00:00:00: Angriffslustig!

00:00:01: IT-Sicherheit für dein Unternehmen.

00:00:04: Der Security Podcast der Go Security.

00:00:07: Mein

00:00:07: Name ist Sandro Müller und mit mir am Mikrofon Andreas Wiesler.

00:00:11: Mit ihrer Firma Go Security sind sie die Firewall Fizikunternehmen.

00:00:15: Wir haben ja schon eine Lösung, wieso soll ich jetzt noch was dazu machen?

00:00:19: Sensibilisierung zum Beispiel.

00:00:21: Sandro und Andreas sind die IT Sicherheitsexperten in der Schweiz

00:00:26: seit

00:00:26: über zwanzig Jahren schon

00:00:28: Komm.

00:00:28: wir versuchen noch ein wenig auf zu zeigen,

00:00:30: wie geht's

00:00:30: dann besser.

00:00:34: Hallo und herzlich willkommen zu einer neuen Folge.

00:00:38: Angriffslustig!

00:00:58: Das Jahr ist eigentlich ein Datum, denn die Norm stammt aus dem Jahr im Jahr.

00:01:03: das heißt sie ist brandneu.

00:01:08: Und am Mikrofon muss natürlich Andreas Wiesler sein als Normenexperte und mein Name ist Sandro Müller.

00:01:17: Es wurde mir schon langweilig, weil nichts mehr Neues von der Normenwelt da war.

00:01:23: Kommt eine nach dem anderen?

00:01:24: Ich wollte

00:01:25: so eben fragen, wie lange hast du gefeiert.

00:01:29: Ernsthaft!

00:01:29: Wie hast du davon erfahren?

00:01:31: per Zufall oder verfolgst du das sehr systematisch?

00:01:34: Muss das ehrlich zugeben die ist an mir vorbeigegangen.

00:01:37: ich war in einer Weiterbildung zur neuen neuntausend eins und dann hieß es auch übrigens die neunzehn-null elf ist neue Schienen nicht so okay muss gleich schnell schauen verpasst vom Datum her, es ist wirklich brandfrisch.

00:01:52: Aber die ist dann mehr vorbei.

00:01:53: also bei Zufall ja!

00:01:55: Jetzt kann man ja sagen, die Norm Neunzehn zero Elf ist relevant für uns auch für die IT-Sicherheit aber eigentlich... hat sie gar nichts damit zu tun.

00:02:04: Es ist nämlich eine Leitlinie für Audits von Management-Systemen, also das kann natürlich ein Informationssicherheitsmanagement System sein aber auch ein ganz anderes zum Beispiel von wie heißt das Umweltmanagementsystem?

00:02:19: Ein Datenschutzmanagementsystem gibt es ja für alles auch noch.

00:02:24: Ja, korrekt.

00:02:25: Es ist wirklich für diese Management-Systeme wie du aufgezählt hast, ein wichtiger Vertret hast du verpasst, neun Tausend Eins, da wir zum ersten auch noch ja weil das viele Unternehmen haben.

00:02:35: jetzt kann man sagen die geht mich hier nichts an doch indirekt eigentlich schon also die externen eh die planen die Audits nach dem aber auch intern zu schauen wie so einen Audit ablaufen muss welche Werkzeuge man nutzen kann und so weiter.

00:02:50: Denn auch von den Durchführenden, das wird da drin definiert.

00:02:55: Genau also die Norm sagt eigentlich wie hat ein Audit abzulaufen?

00:03:00: ganz grob und plakativ ausgedrückt?

00:03:03: Ich kann mich entsprechend aber natürlich nicht zertifizieren nach dieser Norm weil es hat Zertifiziert ja eh keine Personen sondern Unternehmen.

00:03:11: Stimmt das überhaupt?

00:03:12: Also nicht diese enormen Reihe, nicht die Management.

00:03:15: Es gibt eine Reihe für Personen Zertifikate

00:03:18: aber zumindest die siebenundzwanzig tausend eins mit der wir meistens zu tun haben.

00:03:22: dort stimmt die aussage.

00:03:23: aber vorsicht ich

00:03:24: alle management systemen stimmt diese aussage.

