufbereitung forensischer Analysen.

Mit unserem Training Forensik Extrem sorgen wir für eine umfangreiche Weiterbildung im Bereich Incident Response und IT-Forensik. Das Training ISO 27035 Lead Incident Manager ermöglicht eine Zertifizierung in diesem Bereich.
 

Wir verfügen über langjährige Erfahrung in der Konzeption sowie Implementierung komplexer Sicherheitsumgebungen. Als herstellerunabhängiges Beratungsunternehmen können wir eine neutrale Konzeption gewährleisten. Zugleich unterhalten wir jedoch Beziehungen zu allen relevanten Herstellern von Sicherheitslösungen – dadurch können wir Konzepte nicht nur theoretisch, sondern auch praxisnah gestalten.

Ebenso kompetent führen wir Reviews Ihrer Konzepte und Architekturen durch, um Schwachstellen und fehlende oder auch unangemessene Maßnahmen aufzudecken und Verbesserungen zu empfehlen.

Als Grundlage für Konzepte dienen oftmals Risikoanalysen: Zunächst analysieren wir die größten Risiken und welche Maßnahmen geeignet sind, um sie auf ein akzeptables Niveau zu reduzieren.

Wo technische Maßnahmen oder Werkzeuge zur Risikoreduzierung nötig sind, helfen wir, eine Strategie unter Berücksichtigung verfügbarer Technologien festzulegen. Entscheidend dabei ist das Gesamtkonzept, sodass alle benötigten Techniken und organisatorischen Aspekte miteinander kompatibel sind, sich optimal ergänzen und zu den Prozessen und Strukturen im Unternehmen passen.

In den folgenden Bereichen führen wir nicht nur regelmäßig Risikoanalysen durch, sondern empfehlen auch Maßnahmen, erstellen Konzepte und Architekturen oder bewerten vorhandene Konzepte und Policies:

• Mobile Endgeräte und Projekte rund um „Bring your own Device“

• Interne Netzwerke, Internetanbindungen und DMZ-Strukturen

• Portale, Web-Applikationen und Web Services

• Server- und Endgerätesicherheit sowie Serverhärtung

Unsere typischen Leistungen:

• Individuelle Bedrohungs- und Risikoanalysen für IT-Vorhaben

• Gegenüberstellung von möglichen Maßnahmen zur Reduzierung von Risiken in Verbindung mit dem jeweiligen Aufwand und den Kosten

• Herstellerneutrale Erstellung von Sicherheitskonzepten

• Review existierender Konzepte und Architekturen sowie Empfehlung von Verbesserungen

Die meisten Informationen werden heutzutage mit Mitteln der Informationstechnik verarbeitet und gespeichert. Auch die Geschäftsprozesse im Unternehmen sind in der Regel maßgeblich von einer funktionierenden IT abhängig. Um die aus dem Einsatz von IT resultierenden Risiken zu erkennen, sie transparent zu machen und um ein bedarfsgerechtes Schutzniveau zu erreichen, wird ein professionelles Informationssicherheitsmanagement benötigt. Es muss von der Unternehmensführung getragen, im gesamten Unternehmen als Prozess gelebt und in das unternehmensweite Sicherheitsmanagement verankert sein.

Für die Einführung, Umsetzung, Kontrolle und die kontinuierliche Verbesserung eines solchen Informationssicherheitsmanagementsystems (ISMS) ist es empfehlenswert, sich an Standards wie ISO/IEC 27001:2013 zu orientieren.

Unsere Leistungen im Bereich Informationssicherheits- und Risikomanagement im Überblick:

Planung und Einführung des ISMS

Wir unterstützen Sie unter anderem bei

• der Erstellung der Leitlinie
• der Erstellung von Sicherheitsrichtlinien
• dem Aufbau einer Sicherheitsorganisation
• der Einführung der Sicherheitsprozesse, z.B. Incident Management, Schwachstellenmanagement oder Policy Management
• der Ausarbeitung des Risikomanagement-Prozesses
• der Durchführung von Risikoanalysen
• der Ermittlung von Messgrößen zur Messung der Effizienz des ISMS
• der Durchführung von Trainings- und Awareness-Maßnahmen

Dabei richten wir uns nach internationalen Standards wie ISO/IEC 27001 und berücksichtigen Ihre Compliance-Anforderungen und sonstigen internen Rahmenbedingungen.

