Warum stellt die Seitwärtsbewegung ein so gravierendes Problem für MSPs dar?
Laterale Angriffe sind für Managed Service Provider (MSPs) besonders gravierend, da ein kompromittiertes System schnell zu einer Einfallstor für zahlreiche Kundensysteme werden kann. Wenn Angreifer Zugangsdaten wiederverwenden oder schlecht isolierte Netzwerke durchqueren können, gelangen sie unbemerkt zu den wichtigsten Systemen und Diensten, die Sie verwalten. Dieses Muster führt dazu, dass aus einem kompromittierten Zugangsdaten oder Endpunkt ein Sicherheitsvorfall mit mehreren Kunden entsteht. Ihre Fernverwaltungstools, privilegierten Administratorpfade und Integrationen verbinden oft Dutzende oder Hunderte von Kundensystemen. Daher kann jede Schwachstelle in der Gestaltung und Steuerung des Zugriffs die Auswirkungen eines Sicherheitsvorfalls drastisch vergrößern. ISO 27001 bietet Ihnen eine strukturierte Methode, dieses Risiko zu behandeln und Kontrollmechanismen zu entwickeln, die Angreifer daran hindern, sich unbemerkt Zugang zu verschaffen.
Der einfachste Weg für einen Eindringling ist der, den niemand zu kontrollieren oder gar zu bemerken versucht.
Für Managed Service Provider (MSPs) ist die laterale Ausbreitung das Muster, das aus einem kompromittierten Zugangspunkt oder Endpunkt einen Vorfall mit mehreren Kunden auslöst. Ihre Fernverwaltungstools, privilegierten Administratorpfade und Integrationen verbinden oft Dutzende oder Hunderte von Kundenumgebungen. Daher kann jede Schwachstelle in der Gestaltung und Verwaltung des Zugriffs die Auswirkungen eines Sicherheitsvorfalls drastisch vergrößern. ISO 27001 bietet Ihnen eine strukturierte Methode, um dies als benanntes Risiko zu behandeln und Kontrollmechanismen zu entwickeln, die Angreifer daran hindern, Sicherheitslücken zu schließen.
Diese Informationen sind allgemeiner Natur und ersetzen keine Rechts-, Regulierungs- oder Zertifizierungsberatung durch qualifizierte Fachleute.
Warum Angreifer MSPs für die seitliche Bewegung lieben
Angreifer schätzen Managed Service Provider (MSPs), weil deren Plattformen und Mitarbeiter über mächtige und vertrauenswürdige Zugriffsrechte in vielen verschiedenen Kundenumgebungen verfügen. Ein einziger Zugang zu Ihren Tools oder Entwicklerkonten ermöglicht ihnen einen unbemerkten Zugriff auf mehrere Mandanten, ohne jeden Kunden direkt angreifen zu müssen. Dadurch werden Sie zu einem idealen Ziel für „Inselhüpfen“, da Angreifer Ihre Zugriffsrechte nutzen können, um in verschiedene nachgelagerte Systeme einzudringen.
Sie und Ihre Werkzeuge sind oft:
- Von vielen Kunden geschätzt
- Durch Firewalls und VPNs hindurch erlaubt
- Ausführen von Agenten oder Verwaltungskonten auf Servern, Endpunkten und Cloud-Diensten
Ein häufiges Muster ist, dass Angreifer einen Ihrer Techniker per Phishing täuschen oder eine Schwachstelle in Ihrem Fernwartungs- oder Ticketsystem ausnutzen. Sie erlangen zunächst Zugriff auf Ihre interne Umgebung oder eine Konsole, die mit mehreren Kunden verbunden ist. Von dort aus versuchen sie, Zugangsdaten wiederzuverwenden, sich über Fernzugriffstools zu verbreiten oder in Kundennetzwerke und Cloud-Systeme einzudringen. Wenn Ihr Zugriffskontrollmodell flach und Ihre Überwachung unzureichend ist, können sie lange Zeit unbemerkt agieren und aus einer einzelnen Schwachstelle eine Krise für mehrere Kunden ausweiten.
Was die Seitwärtsbewegung konkret für Ihr Unternehmen bedeutet
Laterale Ausbreitung kann einen einzelnen Sicherheitsvorfall in eine Krise mit mehreren Kunden und Verträgen verwandeln, die Vertrauen, Umsatz und Beziehungen zu Aufsichtsbehörden schädigen kann. Da Sie sich im Zentrum vieler Kundenumgebungen befinden, ist Ihr Wirkungsbereich naturgemäß größer als bei den meisten anderen Organisationen.
