00:00:00: Angriffslustig!

00:00:01: IT-Sicherheit für dein Unternehmen.

00:00:04: Der Security Podcast der Go Security.

00:00:07: Mein

00:00:07: Name ist Sandro Müller und mit mir am Mikrofon Andreas Wiesler.

00:00:11: Mit ihrer Firma Go Security sind sie die Firewall Fizikunternehmen.

00:00:15: Wir haben ja schon eine Lösung, wieso soll ich jetzt noch was dazu machen?

00:00:19: Sensibilisierung zum Beispiel.

00:00:21: Sandro und Andreas sind die IT Sicherheitsexperten in der Schweiz seit über zwanzig Jahren schon

00:00:28: Komm.

00:00:28: wir versuchen noch ein wenig auf zu zeigen,

00:00:30: wie geht's

00:00:30: dann besser.

00:00:31: Bist du bereit für ein neues

00:00:33: Update?

00:00:34: Herzlich willkommen zur Spaß mit Norman und Andreas und Sandro!

00:00:40: Selbstverständlich heißt der Podcast immer noch angriffslustig aber es geht um eine neue Norm.

00:00:47: Respektive genau genommen um einen Norm die er schon gibt, die aber rundum erneuert wurde.

00:00:53: quasi ein Facelift würde man in der Autowelt sagen hat sie erfahren.

00:00:58: Und zwar geht es um die Norm ISO-Fürzehntausendundeins.

00:01:02: Wir haben in einem der letzten Podcasts festgestellt, dass diese Norm ja auch neu ist und das wir darüber einen Podcast machen wollen.

00:01:10: und genau das machen wir heute.

00:01:13: Eigentlich ist ja untypisch, dass wir zwei über eine Norm sprechen, die Umwelt hanschaut weil normalerweise haben wir ja Info-Sicherheitsthemen aber warum sind dann die trotzdem wichtig?

00:01:27: Das haben viele gespürt, aber nur so am Rand mitgeschnitten.

00:01:33: Es gab eine Erweiterung von allen Managmentsystemen, allen egal ob neuntausendnein, siebenundzwanzigtausendeins.

00:01:41: Egal musste man reinnehmen.

00:01:44: Man muss den Einfluss der Umweltveränderungen und Klima Changes berücksichtigen.

00:01:51: Auch ist es in dem Jahr im

00:01:53: Jahr her?

00:01:54: Ja, richtig.

00:01:55: Und man hat das immer so belächelt, ja jetzt muss man das auch noch machen, das ist politischer Irrsinn, den man da reingetan hat.

00:02:04: und doch die Tragweite ist je nach externer Zertifizierungsstelle halt doch ein bisschen größer, dass man das machen muss.

00:02:12: und alle die mit Umwelt zu tun haben kennen die vierzehntausend eins schon länger

00:02:17: auf jeden Fall.

00:02:19: Trotzdem, ich war erstaunt.

00:02:20: Als ich so gelesen habe was die Änderungen sind Die wichtigen auf die kommen wir dann noch Habe ich mich schon ein wenig gefragt ja Hä?

00:02:28: Das ist neu das war schon nicht immer drin.

00:02:31: also viele die sich heute mit ESG Themen auseinandersetzen in Unternehmen Die machen das längst.

00:02:38: Also vielleicht Ich würde nochmal frech behaupten oder dass schon vorne wegnehmen Vielleicht war die vierzehntausend eins auch schon einen wirklich ein wenig veraltet Wirklich ein wenig Im Rückstand?

00:02:49: Ja, vielleicht ist das jetzt eine böse Aussage.

00:02:53: Ich kenne doch einige Unternehmen die haben die ´Fürzehntausendeinz´ weil sie ja schnell reichbar ist und wir hatten schon ´Neuntausendeins´ Und auch die Auditoren so Erfahrungsgemäß haben nicht so im Detail drauf geschaut.

00:03:06: Ich tue vielleicht einigen Unrechtes gibt es sicherlich wo man genauer geschaut hat aber sie war einfacher zu erreichen.

00:03:15: Also umso mehr ist es wichtig, dass es dann Update gegeben hat und das möchten wir mal mit euch kurz anschauen.

00:03:21: Was sind denn die Änderungen?