ISMS-Standortbestimmung und -überprüfung

Sie möchten in Erfahrung bringen, ob Ihr ISMS als Prozess funktioniert und alle wichtigen und im ISO/IEC-Standard 27001 geforderten Aspekte abdeckt? Hierbei unterstützen wir Sie bei folgenden Aktivitäten:

• Ist-Analyse des ISMS
• Gap-Analyse (Soll-Ist-Vergleich)
• Definition und Abarbeitung von Arbeitspaketen zum Schließen der Lücken
• Ermittlung der Effizienz des ISMS und der ergriffenen Maßnahmen

Vorbereitung zur Zertifizierung nach ISO/IEC 27001

Falls Sie Ihr ISMS nach ISO/IEC 27001 zertifizieren lassen möchten, begleiten wir Sie auf dem Weg dorthin. Im Rahmen eines Pre-Zertifizierungsaudits (27001-Compliance-Audit) ermitteln unsere geprüften ISMS-Lead-Auditoren mögliche Handlungsbedarfe und helfen Ihnen anschließend, etwaige Lücken zu schließen.

IT-Risikomanagement

Ein strukturiertes Risikomanagement ist der Schlüssel zu einem erfolgreichen ISMS. Wir begleiten Sie zum Beispiel bei

• der Erarbeitung einer Methodik zur Ermittlung und Behandlung von IT-Risiken
• der Beschreibung der Schnittstelle zum Unternehmensrisikomanagement
• der Durchführung von Business Impact Analysen und Schutzbedarfsermittlungen
• der Durchführung von Bedrohungs- und Risikoanalysen zur Ermittlung Ihrer Risiken
• der Auswahl geeigneter Maßnahmen und deren Priorisierung

IT-Grundschutz

Wendet Ihr Unternehmen die IT-Grundschutz-Vorgehensweise des BSI an, so unterstützt cirosec Sie bei allen Schritten der Sicherheitskonzeption nach dem IT-Grundschutz.

Trainings und Awareness-Maßnahmen

Trainings und Awareness-Maßnahmen sind ein wesentlicher Teil eines ISMS. Ein Sicherheitsprozess kann nur dann funktionieren und gelebt werden, wenn die Notwendigkeit für Sicherheitsmaßnahmen auf allen Ebenen im Unternehmen erkannt und akzeptiert wurde. Hier unterstützt cirosec Sie unter anderem bei der Entwicklung des Awareness-Konzepts und der Durchführung von Awareness-Maßnahmen, z.B. in Form von Vorträgen oder Live-Hacking-Vorführungen.

Wir verfügen über fundierte Kenntnisse der aktuellen Angriffstechniken und Methoden, zudem bringen wir langjährige Erfahrung im Bereich von Audits und Penetrationstests mit. Dadurch können wir Ihre IT-Lösungen nicht nur auf der konzeptionellen Ebene auf potenzielle Sicherheitsrisiken hin untersuchen, sondern auch tatsächlich vorhandene technische und organisatorische Schwachstellen finden und angemessen bewerten.

Wir beraten Sie gerne bereits im Vorfeld, welche Bereiche und Prüfungen im Einzelfall für Sie sinnvoll sind.

Beispiele für Prüfungsaspekte:

• Sicherheit von Web-Applikationen, Web Services und Portalen
  • von außen betrachtet
  • von innen betrachtet und mit Prüfung der Konfiguration der Infrastrukturkomponenten am Quellcode
• Prüfung mobiler Apps und Embedded Devices am Quellcode oder mit Reverse-Engineering-Techniken
• Netzwerk-Reviews/-Audits
  • Analyse der Netzwerk-Struktur, der Konfiguration von Komponenten bzw. von verwundbaren Systemen, die im Netzwerk erreichbar sind
• WLAN-Reviews / -Audits
• Innentäter-Analysen
  • Was kann ein externer Berater mit Zugang zum internen Netz oder ein Praktikant innerhalb eines definierten Zeitrahmens erreichen?
• Prüfung des ISMS, Überprüfung von Prozessen oder Richtlinien
• Strukturelle Analyse von DMZ-Strukturen
• Systemsicherheit und Härtung von Servern und Endgeräten
  • Drucker, Kopierer usw.
  • Telefonie
  • Terminalserver
  • Backend-Systeme/Datenbanken
  • Manuelle OS-Prüfung einzelner Systeme
• Datenschutz-Audits im Kontext der IT-Sicherheit
• Social Engineering
• Prüfung von Spezialgeräten, Embedded-Systemen oder eigenen Produkten des Kunden
  • Reverse Engineering, Fuzzing etc.

Wir bieten Ihnen individuell gestaltete Seminare und Trainings, in denen Ihnen unsere langjährig erfahrenen Berater den richtigen Umgang mit modernen Technologien und neuen Sicherheitsthemen vermitteln.

Die Vorteile eines Trainings bei cirosec liegen auf der Hand:

• Erfahrene und als Berater tätige Trainer mit aktuellem Praxisbezug
• Lösungsorientierte Vorgehensweise
• Tiefes Eintauchen in die Sichtweise der Angreifer nach dem Prinzip "Know your Enemy" bei unseren Hacking-Extrem-Trainings
• Learning by Doing: Bei vielen Trainings steht jedem Teilnehmer ein Notebook zur Durchführung praxisnaher Übungsaufgaben zur Verfügung

Die Trainings und Workshops finden sowohl in Stuttgart, Köln, München und Hamburg als auch bei Kunden direkt vor Ort als Inhouse-Schulung statt.