Aus geschäftlicher und Compliance-Perspektive hat die laterale Bewegung drei schwerwiegende Konsequenzen:
- Konzentrierte Auswirkungen: – Ein einziger Kompromiss kann Dutzende von Verträgen, Service-Level-Agreements und Datenschutzverpflichtungen gleichzeitig betreffen.
- Schwierige Zuordnung: – Kunden haben möglicherweise Schwierigkeiten zu erkennen, ob der Fehler in ihren Kontrollmechanismen, in Ihren Kontrollmechanismen oder in der Art und Weise der Verbindung zwischen beiden liegt.
- Regulatorische Risiken: – Wenn Sie regulierte Sektoren unterstützen, könnten die Regulierungsbehörden hinterfragen, wie Sie den Zugang zu ihren Systemen gestaltet und geregelt haben.
Für Managed Service Provider (MSPs) in der Compliance-Phase, die ihre erste ISO 27001-Zertifizierung anstreben, ist dies oft das Risiko, das Stakeholder schließlich davon überzeugt, in strukturierte Zugriffskontrolle statt in Ad-hoc-Lösungen zu investieren. Für MSPs in der Strengthen-Phase, die bereits ein ISMS betreiben, ist die explizite Behandlung von lateralen Angriffen in der Regel der entscheidende Schritt, um von der erfolgreichen Durchführung von Audits zur Eindämmung schwerwiegender Vorfälle zu gelangen.
ISO 27001 hilft Ihnen, strukturiert auf diese Realität zu reagieren. Sie definieren laterale Bewegungen als Risiko in Ihrer Risikobewertung, wählen relevante Kontrollen gemäß Anhang A für Identität, Berechtigungen, Trennung und Überwachung aus und dokumentieren Ihre Maßnahmen in Ihrer Anwendbarkeitserklärung. So wandelt sich die Annahme, sicher zu sein, in ein vereinbartes, auditierbares System zur Einschränkung der Bewegungsfreiheit von Angreifern.
Wenn Sie die laterale Bewegung explizit in Ihr Informationssicherheitsmanagementsystem (ISMS) einbeziehen, schaffen Sie eine Grundlage, um Vorständen, Prüfern und Kunden nicht nur zu erklären, wie Sie versuchen, Sicherheitsverletzungen zu verhindern, sondern auch, wie Sie diese eindämmen, wenn die Prävention fehlschlägt.
KontaktWie läuft die laterale Bewegung typischerweise in MSP- und Multi-Tenant-Umgebungen ab?
Die laterale Ausbreitung von Sicherheitslücken in MSP-Umgebungen folgt üblicherweise einem bekannten Ablauf: Erstzugriff, Ausweitung der Berechtigungen, Ausbreitung über Systeme und Mandanten hinweg und schließlich die Auswirkungen. Kennt man diese Abfolge, lassen sich ISO-27001-konforme Zugriffskontrollen entwickeln, die sie an mehreren Stellen unterbrechen.
Ein typischer Angriff beginnt mit einer einzelnen Schwachstelle, beispielsweise einem durch Phishing kompromittierten Administrator, einem ungepatchten, öffentlich zugänglichen Dienst oder einem schlecht gesicherten Fernzugriffstool. Anschließend suchen Angreifer nach gemeinsam genutzten Anmeldeinformationen, zu weit gefassten Benutzerrollen, flachen Netzwerkstrukturen und unüberwachten Verwaltungspfaden, um sich von einem System zum anderen und schließlich von Ihrer eigenen Umgebung in die Systeme Ihrer Kunden auszubreiten.
Eine typische MSP-Seitwärtsbewegungs-Tötungskette
Eine typische Angriffskette im Rahmen einer lateralen Bewegung in Managed Service Providern (MSP) zeigt, wie eine Schwachstelle zu einer Kompromittierung mehrerer Mandanten führen kann, wenn Zugriffskontrolle und Überwachung unzureichend sind. Durch die Analyse jeder einzelnen Phase wird deutlich, wo Identitätsprüfung, Segmentierung und Protokollierung den Fortschritt für Angreifer erschweren und sichtbarer machen sollten.
Eine vereinfachte Version sieht oft so aus:
- Erster Halt Der Angreifer verschafft sich Zugang, indem er die Zugangsdaten eines Ingenieurs stiehlt, einen ungeschützten Dienst ausnutzt oder eine Drittanbieterintegration missbraucht.
