IT-Sicherheit finden lassen: geprüft und verhandelt

Unter IT-Sicherheit verstehen Anbieter sehr Verschiedenes: einen einmaligen Sicherheitscheck, einen Penetrationstest einer Webanwendung, Firewall und Endgeräteschutz, ein Backup-Konzept, Schulungen gegen Phishing oder die laufende Überwachung der Systeme. Angebote unterscheiden sich darin, wie tief geprüft wird, ob nur automatisiert gescannt oder auch von Hand getestet wird, ob ein verständlicher Bericht mit Maßnahmenliste folgt und ob die Behebung der gefundenen Lücken enthalten ist. Für Laien ist oft nicht erkennbar, ob ein günstig wirkender Check nur ein automatischer Scan ist. Bei Überwachungsverträgen kommen Reaktionszeiten, Erreichbarkeit nachts und am Wochenende und die Vertragslaufzeit hinzu.

Für die einheitliche Anfrage brauchen wir einen Überblick, keine Zugangsdaten: Zahl der Arbeitsplätze und Standorte, eingesetzte Systeme und Cloud-Dienste und den Anlass, etwa ein Vorfall, eine Anforderung eines Kunden oder eine anstehende Zertifizierung. Hilfreich ist außerdem, ob es bereits ein Backup-Konzept, eine Firewall oder einen IT-Dienstleister gibt und welche Anforderungen Kunden oder Auftraggeber an Sie stellen. Gerade bei Sicherheitsthemen ist es sinnvoll, dass Anbieter nicht wissen, um welches Unternehmen es geht. Ihr Name und Ihre Adresse gehen deshalb erst nach Ihrer Zustimmung an einen Anbieter.

Sie beauftragen den Sicherheitsdienstleister direkt; wir stehen außerhalb des Vertrags. Mit den Anbietern in der engeren Wahl verhandeln wir über Prüfumfang, Berichtsform, Termine, Reaktionszeiten und bei laufenden Leistungen über Laufzeit und Kündigung. Der beauftragte Anbieter zahlt uns 0,9 % des Auftragswerts, bei Dauerverträgen bezogen auf die ersten zwölf Monate. Jeder Anbieter zahlt denselben Satz und darf ihn nicht an Sie weiterreichen.

Foto: Towfiqu barbhuiya auf Unsplash