Folgende Trainings werden regelmäßig angeboten:

• Hacking Extrem

Dieses Intensivtraining vermittelt die Vorgehensweise von Angreifern jenseits von Web-Applikationen. Beginnend mit der Informationsgewinnung geht es in zahlreichen Schritten über Linux-Server und Windows-Clients bis in die Domäne. Es wird auf bekannte und weniger bekannte Angriffstechniken eingegangen – von den grundlegenden Klassikern bis hin zur Umgehung aktueller Schutzmechanismen, von konzeptionellen Problemen bis hin zu Vorgängen in der Hardware.

• Härtung und sichere Konfiguration

n dieser Schulung wird nach einer kurzen Einführung in die jeweiligen Bedrohungsszenarien und Angriffstechniken vermittelt, wie man Betriebssysteme, Applikationsserver, Web-Applikationen und Datenbanken härtet beziehungsweise sicher konfiguriert. Mit vielen praktischen Beispielen und Übungen lernt der Teilnehmer, wie und mit welchen Werkzeugen er selbstständig typische Schwachstellen erkennen und beheben kann.

• Hacking Extrem Web-Applikationen

„Hacking Extrem Web-Applikationen” ist ein Training, das sich mit Angriffen auf Web-Applikationen und Back-End-Systeme beschäftigt. Das Intensivtraining vermittelt Ihnen die Vorgehensweise der Angreifer sowie bekannte und weniger bekannte Angriffstechniken auf Web-Applikationen mit den dahinter liegenden Datenbanken und Back-Ends. Der ausgesprochen praxisorientierte Stil ist durch zahlreiche Laborübungen angereichert.

• Crashkurs IT- und Informationssicherheit

In diesem Training werden theoretische und praktische Grundlagen der IT- und Informationssicherheit durch Vortrag, Diskussion und anhand von Beispielen aus der Praxis vermittelt. Der Trainer ist seit mehr als 15 Jahren als Berater tätig und kann daher umfassende und aktuelle Praxiserfahrungen in die Schulung einbringen.

• Forensik Extrem

In diesem Training werden aktuelle technische Methoden der IT-Forensik und des Incident Handling sowie die damit verbundenen rechtlichen Rahmenbedingungen und Möglichkeiten vorgestellt. Anhand vieler verschiedener Fallbeispiele wird das richtige Vorgehen bei einem Verdacht auf Hacker-Einbruch, Datenmissbrauch, Datendiebstahl, Datenlöschung oder auch bei unberechtigter Nutzung von firmeneigenen Kommunikationsmöglichkeiten erörtert.

Die Schulung teilt sich in zwei Teile: Im technischen Teil werden Werkzeuge für eine forensische Analyse vorgestellt. Im rechtlichen/organisatorischen Teil werden die rechtlichen Rahmenbedingungen für Inhouse-Ermittlungen gegen Verdächtige dargestellt.

• Certified ISO 27001 Lead Implementer

Dieser Intensivkurs vermittelt den Teilnehmern die nötigen Fachkenntnisse, um ein Unternehmen bei der Implementierung und beim Management eines ISMS nach ISO/IEC 27001:2013 zu unterstützen.

Zudem erwerben die Teilnehmer umfassendes Wissen über Best Practices in der Implementierung von Kontrollmechanismen für die Informationssicherheit aus allen Bereichen von ISO 27002.

• Certified ISO 27001 Lead Auditor

Dieses Intensivtraining mit anschließender halbtägiger Prüfung versetzt die Teilnehmer in die Lage, durch die Anwendung anerkannter Auditierungsprinzipien, -prozeduren und -techniken ein Informationssicherheitsmanagementsystem (ISMS) zu auditieren und ein Team von Auditoren zu führen.

• Certified ISO 27035 Lead Incident Manager

Dieser Intensivkurs vermittelt den Teilnehmern die Kompetenz, einen Incident-Management-Prozess in ihrem Unternehmen anhand des ISO-27035-Standards zu implementieren. Durch praktische Übungen gewinnen die Teilnehmer die nötigen Kenntnisse und Fertigkeiten, um Informationssicherheitsvorfälle rechtzeitig und lückenlos zu managen.

• Lead SCADA Security Professional

Dieser fünftägige Intensivkurs vermittelt den Teilnehmern die notwendige Fachkompetenz für die Planung, Konzipierung und Implementierung eines effektiven Programms zum Schutz von SCADA-Systemen. Die Teilnehmer sind anschließend in der Lage, verbreitete Bedrohungen, Schwachstellen sowie Risiken für Industrial Control Systems (ICS) zu verstehen und in den Griff zu bekommen.