00:03:26: Aber auf jeden Fall die Neunzehn-Null-Elf, um die es heute geht kann ich mich gar nicht zertifizieren.

00:03:30: Das ist nicht die Idee, das sind eben die Grundlage für entsprechende Normen.

00:03:35: Ich sehe gleich, du hast sie auch noch aufgelistet hier an DREAS-SiebenundzwanzigtausendEins, Neuntausendseins, VierzehntausendEns, Zweiundzwanzig drei Null Eins.

00:03:42: So

00:03:43: und viele weitere.

00:03:44: Du hast erwähnt, Siebenundzwansich-Siebennonei Startentutzmanagement System doch eigentlich alles was mit Managementsystem zu tun hat?

00:03:54: Ja inhaltlich wir haben ja jetzt gerade besprochen Leitfaden für Auditoren und ein wichtiger Punkt ist das Audit-Programm zu stellen.

00:04:04: Dazu gehört, welche Standorte, welche kritischen Lieferanten?

00:04:10: wer führt das Auditor wenn mehrere Personen dabei sind?

00:04:13: Wer ist der Lead Auditor?

00:04:15: Wir sind Ergebnisse festzuhalten wir sind Ergebnissen zu dokumentieren.

00:04:20: wie ist dein Bericht zu schreiben?

00:04:22: Das ist dort alles drin.

00:04:23: Muss man sich eigentlich als Auditor zu hundert Prozent daran halten?

00:04:27: Nein, du bist natürlich schon noch flexibel.

00:04:31: Aber es bietet einen super Rahmen rundherum!

00:04:34: Wie viel ist eigentlich neu jetzt in dieser Norm, Andreas?

00:04:37: Du hast sie sicherlich auswendig gelernt schon.

00:04:41: Soweit ich weiß sind die Änderungen ja nicht

00:04:44: riesig.

00:04:48: So Evolution statt Revolution.

00:04:51: Die andere Ausgabe, wenn nicht das richtigen Kopf habe war aus ... ... zwanzig fünfzehn.

00:04:56: Also es sind doch elf Jahre dazwischen... Das muss ich schnell googeln da.

00:05:00: ich hab jetzt das Datum nicht auswendig im Kopf.

00:05:02: Aber es ist eine rechte Weile seit der letzten Überarbeitung und da hat sich doch sehr viel getan.

00:05:09: Und trotzdem wäre es ja irgendwo durch eine Überraschung, wär's ne komplette Revolution weil das Audit-Wesen sicher nicht?

00:05:16: komplett verändert hat in dieser Zeit, aber man hat gelernt.

00:05:21: Auch die Audit-Prinzipien, die ganz am Anfang stehen, sind alle unverändert.

00:05:27: Was sind dann so die wichtigsten Änderungen?

00:05:30: Für mich ein wichtiger Punkt sind Remote Audits und zwar während Corona konnte man plötzlich remote audits machen das heißt man musste nicht mehr vorbei sondern konnte via Teams und anderen Medien mit dem Kunden Das auditur führen.

00:05:47: Ich gehe zwar mal schwer davon aus, ich weiß das gar nicht.

00:05:50: vielleicht weißt du es in der alten norm von zwei tausend was war das fünfzehn irgendwas?

00:05:57: da war das vermutlich nicht explizit verboten.

00:06:01: man hat einfach nicht darüber gesprochen.

00:06:03: ja

00:06:04: vor allem auch die zertifizierung stellen haben das komplett abgelehnt.

00:06:08: die wollten eigentlich immer vor Ort sein.

00:06:10: es war dann eher über diese ok.

00:06:11: Und dann hat man während Corona gesehen, ah!

00:06:13: Man kann doch Remote Audits machen.

00:06:16: Aber als das vorbei war, hat sich es ziemlich schnell wieder geändert und wir müssen alles vor Ort machen.

00:06:22: Und zwar auch für kleine Standorte wo... Wir haben viele Kunden die haben einen Außenstandort irgendwo sagen wie in den USA da sind zehn Verkäufer aber die haben nur ein Laptop Da ist nichts kein Server.

00:06:36: sie haben oft nicht nochmal ein eigenes Büro.

00:06:38: Dann wollte der Auditor nach in die USA gehen.

00:06:41: Das gibt ja irgendwie wenig Sinn.

