Checkliste für Cybersicherheit | Checkliste für IT-Sicherheitsinspektion

Was eine Cybersicherheitsinspektion ist

Eine Cybersicherheitsinspektion ist eine strukturierte Überprüfung der Kontrollen, die die Systeme, Einrichtungen und Informationen Ihrer Organisation schützen. Anstatt auf einen Vorfall zu warten, gehen Sie jeden Kontrollbereich durch und halten fest, ob er vorhanden, fehlend oder für Sie nicht zutreffend ist. Das Ergebnis ist ein dokumentiertes Bild davon, wo Sie exponiert sind und was Aufmerksamkeit erfordert. Diese Checkliste deckt acht Bereiche ab: die Inspektion selbst, Personal, physische Sicherheit, Konto- und Passwortverwaltung, Schutz vertraulicher Daten, Disaster Recovery, Sicherheitsbewusstsein und Compliance. Sie enthält 64 Fragen, die jeweils mit Ja, Nein oder N/A beantwortet werden. Der Sinn besteht darin, den Status Ihrer Sicherheitskontrollen zu bewerten und zu dokumentieren, damit Sie auf die Lücken reagieren können, anstatt anzunehmen, dass keine vorhanden sind.

Warum es wichtig ist

Erfolgreiche Bedrohungen kompromittieren nicht nur Daten: Sie unterbrechen den Betrieb. Ein gestohlener Laptop, ein ehemaliger Auftragnehmer, der noch einen Zugangsausweis hat, eine Festplatte, die mit intaktem Inhalt weiterverkauft wird, oder ein Notfallplan, den niemand getestet hat, können jeweils die Arbeit zum Erliegen bringen, auf die Ihre Organisation angewiesen ist. Die Checkliste ist auf Prävention und Schutz ausgerichtet. Der physische Zugang zu Computerbereichen, die Art und Weise, wie Mitarbeiter sich authentifizieren, wie sensible Daten klassifiziert und verschlüsselt werden und ob Backups tatsächlich wiederhergestellt werden können, gehören alle zum selben Bild. Bleiben sie ungeprüft, ist jedes davon ein Single Point of Failure.

Was eine gute Inspektion abdeckt

**Physische Sicherheit und Personal.** Bestätigen Sie, dass Mitarbeiterausweise aktuell sind, ein Foto zeigen und die Zugriffsebene und Art des Inhabers angeben, dass die Berechtigungsnachweise externer Auftragnehmer überprüft werden und dass Hintergrundüberprüfungen durch die Richtlinie abgedeckt sind. Der Zugang zu Computerbereichen sollte über einen einzigen Punkt kontrolliert werden, eine Empfangstheke, An- und Abmeldung oder temporäre Besucherausweise, wobei Besucher begleitet werden. Richtlinien sollten abdecken, wie der Zugang zu Einrichtungen und Informationssystemen unterbrochen wird, wenn ein Mitarbeiter oder Auftragnehmer ausscheidet, und wie unbefugter physischer Zugang verhindert wird. Geräte sollten abseits öffentlicher Bereiche positioniert, geschützt, gegen das Zurücklassen im angemeldeten Zustand gesichert und nach 10 Minuten Inaktivität automatisch gesperrt werden. Laptops benötigen ihren eigenen Schutz, etwa Kabelschlösser oder sichere Aufbewahrung, und bei Modems sollte Auto Answer ausgeschaltet sein. **Konten und Passwörter.** Richtlinien und Standards sollten elektronische Authentifizierung, Autorisierung und Zugriffskontrolle für Personal, Systeme, Anwendungen und Daten abdecken. Nur autorisiertes Personal sollte Zugang zu Ihren Computern haben. Passwortmethoden sollten verlangt und durchgesetzt werden, und die Passwörter selbst sollten schwer zu erraten, regelmäßig geändert und niemals temporär oder Standard sein. Mitarbeiter sollten Passwörter eingeben können, ohne dass andere sie sehen. **Vertrauliche Daten.** Klassifizieren Sie Ihre Daten so, dass sensible und nicht sensible Informationen unterscheidbar sind, und nehmen Sie Ihre Verantwortlichkeiten für die sensiblen Daten wahr, die Sie halten. Die wertvollsten oder sensibelsten Daten sollten verschlüsselt sein. Richtlinien sollten die Aufbewahrung sowohl in Papierform als auch in elektronischer Form, den Umgang mit Kreditkarteninformationen und den Umgang mit privaten personenbezogenen Informationen abdecken. **Disaster Recovery.** Sie benötigen einen Business-Continuity-Plan, einen Prozess zur Erstellung wiederherstellbarer Backups und Kopien kritischer Dateien und einen Kommunikationsplan für Notfälle und Vorfälle. Der Kommunikationsplan sollte festlegen, wen man benachrichtigt, deren Kontaktdaten nach Vorfalltyp geordnet, wer die Kontakte herstellt, wer zur Presse oder Öffentlichkeit spricht und wie Mitarbeiter und ihre Familien informiert gehalten werden. Notfallverfahren sollten von den verantwortlichen Personen bei Bedarf umsetzbar sein, und Ihr Evakuierungsplan sollte aktuell sein, die Bereiche und Einrichtungen benennen, die sofort versiegelt werden müssen, und sicherstellen, dass Schlüsselpersonen wissen, wie sie sie versiegeln. **Sicherheitsbewusstsein.** Mitarbeiter sollten regelmäßig und wiederkehrend Informationen und Schulungen zur Computersicherheit erhalten. Ihnen sollte beigebracht werden, auf potenzielle Sicherheitsverletzungen zu achten, starke Passwörter zu verwenden und klassifizierte Daten zu identifizieren und zu schützen, egal ob sie in Papierdokumenten, Wechselmedien oder elektronischen Dateien vorliegen. Das Bewusstsein sollte sich auf den ordnungsgemäßen Umgang mit Kreditkartendaten und privaten personenbezogenen Informationen wie Namen, Adressen, Telefonnummern und Sozialversicherungsnummern erstrecken. **Compliance.** Überprüfen Sie Ihre Sicherheitsdokumente regelmäßig und auditieren Sie Ihre Prozesse und Verfahren gegen die von Ihnen festgelegten Richtlinien und Standards. Testen Sie Ihre Notfallpläne regelmäßig, und lassen Sie die Geschäftsleitung regelmäßig überprüfen, wer physischen Zugang zu sensiblen Einrichtungen und elektronischen Zugang zu Informationssystemen hat.