00:03:24: Ja, die Umweltbedingungen sind jetzt stärker noch drin.

00:03:28: also dieser Unternehmenskontext den man machen muss egal welchen Normen da muss ich vermehrt die Umwelt anschauen.

00:03:38: Klimawandel Biodiversität das sind ja auch so Themen jetzt reinkommen eben, wo viele sagen hey das war nicht drin anscheinend nicht.

00:03:47: Ja

00:03:48: oder nicht so umfangreich?

00:03:49: Genau nicht im gleichen Umfang richtig.

00:03:51: ja was man heute auch gerade spürt jetzt wo wir diesen podcast aufnehmen ohne klimaanlage würden wir hier pachnass

00:04:01: verbennen

00:04:04: setzen und das ist etwas was wir jetzt überall spüren.

00:04:08: und dementsprechend ressourcen knappheit.

00:04:12: Ich weiß nicht, ob du heute Morgen ins Büro gefahren bist.

00:04:15: Überall stehen Schilder mit sei sparsam mit Wasser.

00:04:20: Auch bei uns ist ein Thema das man berücksichtigen muss.

00:04:24: Und gestern bist du ja Zug noch stehen geblieben wegen Extremwetter?

00:04:29: Das hatte ich jetzt definitiv noch nie.

00:04:31: Wir können nicht weiterfahren wegen zu starkem Regen... Ja!

00:04:35: Mit dem Zug.

00:04:36: Mit dem Zuge.

00:04:37: Mit einem Zug.

00:04:38: Das muss was heißen.

00:04:41: dann gibt es eine neue Klausel.

00:04:43: Ja und das hängt auf

00:04:44: Changes, spannend in dem Zusammenhang.

00:04:48: Diese Norm folgt jetzt auch der harmonisierten Struktur.

00:04:52: Das heißt diese Management-Systeme sind identisch und die Sechs Drei ist einer, der auch bei den siebenundzwanzigtausend eins übrigens im zwanzigzwanzen Signal dazu gekommen ist.

00:05:02: ich muss Änderungen planen!

00:05:04: In der IT ist das ja völlig normal.

00:05:06: Change Management?

00:05:08: Richtig!

00:05:08: Ich bin wieder verführt zu sagen, man isst da ein wenig im Rückstand bei der Vierzehntausend Eins.

00:05:14: Tut mir leid wenn ich dann jemandem unrecht tue.

00:05:17: Hier ist nicht das klassische Change Management, ich installiere noch einen Patch gemeint sondern ich nehme Veränderungen am Managementsystem vor und früher war die Aussage ah das machen wir über den normalen Change Prozess.

00:05:32: Ich glaube nicht, dass das so funktioniert.

00:05:34: Weil du musst Änderungen... sind andere Anspruchspersonen!

00:05:39: Wenn du den Kontext deines Management-Systems änderst, kann das einen riesigen Einfluss haben.

00:05:45: Sei es auf deine Elefanten, sei es auf deinen Mitarbeitern.

00:05:48: Es kann im Management Änderung geben.

00:05:51: Also, kann man nicht einfach so machen wie nebenbei?

00:05:56: Kann man auch ein wenig sagen Andreas oder siehst du das auch so?

00:06:01: bis jetzt war die vierzehntausendeins ein wenig Betriebsblind oder im Sinne schon sehr stark auf den Betrieb ausgerichtet und heute geht viel mehr auch noch über die Unternehmensgrenzen hinaus.

00:06:17: Das

00:06:17: zweite Teil unterstreiche ich ja, es ist nicht mehr... Ich bin isoliert, ich schau bei mir eben dass ich wenig Wasserverbrauch habe das ich eine Solarzelle vielleicht auf dem Tag habe, dass ich Recycling mache so einen.

00:06:31: Die Grenzen gehen nach außen, weil ich habe ja auch immer eine Außenwirkung.

00:06:35: Also beispielsweise dass ich mich eben auch fragen muss wie knapp ist dann Wasser bei mir überhaupt?

00:06:40: Und wenn das komplett nicht knapp ist, hab' ich ein bisschen eine andere Ausgangslage als wenn es sehr knapp ist.

00:06:47: Ich glaube das ist so die Idee dahinter.

00:06:49: Dass ich mich auch frage was ist überhaupt wie relevant?

