Sicherheitsrichtlinien, die man an einem Dienstagnachmittag lesen kann
Wir schreiben und prüfen die Richtlinien und Verfahren hinter Ihrer Sicherheit, damit sie beschreiben, was Sie tatsächlich tun, und die Menschen, die sie befolgen, sie verstehen.
Überblick
Warum die Richtlinien zählen
Richtlinien sagen, was die Organisation erwartet. Verfahren sagen, wie es gemacht wird. Auditoren, Kunden und Aufsichtsbehörden lesen beides, und ebenso die Menschen, die es befolgen müssen. ISO/IEC 27001 verlangt eine Informationssicherheitsleitlinie und erwartet themenspezifische Richtlinien dazu, und Vorgaben wie NIS2, DORA und SOC 2 suchen alle nach dokumentierten Regeln.
Der häufige Fehler ist ein Stapel übernommener Vorlagen, den niemand gelesen hat und der Prozesse beschreibt, die niemand lebt. Wir machen es umgekehrt. Wir sprechen mit den Verantwortlichen, sehen uns an, wie gearbeitet wird, und schreiben Dokumente, die dazu passen, oder sagen Ihnen klar, wo sich die Praxis ändern muss, bevor es das Papier tut.
Eine Richtlinie ist ein schriftliches Versprechen. Wir helfen Ihnen, Versprechen zu geben, die Sie halten können.
Für wen es gedacht ist
Organisationen, die sich auf ISO/IEC 27001, SOC 2, NIS2 oder DORA vorbereiten, Unternehmen, die Kundenfragebögen mit der Bitte um ihre Richtlinien beantworten, und Teams, deren Dokumente nicht mehr beschreiben, wie sie arbeiten.
Die Arbeit, von der Abgrenzung des Umfangs bis zu den Nachweisen.
Was wir tun
Prüfung des Bestands
Wir lesen, was Sie haben, prüfen es gegen die für Sie relevanten Rahmenwerke und gegen die Praxis und markieren, was fehlt, veraltet ist oder sich widerspricht.
Kernrichtlinien
Eine Informationssicherheitsleitlinie und themenspezifische Richtlinien, etwa zur zulässigen Nutzung, Zugriffssteuerung, Kryptografie, Protokollierung und zum Änderungsmanagement.
Reaktion auf Vorfälle
Richtlinie und Verfahren zur Reaktion auf Sicherheitsvorfälle mit Rollen, Eskalation und Meldewegen, einschließlich der für Sie geltenden Meldepflichten.
Lieferanten und Backup
Lieferantensicherheit, Datensicherung und Wiederherstellung, Notfallmanagement und weitere betriebliche Richtlinien, verknüpft mit den Maßnahmen, auf die sie sich stützen.
Verfahren und Nachweise
Schritt-für-Schritt-Verfahren, wo sie helfen, und die Aufzeichnungen, die belegen, dass sie befolgt wurden.
Dokumentenlenkung
Verantwortliche, Prüftermine, Versionierung und Freigabe, damit der Bestand aktuell bleibt, wenn wir gegangen sind.
So läuft der Auftrag ab
Auftakt
Wir vereinbaren, welche Dokumente im Umfang sind, welchen Rahmenwerken sie genügen müssen und wem sie gehören, und unterzeichnen auf Wunsch vorab eine Vertraulichkeitsvereinbarung.
Angebot
Ein Angebot mit Dokumentenliste, Methode und der Vertragsform, die zu Ihnen passt.
Prüfung und Interviews
Wir lesen den aktuellen Bestand und sprechen mit den Menschen, die die beschriebene Arbeit tun.
Entwurf
Entwürfe in klarer Sprache, mit den Verantwortlichen besprochen und angepasst, bis sie zur Praxis passen.
Übergabe und Freigabe
Finale Dokumente, eine Zuordnung zu den Rahmenwerken im Umfang und eine kurze Einweisung für die, die sie freigeben und befolgen.
Abschluss
Projektabschluss mit Feedback und auf Wunsch regelmäßige Überprüfung, damit der Bestand aktuell bleibt.
Was Sie erhalten
- Gap-Analyse Ihres aktuellen Richtlinienbestands
- Informationssicherheitsleitlinie und themenspezifische Richtlinien
- Verfahren und Vorlagen für Nachweise, wo nötig
- Zuordnung jedes Dokuments zu den erfüllten Anforderungen
- Dokumentenregister mit Verantwortlichen und Prüfterminen
- Einweisungsmaterial für Mitarbeitende und Freigebende
Fragen
Können wir nicht einfach Vorlagen verwenden?
Vorlagen sind ein guter Anfang, und wir nutzen Strukturen, die Auditoren kennen. Das Problem sind Inhalte, die nicht zu Ihrer Praxis passen. Ein Auditor prüft Nachweise gegen das, was die Richtlinie sagt, und eine Richtlinie, die Sie nicht befolgen, wird zur Feststellung.
Wie viele Richtlinien brauchen wir?
So viele, wie Ihre Risiken, Ihr Geltungsbereich und Ihre Rahmenwerke verlangen, und nicht mehr. Manche Organisationen kommen mit einem kurzen Satz und wenigen Verfahren gut aus. Wir richten uns nach Ihnen.
Bestehen die Dokumente das Audit?
Das kann niemand versprechen. Das Audit prüft, ob Sie die Dokumente befolgen, nicht nur die Dokumente selbst. Wir schreiben sie so, dass sie die Anforderungen erfüllen und zu Ihrer Praxis passen, und genau das prüfen Auditoren.
Können Sie die Mitarbeitenden auch zu den neuen Richtlinien schulen?
Ja. Security-Awareness-Schulungen gehören zu unseren Leistungen, und eine kurze Einweisung ist Teil der Übergabe.
Verwandte Leistungen
- Compliance und ZertifizierungISO/IEC 27001ISO/IEC 27001 mit Black Fox Security: ISMS-Geltungsbereich, Risikobeurteilung, Erklärung zur Anwendbarkeit, internes Audit und Vorbereitung auf die Zertifizierung.
- Beratung und ReaktionSecurity-Awareness-SchulungenSchulungen von Black Fox Security: Security-Awareness, Social Engineering, Incident Response und DevSecOps für Mitarbeitende, Entwickler und Führung.
- Governance und RisikoInformationssicherheits-AuditUnabhängige Audits der Informationssicherheit von Black Fox Security nach ISO/IEC 27001, 27002, DSGVO, PCI DSS, Ihren Richtlinien oder einem Kundenfragebogen.
- Compliance und ZertifizierungNIS-2NIS-2 mit Black Fox Security: Betroffenheitsprüfung, Gap-Analyse gegen die Risikomanagementmaßnahmen, Meldeprozess, Lieferkette und Schulung der Leitung.
Schicken Sie uns den Ordner
Oder sagen Sie uns, dass es keinen gibt. So oder so sagen wir Ihnen, was Ihr Richtlinienbestand braucht.