Wie die Inspektion durchgeführt wird

Arbeiten Sie die Checkliste Abschnitt für Abschnitt durch, beantworten Sie jede Frage mit Ja, Nein oder N/A, und verwenden Sie die Inspektionsdetails am Anfang, um festzuhalten, wann sie durchgeführt wurde, wer sie vorbereitet hat und wo. Antworten Sie ehrlich; eine ordentliche Reihe von 'Ja'-Antworten, die weder das Gebäude, den Ausweisdrucker noch die Backup-Protokolle widerspiegelt, ist schlimmer als gar keine Aufzeichnung. Behandeln Sie jedes 'Nein' und jedes 'N/A' als eine zu treffende Entscheidung statt als ein zu überspringendes Kästchen. Schreiben Sie bei 'Nein' auf, was die Lücke schließen würde, sei es eine Richtlinie, ein Verfahren, eine Konfigurationsänderung oder eine physische Maßnahme, und geben Sie ihm einen Verantwortlichen. Notieren Sie bei 'N/A', warum es nicht zutrifft. Wo eine Kontrolle von Menschen abhängt, testen Sie sie, statt sie anzunehmen. Prüfen Sie, dass Bildschirme sperren, dass Auto Answer aus ist, dass Backups wiederherstellen und dass die im Kommunikationsplan genannten Personen wissen, dass sie genannt sind. Sobald die Inspektion abgeschlossen ist, setzen Sie ein Datum fest, um sie zu wiederholen und zu überprüfen, ob die von Ihnen festgehaltenen Lücken tatsächlich geschlossen wurden.

Häufig gestellte Fragen

Löschen Sie außer Betrieb genommene Laufwerke vor der Entsorgung, und verwenden Sie anerkannte Zerstörungsmethoden wie das Schreddern von CDs und DVDs, das elektronische Löschen von Laufwerken oder das Verbrennen von Bändern, damit Hardware und elektronische Medien unbrauchbar und unzugänglich gemacht werden. Altpapier sollte geschreddert statt in den Müll geworfen werden, und Schredderbehälter sollten verschlossen sein.

Ja. Die Checkliste verlangt Schulungen regelmäßig und wiederkehrend und erwartet, dass Mitarbeitern beigebracht wird, auf potenzielle Sicherheitsverletzungen zu achten, starke Passwörter zu verwenden, klassifizierte Daten in Papierdokumenten, Wechselmedien und elektronischen Dokumenten zu schützen und Kreditkartendaten und private personenbezogene Informationen korrekt zu behandeln.

Sie können sie nicht als Nachweis einer bestimmten Zertifizierung verwenden, aber Sie können sie nutzen, um den Status Ihrer Sicherheitskontrollen zu bewerten und zu dokumentieren, Ihre Prozesse und Verfahren gegen Ihre eigenen festgelegten Richtlinien und Standards zu auditieren und Ihre Sicherheitsdokumente regelmäßig zu überprüfen. Sie deckt acht Bereiche ab: Inspektionsdetails, Personal, physische Sicherheit, Konto- und Passwortverwaltung, Schutz vertraulicher Daten, Disaster Recovery, Sicherheitsbewusstsein und Compliance.

Die Checkliste verwendet eine Skala mit Ja, Nein und N/A. Wo eine Kontrolle nicht auf Ihre Umgebung zutrifft, erfassen Sie N/A und notieren Sie, warum. Alles, was mit Nein markiert ist, wird zu einer Feststellung, die behandelt werden muss, zusammen mit der Richtlinie, dem Verfahren oder der Konfigurationsänderung, die sie abschließen würde.

Sie umspannt die Sicherheitskontrollen, die den Betrieb stören könnten, vom physischen Schutz von Computerbereichen über Authentifizierung und Zugriffskontrolle, sinnvolle Datenklassifizierung und Verschlüsselung, Backups, Notfallkommunikation bis hin zur regelmäßigen Überprüfung, ob die Kontrollen noch funktionieren. Verwenden Sie sie als Arbeitsprotokoll der Inspektion und greifen Sie dann darauf zurück, wenn sich Systeme und Personal ändern.

Nein. Sie hilft Ihnen, den Status Ihrer Sicherheitskontrollen zu bewerten und zu dokumentieren und zu testen, ob Ihre Notfallpläne noch standhalten, aber sie ist kein Ersatz für rechtliche oder regulatorische Beratung und zertifiziert Ihre Organisation nicht.

Verfasst von

Marion Heinz

Editor

Content writer with a background in Information Management, translating complex industrial and digital transformation topics into clear, actionable insights. Keen on international collaboration and multilingual exchange.

LinkedIn-Profil ansehen