Security Engineering
Risiko Assessment, Security Konzepte, Security for Safety, Anlaufkonzepte
Security Engineering ist für uns der Weg, wie Sie von einem Security-Problem zur Lösung (also zum Security-Konzept) kommen.
Der erste Schritt ist immer derselbe: Gemeinsam mit Ihnen verstehen und modellieren wir Ihre Systeme, und was Sie damit tun. So entsteht ein gemeinsames Bild Ihrer wichtigsten Funktionen. Dieses Modell wird für viele unserer Kunden so wichtig, dass sie es jahrelang immer wieder herausholen und aktualisieren, auch lange nach Projektabschluss.
Für Ihre Funktionen überlegen wir in einer Risikoanalyse, was schief gehen kann. Unsere Risikoanalysemethodik ist flexibel und an alle regulatorischen Anforderungen anpassbar – ob bei Ihnen oder extern. Wir können die Risikoanalyse vorbereiten oder mit Ihnen gemeinsame machen, aber lieber haben wir Sie, die Systemexperten, dabei. Angenehmer Nebeneffekt: Workshops zur Risikoidentifikation sind wunderbares Awareness-Training!
Wie das Ergebnis aussieht, hängt ganz von Ihrem individuellen Problem ab. Vielleicht brauchen Sie ein umfassendes Security-Konzept für Ihr Netzwerk, wollen Security in das Lastenheft einer neuen Anlage integrieren, ein bestehendes Konzept reviewen lassen, Anforderungen an Ihre Lieferanten gemäß einem Standard festlegen oder wollen nur eine Risikoanalyse für Ihre Safety-Systeme durchführen – wir kriegen das hin.
Lesen Sie mehr über unsere Security-Engineering-Lösungen im Info-Center.
Security Management
ISMS, Vorfallmanagement, Risiko Management, Business Continuity Management, Datenschutz
Ein Security-Managementsystem (Informationssicherheitsmanagementsystem, ISMS) ist mehr als ein Stapel Papier. Wir beginnen klein und legen mit Ihnen Ziele fest: Muss Ihr Managementsystem ein Audit oder einen Nachweis bestehen (siehe Regularien)? In einer Gap-Analyse besprechen wir mit Ihnen, was Sie schon haben – denn oft ist das mehr, als Sie denken. Ein Security-Managementsystem sollte nämlich nicht als komplett neue Organisationsinsel bei Ihnen aufgebaut werden, sondern sich in Ihre heutige Arbeitsweise integrieren.
Unser Ziel ist, dass Ihr Managementsystem so früh wie möglich beginnt zu leben – und dann als etwas bereits Lebendiges weiter wächst. Das funktioniert schon nach wenigen Wochen mit unserer Unterstützung – und je sicherer Sie werden, desto mehr ziehen wir uns zurück, wenn Sie das wollen.
Das gleiche gilt für die Betriebswirksamkeit Ihres Security-Managements: Ein Security Management, das sich nicht in Ihre Aufbau- und Ablauforganisation integriert, hat den Namen nicht verdient. Zusammen mit Ihnen flechten wir Ihr Security Management nahtlos in Ihre Hierarchien und Abläufe; informell wie formell. Nur so schaffen Sie es, ein lebendes Security Management zu etablieren und keinen Papiertiger.
Security-Management, das nicht technisch wirksam ist, gibt es für uns nicht. Darum ist Security Management bei uns auch eng mit dem Security Engineering verzahnt. Sie werden Prozesse und Werkzeuge kennen lernen, die Ihnen helfen, wirklich sicherer zu werden, und nicht nur auf dem Papier: Risikomanagement, Vorfallsmanagement, Business Continuity Management, Änderungsmanagement, Schulungen.
Und wenn Sie mögen, integrieren wir auch den Datenschutz im Rahmen eines Datenschutzmanagementsystems oder wie es im Standard der ISO/IEC 27701:2020 heißt: Privacy Information Management System (PIMS) in Ihr ISMS.
Lesen Sie mehr über unsere Security-Management-Lösungen im Info-Center.
Security Test
Penetrationstest, Systeme, Netzwerk, Web-Applikationen, OT, MITRE ATT&CK®
Wirken Ihre Security-Maßnahmen? Ein Security Test kann Klarheit bringen. Während eines Tests erstellen wir modellbasiert Security-Charakteristiken Ihrer Zielsysteme, die sowohl wirkende Maßnahmen als auch Sicherheitslücken beinhalten. Dabei gehen wir systematisch vor, basierend auf OpenSource-Standards und –Methoden wie OSSTMM und OWASP.