00:06:51: Ja

00:06:51: richtig

00:06:52: und wenn ich neben einem Atomkraftwerk meine Firma habe ist Strom weniger relevante.

00:06:56: Nee quatscht das natürlich nicht.

00:06:59: Aber das Beispiel mit dem Wasser war vielleicht besser.

00:07:01: Genau.

00:07:03: Sie haben auch einen schönen Wert definiert und zwar nennen sie den die Lebenswegperspektive, ein schwieriges Wort...

00:07:15: Das hört sich etwas esoterisch an!

00:07:19: Das stimmt aber stellt eigentlich von der Beschaffung Herstellung Transport Nutzung Wartung Recycling Entzorgung ganzen Lebenslauf in dem Fokus.

00:07:30: Den

00:07:30: ganzen Zyklus, was man eigentlich sagt schon immer das sollte man da

00:07:34: tun?

00:07:34: Ja eben du kannst nicht mit Themen so isoliert anschauen sondern über den ganzen Prozess finde ich einen guten Punkt.

00:07:44: dann Lieferante nun externe Prozesse, die Lieferkette oder nicht, das war der Lebenszyklus.

00:07:51: Aber die Lieferkette ist auch stärker im Fokus.

00:07:54: Auch da muss ich sagen ja gut aber eigentlich als zumindest Konzern musst du da schon lange extrem gut drauf schauen.

00:08:03: Ich denke was der Norm hier auch wichtig ist dass du die Liefernnte nicht nur nach dem Preis bewertest sondern vielleicht auch schaust was machen die haben die auch Einfluss?

00:08:16: Man kann es belächeln oder nicht, wenn wir bei Digitec Galaxus etwas bestellen.

00:08:22: Kannst du ja immer noch einen CO-Zweihausgleich machen?

00:08:25: Ich belechle's!

00:08:26: Genau... Wo du die Erstellung von diesem Produkt eigentlich diese CO-zweige kompensierst.

00:08:34: Hier gehts natürlich um den Großen und nicht um das kleine.

00:08:37: jetzt bei dem Haus bezahlsen auf fünfzehn Rappen mehr.

00:08:40: Aber kommt jetzt das ganze Bezug, kommt mit dem Schiff, kommt zum Flugzeug.

00:08:45: Das kann die Lieferkette natürlich stark beeinflussen.

00:08:49: Ich glaube halt mittlerweile auch sehr vieles läuft tatsächlich über den Geldbeutel, also es funktioniert vor allem wenn eben, wenn's günstiger ist und wenns teurer wird, wird schwierig.

00:09:01: Und ich habe vorher gesagt, ich belächle das.

00:09:03: Ich belächles für mich selbst nicht wegen dem höheren Preis, sag jetzt eben eine Maus, fünfzehn Rappen, dass würde mich jetzt nicht ruinieren sondern vielmehr weil ich kein Fan des kompensierend bin, ganz ehrlich gesagt.

00:09:16: Ich bin dann eher der Meinung zu überlegen brauche ich diese Maus jetzt wirklich oder tut es die alte auch noch?

00:09:23: Das finde ich die wichtigere Überlegung.

00:09:26: und wenn dann vielleicht ja wie du sagst auch mal so ein Gedanken mit hineinzunehmen Ja was ist denn da jetzt umwelttechnisch Vielleicht etwas besser oder nicht?

00:09:36: Ganz ehrlich gesagt manchmal kann man das beurteilen.

00:09:41: Ich nenne das mal irgendwo durch Leier, der da nicht nur den ganzen Tag noch das macht.

00:09:46: Manchmal denkt man, man kann es beurteilen und kann es eigentlich aber überhaupt nicht.

00:09:50: Und häufig haben wir es einfach auch nicht.

00:09:53: Ja, weil das System ist so komplex geworden?

00:09:55: Genau!

00:09:55: Das ist so Komplex und da braucht es wiederum Systeme und ich denke dass es dann schon etwas... aufwendiger, als es sich im ersten Moment anhört.

00:10:04: Oder man sagt ja ich muss die Lieferketten beachten und ich muss schauen wie kommen die Produkte daher?

00:10:10: Entweder gibt es klare Systeme da muss ich mich aber auch auskennen damit und sonst ist das praktisch unmöglich sehr schwierig.