- Aufdeckung und Rechteausweitung – Sie kartieren Ihre Identitätsinfrastruktur und -tools und suchen nach zwischengespeicherten Geheimnissen, schwachen Rollen oder falsch konfigurierten Konsolen, die es ihnen ermöglichen, ihre Berechtigungen zu erweitern.
- Ost-West-Bewegung und Mieterwechsel – Mit höheren Berechtigungen oder der Kontrolle über ein Management-Tool bewegen sie sich in internen Systemen und dringen über Ihre vertrauenswürdigen Zugriffspfade in Kundenumgebungen ein.
- Auswirkungen und Persistenz – Sie setzen Schadsoftware ein, exfiltrieren Daten und erstellen Hintertüren, während sie versuchen, Ihre Überwachung zu deaktivieren oder zu umgehen.
Jeder Schritt wird durch die Gestaltung von Identitäts-, Berechtigungs- und Netzwerkkontrollen ermöglicht oder verhindert. ISO 27001 bietet einen Rahmen für die Definition, Implementierung und Überprüfung dieser Kontrollen, sodass jeder Schritt schwieriger, riskanter und transparenter wird.
Ein Angriff auf ein Multi-Tenant-System beginnt oft mit alltäglichen Tools und Prozessen, nicht mit exotischen Exploits, die nur in den Schlagzeilen auftauchen. Wenn Ihre Techniker von wenigen Konsolen und Konten aus auf zahlreiche Kundenumgebungen zugreifen können, kann ein Angreifer, der diese Wege kompromittiert, schnell weitreichende Auswirkungen erzielen.
Stellen Sie sich einen Managed Service Provider (MSP) vor, der Dutzende kleiner Unternehmen über eine gemeinsame Fernüberwachungsplattform, einen zentralen Identitätsanbieter mit mandantenübergreifenden Administratorrollen und VPN- oder Remote-Desktop-Zugriff auf die Kundennetzwerke betreut. Das Administratorkonto eines einzelnen Technikers wird kompromittiert. Es gibt keine separate Administrator-Workstation, die Multi-Faktor-Authentifizierung ist inkonsistent, und Servicekonten werden von vielen Kunden genutzt. Die Netzwerksegmentierung ist minimal; Management- und Kundennetzwerke sind nur lose getrennt.
In diesem Szenario kann der Angreifer die Verwaltungszugriffe des Administrators nutzen, um Tools in mehrere Kundenumgebungen einzuschleusen und anschließend mithilfe gespeicherter Anmeldeinformationen in Kunden-Active-Directory-Domänen oder Cloud-Mandanten einzudringen. Die Überwachung ist eingeschränkt, sodass ungewöhnlicher Ost-West-Datenverkehr und privilegierte Anmeldungen nicht schnell genug erkannt werden, um den Schaden einzudämmen.
Wenn Ihr ISMS das Risiko lateraler Angriffe nicht explizit behandelt, fehlen Ihnen möglicherweise definierte Zugriffsgrenzen zwischen internen und Kundensystemen, dokumentierte Regeln für mandantenübergreifenden Zugriff und Notfallzugriffsberechtigungen sowie eine zentrale Protokollierung, die Ereignisse über verschiedene Tools und Mandanten hinweg korreliert. Ein nach ISO 27001 konformer Managed Service Provider (MSP) sollte hingegen nachweisen können, dass Identitäts- und Zugriffskontrollen den Handlungsspielraum jedes Technikers einschränken, privilegierte Aktionen protokolliert und überprüft werden und die Netzwerk- und Plattformarchitektur die Verwendung eines einzigen Kontos als universellen Generalschlüssel verhindert.
Wenn Sie diese Art von Szenario-Mapping in konkrete, überprüfbare Kontrollen umsetzen möchten, kann Ihnen eine ISMS-Plattform wie ISMS.online dabei helfen, Risiken, Richtlinien, Rollen und Nachweise an einem Ort zu verknüpfen, anstatt sie über Dokumente und Tools zu verstreuen.
ISO 27001 leicht gemacht
Ein Vorsprung von 81 % vom ersten Tag an
Wir haben die harte Arbeit für Sie erledigt und Ihnen vom Moment Ihrer Anmeldung an einen Vorsprung von 81 % verschafft. Sie müssen nur noch die Lücken ausfüllen.
Welche Sicherheitslücken bei der Zugriffskontrolle machen MSPs besonders anfällig für laterale Ausbreitung?