Dabei schauen wir auf Ihr Netzwerk als Ganzes, einzelne Systeme oder sogar einzelne Applikationen, auch Web-Applikationen. Wenn Sie mögen, beziehen wir auch Ihre OT in die Security-Tests mit ein – aber behutsam. Wir wissen, wie wichtig Ihre Automatisierungssysteme für Sie sind und wie wir mit ihnen umgehen müssen, um die Verfügbarkeit nicht zu gefährden. Wenn Sie nicht sicher sind, was ein sinnvoller Scope für Ihren Security-Test ist, finden wir das mit Ihnen gemeinsam auf Basis von Netzwerkmodellierungen und Angriffsmodellierungen (z.B. auf Basis von MITRE ATT&CK®) heraus.
Damit Sie mit Ihren Testergebnissen auch etwas anfangen können, bereiten wir Sie so auf, wie es Ihnen hilft. Zu jedem Testergebnis gehört eine Einordnung, was es für Ihren Kontext bedeuten könnte. Neben Sofortmaßnahmen, die Sicherheitslücken kurzfristig abstellen, machen wir immer auch Empfehlungen für Verbesserungen, um ähnliche Lücken langfristig zu vermeiden. Und wenn es Ihnen hilft, transformieren wir Ihre Testergebnisse direkt so, dass Sie sie in Ihrem Informationssicherheitsmanagement verwenden können.
Lesen Sie mehr über unsere Security-Test-Lösungen im Info-Center.
Incident Response
Vorfall, Playbook, First Response, Incident Response Team, PSIRT
Was tun, wenn ein Security-Vorfall passiert? Damit im Falle eines Falles keine Zeit verlorengeht und keine Fehler passieren, hilft es möglichst viel schon „vorzudenken“.
Wir haben ein Team, das dies bereits getan hat – unser Incident Response Team (IRT) steht Ihnen bei, hilft Ihnen Hands-On bei der Vorfallsbewältigung, behält einen kühlen Kopf und die Fäden in der Hand und kümmert sich nebenbei Meldungen und Formalitäten, die bei Vorfällen zu beachten sind. Unser IRT sieht seine Arbeit erst als erledigt an, wenn Sie wieder normal arbeiten können und wissen, was zu tun ist, damit ein Security-Vorfall in dieser Form nicht wieder passiert.
Unser Wissen als First Responder geben wir auch gern an Sie weiter. Mit Ihnen gemeinsam und basierend auf unseren Erfahrungen erledigen wir „Vordenken“ speziell für Ihre Organisation und machen Ihre Mitarbeiter IRT-fit. Gemeinsam mit Ihnen entwickeln wir Konzepte für Security-Vorfälle, Notfälle und Business Continuity, schreiben Wiederanlaufpläne und Playbooks und üben in TableTop-Übungen mit Ihnen, all diese Konzepte im Falle eines Falles auch anzuwenden. Wenn Sie Hersteller von Automatisierungslösungen sind, bauen wir mit Ihnen eine abgewandelte Form des IRT, ein Product Security Incident Response Team (PSIRT) auf: Was tun, wenn in Ihren Produkten Schwachstellen gefunden werden? Was brauchen Ihre Kunden nun von Ihnen?
Lesen Sie mehr über unsere Incident-Response-Lösungen im Info-Center.
Security Engineering Tool (SET)
Security Engineering, Model-based Engineering, Visualization, Database
Security-Engineering und Risikoanalysen enden bei Ihnen in ellenlangen Excel-Tabellen und Visio-Zeichnungen, die niemand pflegt? Sie müssen jedes Mal wieder von vorn nachdenken, wie Ihre komplizierte Risikoanalysetabelle noch mal funktioniert? Ihre Security-Dokumente veralten schon in dem Moment, in dem Sie sie erstellen?
Wir kennen das. Unser Security-Engineering-Tool ist entstanden, weil unsere Berater und Kunden es sich gleichermaßen gewünscht haben - und sie sind es auch, die jedes Detail im Alltag mit viel Liebe feintunen, denn SET entwickelt sich laufend weiter.
Die Basis des Tools ist die modellbasierte Herangehensweise unseres Security-Engineerings: Sie beginnen mit "ihrem Netzwerk auf einem Blatt". Mit SET ist es ganz einfach, verschiedene Sichten auf diese Informationen zu erzeugen, zu analysieren - und sie jederzeit in ein gewohntes MS-Office-Format zu bringen, sollte das notwendig sein.