00:06:43: Die reisen vielleicht gerne, aber für das Audit hat es jetzt null Einfluss gehabt.

00:06:48: und jetzt steht explizit man darf Remote Audits machen.

00:06:54: Also nicht mehr die Ausnahme sondern es ist eine Standardoption die ich auswählen kann.

00:07:00: Gibt es dann bestimmte Dinge die ich beachten muss die anders sein müssen?

00:07:04: Jetzt aufgrund der Norm.

00:07:05: was die Norm sagt

00:07:07: Ja, du kannst natürlich nicht einen Serverraum remote bewerten.

00:07:10: Dass eine mit einer Laptop-Kamera rumläuft, da musst du selber vor Ort gehen.

00:07:15: Also wenn du kritische Komponenten hast, gehst du weiterhin vor Ort.

00:07:19: Aber im Beispiel mit dem Büroarbeitsplatz kann man dann wirklich endlich sagen hey das schauen wir nicht mehr direkt vor Ort an!

00:07:27: Wie stehst Du denn ganz allgemein zu Remote Audits?

00:07:31: Ich

00:07:31: bin da immer so gespalten... haben beispielsweise im technischen Bereich, kann ich mich erinnern auch während Corona dann gesagt ja gut jetzt müssen wir es doch mal probieren obwohl wir nicht so recht daran glauben.

00:07:43: Haben aber schon ziemlich schnell das wieder abgebrochen und gesehen als ein technisches Audit ist wahnsinnig schwierig dass du brauchst viel mehr Zeit.

00:07:53: Es ist für alle unangenehm und das war dann irgendwie nicht der Brüller.

00:07:59: Jetzt einen Hauptstandort von einem Unternehmen würde ich nicht remote prüfen Aber eben diese kleinen Arbeitsplätze oder etwas, was vielleicht am Rand im Scope der Zertifizierung ist das kannst du gut so machen.

00:08:15: Ich hatte jetzt auch diese Woche ein Teil Remote Audit weil es einfach termintechnisch nicht aufgegangen ist und da war noch eine Stunde den Entwicklungsprozess anzuschauen.

00:08:27: Den konnte ich sehr gut remote anschauen.

00:08:30: sie haben mir dann Wir haben Bildschirm gezeigt, das ist unser Dokument.

00:08:35: Die Strategie und die Richtlinie dazu.

00:08:37: Und dann haben sie mir auf Git gezeigt wie Sie es mit dem Code machen.

00:08:40: Sie haben ein Stück Code-Entwicklung gezeigt.

00:08:43: Das kannst du sehr gut.

00:08:44: solche Dinge

00:08:46: Ich für mich würde sogar noch den Unterschied machen war ich schon zweimal dort Kann ich eher einen Remote Audit machen als wenn ich noch nie dort war.

00:08:55: Definitiv

00:08:56: Warum?

00:08:56: Weil ich schon auch merke häufig du läufst ja irgendwo rein in ein Unternehmen, in einem Gebäude auf einen Firmengelände und hast immer einen Eindruck.

00:09:06: Das kannst du nicht verhindern!

00:09:08: Es ist ... Ein Riesen-Chaos!

00:09:13: Du läufst schon mal durch das halbe Gebäudee oder Firmegelände bist du mal an einem Pfang findest?

00:09:18: Oder dich jemand anspricht?

00:09:19: Oder es ist eben alles... Ja, es gibt immer einen eindruckenden.

00:09:23: ich das mal.

00:09:24: Definitiv!

00:09:26: Gutes Beispiel von dir, wenn ich der Risikoworkshop mache.

00:09:29: Meistens bis ich im Sitzungszimmer bin habe ich schon fünf bis zehn Risiken gesehen die man dann behandeln kann.

00:09:35: und das hast du natürlich nicht wenn du dann im Sizzungszimmern auf dem großen Monitor erscheinst

00:09:40: würde.

00:09:41: aber heute also es wäre erlaubt grundsätzlich komplett nur remote zu arbeiten und

00:09:48: theoretisch möglich Es ist nicht unverzichtbar die Vorurteils.

00:09:57: Ja,

00:09:58: ich sehe es ähnlich auch.