Die Sicherheitslücken bei der Zugriffskontrolle, die Managed Service Provider (MSPs) anfällig für laterale Angriffe machen, sind meist bekannte Schwachstellen, die nie vollständig behoben wurden. Da Ihr Unternehmen auf gemeinsam genutzten Tools, großer Reichweite und leistungsstarker Automatisierung basiert, kann jede Inkonsistenz im Umgang mit Identitäten, Berechtigungen, Netzwerken und Überwachung Angreifern nach dem Eindringen weitreichende Sicherheitslücken eröffnen.
Diese Lücken bleiben oft bestehen, weil sie im laufenden Betrieb schwer zu erkennen sind. ISO 27001 hilft Ihnen, diese Lücken zu benennen und zu identifizieren, und anschließend die in Anhang A vorgesehenen Kontrollen auszuwählen, die diese risikobasiert schließen, anstatt sich auf einmalige Korrekturen zu verlassen.
Identitäts- und Privilegienlücken, die Türen öffnen
Schwächen im Identitäts- und Zugriffsmanagement ermöglichen in MSP-Umgebungen eine laterale Ausbreitung von Sicherheitslücken, da sie die Macht unbemerkt auf wenige Konten konzentrieren. Angreifer wollen genau das, was Ihre IT-Experten schätzen: Anmeldeinformationen, die überall funktionieren.
Häufige Probleme sind:
- Gemeinsame oder generische Konten: dass Ingenieure oder Dienste diese gemeinsam nutzen, was es schwierig macht, Aktionen zuzuordnen oder das Prinzip der minimalen Berechtigungen anzuwenden.
- Überprivilegierte Rollen: wo das alltägliche Supportpersonal vorsorglich weitreichende Rechte gegenüber vielen Kunden hat.
- Inkonsistente Multi-Faktor-Authentifizierung (MFA): auf privilegierten Konten, Legacy-Systemen und Tools von Drittanbietern.
- Schwache Joiner-Mover-Leaver-Prozesse: dass bei einem Stellenwechsel oder Ausscheiden von Mitarbeitern ruhende oder übermäßige Konten zurückbleiben.
- Dienstkonten, die mandantenübergreifend wiederverwendet werden: Die Kompromittierung eines Clients oder internen Systems ermöglicht somit den Zugriff auf viele andere.
Diese Muster ermöglichen Angreifern den Zugriff auf wenige, aber mächtige Identitäten, die Ihre interne IT-Umgebung mit den Systemen mehrerer Kunden verknüpfen. Gemäß ISO 27001:2022 bieten Kontrollen wie Anhang A.5.15 (Zugriffskontrolle), A.5.16 (Identitätsmanagement), A.5.18 (Zugriffsrechte) und A.8.2 (privilegierte Zugriffsrechte) explizite Instrumente, um die Angriffsfläche für Identitätsdiebstahl zu verringern. Sie fördern eindeutige Benutzerkonten, rollenbasierte Zugriffskontrolle, strukturierte Bereitstellungs- und Genehmigungsprozesse sowie regelmäßige Zugriffsüberprüfungen.
Sobald man erkennt, wie viele Techniker mit wie wenigen Einschränkungen wie viele Mandanten erreichen können, wird deutlich, warum Angreifer immer wieder Identitätsspeicher von Managed Service Providern (MSPs) ins Visier nehmen. Die Integration dieser Erwartungen in Ihre Richtlinien und Ihr Informationssicherheitsmanagementsystem (ISMS) erleichtert es erheblich, Identitätsmuster zu erkennen und zu korrigieren, die das Risiko lateraler Bewegungen unbemerkt erhöhen – egal, ob Sie gerade Ihr erstes ISO-27001-Projekt starten oder ein etabliertes Kontrollset optimieren.
Netzwerk- und Überwachungslücken, die Angreifer unsichtbar machen
Selbst bei verstärkten Identitätskontrollen ermöglichen flache Netzwerkstrukturen und eingeschränkte Transparenz Angreifern, sich nach einem Angriff noch lange Zeit seitlich auszubreiten. Laterale Bewegungen gedeihen in Umgebungen, in denen der Datenverkehr ungehindert fließt und verdächtige Aktivitäten mit dem normalen Geschäftsbetrieb verschmelzen.
Typische Lücken sind:
- Minimale Segmentierung: zwischen internen Unternehmensnetzwerken, Managementnetzwerken und VPN-Gateways oder Remote-Zugriffspfaden der Kunden.
- Uneingeschränkte Managementebenen: , wo sich die Konsolen für Fernverwaltung, Datensicherung und Remote-Desktop in schlecht kontrollierten Bereichen befinden.