Wenn Sie mit dem Modellieren fertig sind, nimmt SET Sie an die Hand und Sie erklimmen angeleitet unseren "Leuchtturm": Auf Basis Ihres Netzmodells identifizierten und modellieren Sie Ihre kritischsten Funktionen (damit Sie das Rad nicht neu erfinden müssen, helfen Bibliotheken). Dann ermitteln Sie anhand von klaren Fragen und Standards als Inspirationshilfe Ihre wichtigsten Risiken, und im nächsten Schritt Anforderungen, die gegen die Risiken helfen - wenn Sie mögen, basierend auf Ihrem Lieblingsstandard.
Auch beim Planen und Tracken der Umsetzung hilft Ihnen SET mit seiner klaren Struktur; und vor allem dann, wenn Sie all das mal einem Prüfer oder Auditor erklären müssen - oder auch Ihrem Chef.
Security Engineering und Risikoanalyse, das sagen unserer Kunden, wirken plötzlich viel einfacher, wenn SET im Spiel ist. Dabei machen Sie noch genau dasselbe wie mit Excel und Visio. SET nimmt Ihnen nur die Fleißarbeit ab und sorgt dafür, dass Ihre security-relevanten Informationen alle an einem Ort sind und Sie jederzeit alle wichtigen Sichten auf diese Daten erzeugen können.
Security-Engineering braucht Menschen, die ihre Systeme kennen. Diese Menschen sind die Zielgruppe von SET. Sie müssen nur denken - SET macht den ganzen lästigen Rest.
Features:
- Modellierung Ihrer Systeme aus Security-Perspektive
- Intuitive Durchführung von modellbasierten Risikoanalysen
- Erzeugung von verschiedenen, übersichtlichen Diagrammtypen wie Netzpläne und Datenflussdiagramme mit einem Klick
- Abbildung aller gängigen Security-Standards
- Methodenneutral: Flexible Parametrierung ermöglicht Nutzung jeder Risikoanalysemethode
- Klare Trennung von Anforderungen und Umsetzung
- Zuweisung von Aufgaben und Tracken des Fortschritts
- Audit-Sicht für fundierte Antworten bei Audits und Nachweisen
- Export aller Modelle, Daten und Reports in editierbaren MS-Office-Formaten
- Anbindung an existierende Asset- oder Konfigurationsdatenbanken möglich
- Webbasiert - keine Softwareinstallation notwendig
- Software as a service oder On-premise bei Ihnen? Sie entscheiden, wo Ihre Daten liegen
Um SET auf ihrem Endgerät zu betreiben, benötigen Sie eine aktive Lizenz und einen aktuellen Internetbrowser.
Unterstützte Internetbrowser: Chrome, Firefox, Opera & Edge.
Lesen Sie mehr über SET im Info-Center.
Conformity Assessment
Produktzertifizierungen, BSZ, 62443, Readiness, Common Criteria
Schon im Namen unserer Tochtergesellschaft adfidetia steckt, woraus es uns bei der Zertifizierung Ihrer Produktsicherheit ankommt. „Fides“ ist lateinisch für Vertrauen – und eine Produktzertifizierung schafft dann Wert, wenn sie das Vertrauen Ihrer Kunden in Ihr Produkt erhöht.
Damit ein Zertifikat tatsächlich Vertrauen schafft, muss dahinter eine reproduzierbare und technisch fundierte Prüfung der zertifizierten Eigenschaften stecken. Genau das leistet adfidetia als akkreditiertes Prüflabor des TÜV NORD.
Vor jeder Zertifizierung prüfen wir mit Ihnen, wo auf dem Weg zur Zertifizierungsreife Sie sich befinden, ob es Ihnen erst einmal nur um die „Readiness“ für eine Zertifizierung geht oder ob Sie bis zum Zertifikat gehen wollen, und falls ja, welcher Standard und welches Zertifizierungsschema für Sie in Frage kommen. Wir helfen Ihnen auf Ihrem Weg durch den Dschungel aus Common Criteria, Beschleunigter Sicherheitszertifizierung (BSZ), ISA/IEC 62443 und gesetzlichen Anforderungen.
Und wenn das alles noch Zukunftsmusik für Sie ist, verbessern wir mit Ihnen erst einmal die Security in ihrem Produktentwicklungsprozess – Security Engineering kann die admeritia nämlich ganz gut.
Ihr Ansprechpartner
Andreas Eichmann
Senior Account Manager
Tel.: +49 2173 20363-0
Email: info-at-admeritia.de