00:10:00: Ich finde das gut auf meines Ergänztes... Ist ja auch sonst ehrlich gesagt im Business so?

00:10:04: Ich finde es gut.

00:10:05: gibt es diese Tools ergänzend Nutzen.

00:10:08: Ich schätze es aber sehr wenn ich einen Kunden oder auf der anderen Seite einen Lieferanten auch einfach mal treffe und man die Hand schütteln kann.

00:10:16: Ich find das sehr wertvoll!

00:10:18: Aber danach brauche jedes mal immer vor Ort zu gehen.

00:10:22: Das finde ich dann gut, gibt es andere Tools?

00:10:25: Ich denke auch Start-ups werden von dem profitieren.

00:10:28: Zwei drei Leute die sich zusammengetan haben sind aber im kritischen Bereich und sagen ich will sie mir um zwanzig tausend eins da hatte ich auch einen den habe ich damals getroffen macht ja schon Sinn.

00:10:39: oder war der in einem Büro eingemietet?

00:10:41: hat er ein Schlüssel?

00:10:42: in dem Büro waren genau zwei Tische angestellt mit paar büchern sonst nichts.

00:10:49: Da musst du nicht jedes Mal vorbeigehen.

00:10:51: Ja,

00:10:52: das ist auch ein Eindruck!

00:10:55: Dann gibt es ja noch die virtuellen Standorte, die jetzt benannt werden... ...die eigentlich gar keine Standorte sind?

00:11:03: Richtig und zwar die so Cloud-Dienste Microsoft-Authorne, Microsoft-Admin, Amazon und wie sie alle heißen... ...werden jetzt auch als virtuelle Standorte angeschaut.

00:11:13: Also muss man dort euch auch einen Audit

00:11:15: machen?!

00:11:16: Genau wir gehen bei Microsoft vorbei.

00:11:19: Die Idee ist, dass das heute haben so viele Cloud-Dienste.

00:11:24: Dass es auch geprüft wird.

00:11:25: Jetzt bei siebenundzwanzigtausend Eins wird das eh angeschaut aber bei anderen Normen wird das eher ein Bogen rumgemacht.

00:11:32: Ah ihr habt Cloud Haken?

00:11:34: Nein die sind auch wichtig.

00:11:35: ich muss da auch eine Risikobewertung machen.

00:11:39: Ich finde das schon noch spannend auch bei anderen Normen.

00:11:42: nehmen wir mal zum Beispiel die vierzehntausendeins wo es umumum Umweltgedanken geht.

00:11:49: Ja, doofes Beispiel.

00:11:51: Ich sag mal du hast alles wunderbar gemacht.

00:11:53: Du hast wunderbare Systeme.

00:11:55: Du kontrollierst alles bis der Beste den es gibt in dem Bereich.

00:11:59: aber du hast dann irgendwo den schlechtesten Cloud-Diensteleister der ich weiß auch nicht seine Server

00:12:05: mit Kohle.

00:12:06: Genau das Beispiel hat dich auf der Zunge betreibt.

00:12:09: so ist ja egal ist nur ein Service.

00:12:13: Spannende Idee.

00:12:16: Diesen Norm ist auch noch herausgekommen, da könnten wir ja auch eine Folge machen.

00:12:19: Vierzehntausendeins?

00:12:21: Echt?!

00:12:21: Ja, machen wir!

00:12:25: Was auch explizit drin ist sind die digitale Werkzeuge und zwar Auditorinnen benötigen digitale Kompetenz.

00:12:32: Ja klar, sonst kannst du das ja nicht machen.

00:12:34: Richtig

00:12:34: Und das fordert die Norm?

00:12:37: Wie

00:12:37: muss ich das nachweisen?

00:12:40: Gar nicht, oder?

00:12:42: Die Zettifizierung stellen sollten darauf achten.

00:12:46: Ich bin jetzt ein bisschen plakativ.

00:12:49: Wird nicht in der Praxis immer so stimmen, aber du hast oft auch Auditoren die vielleicht schon pensioniert sind, die super in der Industrie waren, die kennen das Gebiet, super machen auch gute Audits und sie sind dann vielleicht nicht so Teams auf ihn oder Zoom auf ihn.