00:10:17: Wir haben dir das auch mal für uns angeschaut.

00:10:19: du brauchst ein Profi für das.

00:10:20: Ja.

00:10:22: Ein Punkt den ich auch spannend finde du lächelst jemmer die siebenundzwanzig tausend eins ist Vorreiter und hier haben wir wieder so einen Punkt Und zwar, das Wort Chancen ist stärker in den Fokus gerückt.

00:10:35: Die Isumsumme im Jahr jahrelang hat schon lange Risiken und Chancens, aber jetzt wurden noch mehr herauskristallisiert.

00:10:43: Das heißt du musst auch Chancene erkennen können im Thema Umwelt?

00:10:46: Was ermöglicht mir das was vielleicht vorhin nicht möglich war?

00:10:52: Ja und ich glaube dass es in dem Thema wichtig auch was ich vorher gesagt habe in dem Zusammenhang Es geht am Schluss wirklich über den Geldbeutel Ich habe mich mal ein wenig damit befasst, die Schifffahrt.

00:11:08: Die ist ja sehr in Verruf zu neunundneinzig Prozent oder größten Teil sagen wir mal auch zurecht weil da wirklich umwelttechnisch das nicht ganz optimal ist, um es sehr diplomatisch auszudrücken.

00:11:22: und dennoch läuft dort ja erstauntlich viel in dem Bereich, wie kann ich Schiffe mit alternativen Antrieben betreiben.

00:11:29: Und das ist nicht einfach nur Elektrogemeins, sondern es sind diverse spannende Dinge am Laufen.

00:11:35: und jetzt kann man sich fragen warum investiert eine Rederei Millionen und Millionen in Millionen?

00:11:42: Die tun das nicht einfach weil sie Gutes tun wollen... Vielleicht tue ich jemandem unrecht, dann entschuldige ich mich.

00:11:48: Aber sagen wir größtenteils wirklich nicht deshalb sondern weil es eben immer mehr kontrollen immer mehr vorschriften gibt und die auch sehen Es kommt der moment da kommt ein unternehmen und nimmt nicht mehr mich als Schiffsdienstleister, das ist wahrscheinlich nicht das richtige Wort.

00:12:07: Aber ich nenne es jetzt mal so als Hochsee-Logistikunternehmen.

00:12:12: vielleicht besser oder auch nicht aber ihr wisst was ich meine?

00:12:15: Ich nehme nicht mehr... oder die nehmen nicht mehr mich sondern die nehmen den anderen weil sie jetzt gezwungen sind bessere Umweltmaßnahmen umzusetzen und ich habe das verpennt!

00:12:25: Ich kann da nicht mitmachen, ich hab immer noch meine Rohöl Schiffe und die anderen haben jetzt alternative Antriebe.

00:12:31: Um das aufzuholen, brauche ich zehn Jahre.

00:12:33: also kann ich eigentlich die Tore zumachen.

00:12:37: Die

00:12:39: haben Chancen im Blickfeld?

00:12:40: Genau!

00:12:41: Das war ja das Thema.

00:12:42: so bin ich drauf gekommen und ich glaube die Chance ist aber eben und das wollte ich sagen auch wieder Geldbeutel getrieben.

00:12:51: Lassen wir so stehen.

00:12:53: Vielleicht noch ganz kurz zur Norm bevor wir zum Vorgehen.

00:12:58: Es gibt einen weiterer Anhang, da hat es noch mehr Erläuterungen und Beispiele.

00:13:03: Nachteil weniger Interpretationsspieler.

00:13:05: am Vorweg war die Spannweite sehr weit und jetzt wird's halt ein bisschen enger.

00:13:10: aber wirklich schaut euch das an ist hilfreich für euch als Unternehmer aber auch natürlich für diejenigen die euch auditieren.

00:13:17: Die werden da auch reinschauen

00:13:19: Ist ja immer oder der Nachteile wenn das weniger gut spezifiziert ist.

00:13:25: Der Auditor kann dann nicht so streng sein, der muss auch offener sein und du hast eben schon die These aufgestellt das war jetzt auch nicht so schwierig wie bei gewissen anderen Management Systemen die Zertifizierung zu erhalten.

