Aufgabe: Implementierung von Sicherheitsmaßnahmen zur Absicherung des Geschäfts

Ziel: Steigerung der Informationssicherheit und Minimierung der Security-Risiken

Ergebnis: Erfolgreiche Einführung eines ISMS und signifikante Verbesserung der Sicherheitslage

Auf die Reaktion zunehmender Cyberangriffe wurde eine Cybersecurity-Startegie für ein Retailunternehmen geplant und umgesetzt. Dazu waren eine Risikobewertung aus Sicht der Informationssicherheit sowie ein umfassender Pen-Test erforderlich. Zudem sollte die Mitarbeiter-Awareness getestet werden. Aus der Ist-Analyse sollte ein Informationssicherheitsmanagementsystem (ISMS) eingeführt und weitere Maßnahmen zur Steigerung der Security abgeleitet werden.

Die Aufgaben umfassten die Implementierung des Informationssicherheitsmanagementsystems (ISMS) sowie den Auswahlprozess für ein geeignetes Governance, Risk, and Compliance (GRC)-Tool. Darüber hinaus wurde ein Anbieter für Penetrationstests ausgewählt, und die Durchführung dieser Tests im gesamten Unternehmen, einschließlich aller Filialen, wurde sorgfältig begleitet. Eine umfassende Awareness-Kampagne wurde geplant und erfolgreich umgesetzt, ergänzt durch die Entwicklung gezielter Awareness-Trainings. Zudem fand die initiale Einführung eines Identity and Access Managements (IAM) sowie eines Konzepts für Privileged Access Management (PAM) statt. Dies wurde gefolgt von einem Rollout und der teilautomatisierten Umsetzung von Prozessen für Joiner, Mover und Leaver. Abschließend wurde ein Notfallplan für potenzielle Cybervorfälle sowie ein Krisenmanagementkonzept erstellt, um auf zukünftige Herausforderungen optimal vorbereitet zu sein.

Das Ergebnis war die sorgfältige Auswahl und Anpassung eines ISMS-Tools, das gezielt auf die spezifischen Bedürfnisse des Unternehmens abgestimmt wurde. Der Penetrationstest wurde erfolgreich durchgeführt, und es wurden Mitigationsmaßnahmen zur Behebung der identifizierten Schwachstellen eingeleitet, wobei insbesondere kritische und mittlere Findings bis zum Abschluss des Projekts gelöst werden konnten. Die Awareness-Kampagne reduzierte die Quote bei einer Wiederholung der Kampagne um etwa 50 %. Die initiale Einführung der Prozesse basierte auf Power-Apps und M365 und wurde nahtlos in die bestehenden, isolierten User-Management-Prozesse integriert. Zudem wurde der Notfallplan erstellt und erfolgreich mit dem Management-Board simuliert, um die Reaktionsfähigkeit auf potenzielle Krisensituationen zu gewährleisten.