00:13:08: genau darum sagt die Norm auch, wenn ihr Remote-Audits macht müsst ihr auch diese Kompetenz haben.

00:13:14: Ja, macht eigentlich Sinn.

00:13:16: Macht eigentlich Sinn!

00:13:18: Ich möchte noch einen Punkt heraus kristallisieren.

00:13:21: Lieferanten Oditz?

00:13:23: Eigentlich auch von der SIEMERENZWONZIG TAUSEN EINST KLAAR und jetzt bei der NONZIN OELF auch stärker im FOKUS.

00:13:29: Das ist eigentlich spannend.

00:13:30: wir können ja behaupten die SIEMANNZWONEZWUNZIG TAUSEND EINS ist eine Vorreiter-NORM.

00:13:40: Gerade mit dem Anhang, wenn du die anderen Normen anschaust, saubt das in der Regel nicht.

00:13:44: Nein, das ist ein Anhang mit Kontrolls und die Simeoneinz hat einen sehr umfangreichen Annex aus den anderen Nichthauben.

00:13:54: Spannend!

00:13:55: Denkst Du dadurch werden Lieferanten jetzt häufiger auditiert?

00:14:00: Klares Jein.

00:14:01: Sie werden anders auditiert, also Risiko bewerten.

00:14:05: Was wir beim siebenundzwanzigtausendeinzig schon immer machen, dass wieder die Lieferanten nach Risikokategorie einstufen wird jetzt auch hier so sein.

00:14:13: eben das du auch mal riskante Lieferanden anschaust.

00:14:18: Früher bei klassischem neuntausendeinzehnte hast du die Liefrantenliste geschaut?

00:14:21: ja klappt alles gut.

00:14:23: das reicht heute nicht mehr

00:14:26: Ebenso wie es ja eigentlich bei siebenundzwanzigtausend einen schon länger ist.

00:14:29: Du musst da schon eine Bewertung durchführen und du musst da auch beim Audit mal gefragt, ja wie kommst du darauf?

00:14:36: Hast du die Datenschutzbestimmungen

00:14:38: usw.?

00:14:39: Genau!

00:14:40: Das finde ich wirklich ein ganz wichtigen Punkt.

00:14:45: Ja wie soll man jetzt vorgehen?

00:14:47: Weil's ja keine verpflichtende Norm ist empfehle ich euch trotzdem mal die anzuschauen, v.a.

00:14:52: auch das Auditprogramm mal zu überdenken Blieferante mit reinnehmen, Remote Audits zu berücksichtigen.

00:15:02: Das macht sicherlich Sinn!

00:15:04: Man kann aber trotzdem sagen oder ich würde das mal so einen Raum stellen wenn es um die Sitzung von Rundfunk im Jahr ist, gibt es weniger Umzustellen als bei anderen Namen?

00:15:14: Definitiv!

00:15:15: Ja ja, das würde ich unterstechen.

00:15:27: werden neu berücksichtigt.

00:15:29: Lieferanten und externe Dienstleister rücken stärker in den Fokus,

00:15:33: digitale Werkzeuge werden als Bestandteil von Audits betrachtet.

00:15:38: Und ja, erweiterte Anforderungen an die Kompetenz von Auditoren sind notwendig!

00:15:43: Und das war's auch schon wieder mit Angriffslustig.

00:15:46: Vielen Dank warst du mit dabei.

00:15:48: Wenn dir die Folge gefallen hat dann abonniere doch den Kanal.

00:15:51: darüber freuen wir uns und bis zum nächsten Mal

00:15:54: Tschüss

00:15:56: Angriffslustig!

00:15:57: IT-Sicherheit für Dein Unternehmen.

00:16:00: Der Security Podcast der Go Security Man

00:16:03: liest zwar immer wieder von Schwachstellen, ist selber aber nie davon betroffen gewesen...

00:16:08: Wie schütze ich mich vor Cyberkriminellen?

00:16:10: Welche Passwörter sind sicher und was kann passieren wenn ich gehackt werde?

00:16:14: Mehr Antworten gibt's in den nächsten Folgen mit Andreas Wiesler und Sandrum Müller.

00:16:19: Abonniere jetzt den Podcast.

00:16:21: Weitere Updates & Tipps auf gosecurity.ch.