00:13:36: Das könnte sich natürlich damit ein wenig ändern.

00:13:39: Definitiv

00:13:41: Wie sollte man vorgehen Andreas?

00:13:43: Ja Jetzt

00:13:43: als Unternehmer

00:13:44: kauft euch Also wenn ihr schon zertifiziert seid, dann macht eine Gap-Analyse.

00:13:50: Wenn ihr neu das Ganze geht müsst ihr das natürlich nicht machen.

00:13:54: Schaut euch voran den Kontext an eben diese Schnittstellen.

00:13:57: was macht man selber?

00:13:58: Was machen externe?

00:13:59: Was sind interessierte Parteien?

00:14:01: Welchen Einfluss haben die?

00:14:03: Das gehört alles da dazu.

00:14:05: Dann die Lieferanten bewerten ganz wichtig das Change Management Ergänzen wie wir gesagt haben und die internen Auditoren Schulen

00:14:12: Definitiv.

00:14:13: Die müsst ihr abholen, sonst kommt es auch nicht

00:14:15: gut.

00:14:15: Genau und natürlich die Management Bewertung hat entsprechend neue Input Themen, die ihr dann auch berücksichtigen müsst.

00:14:22: Andreas meine Firma ist ISO fourteen thousand eins zertifiziert.

00:14:26: Gut du hast mich überzeugt ich will jetzt starten.

00:14:29: Geht das?

00:14:31: Neu?

00:14:32: klar Dann kannst Du einfach die neue nehmen sobald die Zertifizierungstellen ready sind diejenigen die schon sind.

00:14:39: man hat jeweils sechsund dreißig monatet Zeit das System zu adaptieren.

00:14:44: Weil das Zertifikat ist hier drei Jahre gültig, ihr habt jetzt zweieinhalb Jahre Zeit, wird bei den meisten Unternehmen reichen und dann gibt es einfach ein zusätzliches kleines Audit von einer Norm zu andern.

00:14:58: Sie machen es heute nicht mehr integriert weil wenn's da Probleme gibt auch der Rest gefährdet haben.

00:15:06: sagen sie wir kommen nochmal zusätzlichen halben Tagen Tag und schauen die Veränderungen an.

00:15:11: Das bedeutet, mit diesen sechsunddreißig Monate, ihr habt nicht ganz drei Jahre Zeit.

00:15:18: Also spät ist der Umstellung.

00:15:20: zwei Tausendneunzehn das

00:15:21: April-Zwanzig?

00:15:23: Ja, das wäre... April-zwei

00:15:24: Tausendeinundzwanzig, danke!

00:15:27: Aber eben in der Regel sagt man diese zweieinhalb Jahre nicht drei Jahre weil wir müssen auch ein bisschen Spatzung dort haben.

00:15:33: Ja also ich wollte gleich sagen es hört sich lange an aber passt auf.

00:15:38: gebt dann ein bisschen Gas.

00:15:39: Nicht bis zum Schlussworten.

00:15:42: Schreibst dir auf die Festplatte!

00:15:45: Die Norm hat nur kleine Veränderungen erfahren.

00:15:48: Die Lebenswegperspektive ist noch stärker im Fokus.

00:15:53: Vergiss nicht, das Change-Management ist auch wichtig.

00:15:56: Gute Vorbereitung erleichtert die Umstellung

00:15:59: erheblich.

00:16:00: Ich hoffe ihr hattet auch so viel Spaß mit Normen wie wir zwei und sind schon die nächsten in der Pipeline.

00:16:06: Danke, dass ihr dabei wart.

00:16:08: Bis zum nächsten Mal Tschüss!

00:16:13: IT-Sicherheit für dein Unternehmen.

00:16:15: Der Security Podcast der Go Security!

00:16:18: Man liest zwar immer wieder von Schwachstellen, ist selber aber nie davon betroffen gewesen...

00:16:23: Wie schütze ich mich vor Cyberkriminellen?

00:16:25: Welche Passwörter sind sicher und was kann passieren wenn ich gehackt werde?

00:16:30: Mehr Antworten gibt's in den nächsten Folgen mit Andreas Wiesler und Sandrum Müller.

00:16:35: Abonniere jetzt den Podcast.

00:16:37: Weitere Updates & Tipps auf gosecurity.ch.