- Sparsame Protokollierung: aus Schlüsselsystemen wie Fernverwaltungsplattformen, Identitätsanbietern, VPNs und Firewalls oder Protokollen, die nicht zentralisiert und korreliert sind.
- Mangelnde Verhaltensüberwachung: bei privilegierten Sitzungen, wie z. B. ungewöhnlichen Anmeldezeiten, unerwartet ausgeführten Tools oder Massenänderungen.
Diese Schwächen erleichtern es einem Angreifer, neue Hosts und Mandanten zu scannen und zu entdecken, sich über gemeinsam genutzte Infrastruktur von der Umgebung eines Kunden in eine andere zu bewegen und seine Spuren zu verwischen, indem er Schwachstellen in Ihrer Transparenz ausnutzt.
Die technischen Kontrollen der ISO 27001:2022 bilden ein Gegengewicht. Die Anhänge A.8.20 (Netzwerksicherheit), A.8.21 (Sicherheit von Netzwerkdiensten), A.8.22 (Netzwerksegmentierung) und A.8.16 (Überwachungsaktivitäten) legen Ihnen nahe, Netzwerkzonierungen zu entwerfen und zu dokumentieren, festzulegen, welche Systeme miteinander kommunizieren dürfen, und eine Überwachung zu implementieren, die ungewöhnliche Muster erkennt. Wenn Sie laterale Bewegungen als Designproblem und nicht nur als Problem der Reaktion auf Sicherheitsvorfälle betrachten, gelangen Sie automatisch zu segmentierten Managementnetzwerken, Zero-Trust-Architekturen und einer umfassenderen Telemetrie.
Aus praktischer Sicht lassen sich klare Netzwerkzonen für interne Administrator-Arbeitsplätze, Management-Tools und Kundenzugriffspfade definieren; Firewall-Regeln und Zugriffskontrolllisten durchsetzen, die den Zugriff zwischen den Zonen einschränken; und Protokolle von Identitätsanbietern, Fernverwaltungstools, VPNs und wichtigen Servern auf einer zentralen Plattform erfassen und korrelieren. Diese Änderungen erschweren es Angreifern erheblich, unbemerkt in Ihre Umgebung einzudringen, selbst mit gültigen Zugangsdaten. Managed Service Provider (MSPs) in der Compliance- und der Stärkungsphase erhalten dadurch Nachweise für Audits und Kundenbewertungen.
Welche Kontrollmaßnahmen gemäß Anhang A der ISO 27001:2022 sind am wichtigsten für die Verhinderung seitlicher Bewegungen?
Mehrere Kontrollen gemäß ISO 27001:2022 Anhang A beeinflussen das Risiko lateraler Angriffe in MSP-Umgebungen direkt, insbesondere solche, die Identität, Berechtigungen, Netzwerksegmentierung und Überwachung betreffen. Durch die Zuordnung realer Angriffspfade zu diesen Kontrollen können Sie diejenigen priorisieren, die laterale Angriffe tatsächlich einschränken, anstatt sich auf Kontrollen zu konzentrieren, die in der Dokumentation nur einen guten Eindruck machen.
Der effektivste Ansatz besteht darin, von konkreten Szenarien der Art „Wie würde ein Angreifer vorgehen?“ auszugehen und dann jeden Schritt mit einer oder mehreren Kontrollmaßnahmen aus Anhang A zu verknüpfen, die diesen Schritt erschweren oder besser sichtbar machen.
Organisatorische und personelle Kontrollmechanismen, die das Zugriffsverhalten prägen
Organisatorische und personelle Kontrollmechanismen legen die Erwartungen fest, die Ihre technischen Mechanismen erfüllen müssen. Im Bereich der lateralen Bewegung definieren diese Kontrollmechanismen, wer für Zugriffsentscheidungen zuständig ist, wie sich Mitarbeiter verhalten sollen und welche Verhaltensweisen intern und im Kundenumfeld inakzeptabel sind.
Zu den wichtigsten Beispielen gehören:
- A.5.1 Richtlinien für Informationssicherheit: – legt Erwartungen hinsichtlich Zugangskontrolle, Trennung und Überwachung fest.
- A.5.2 Rollen und Verantwortlichkeiten im Bereich Informationssicherheit: – klärt, wer für Zugangsentscheidungen, Überprüfungen und Ausnahmen verantwortlich ist.
- A.5.7 Bedrohungsanalyse: – ermutigt Sie, reale Angreifertechniken, einschließlich der seitlichen Bewegung, in Ihre Risikobewertung und -kontrollen einzubeziehen.
- A.5.15 Zugangskontrolle: – besagt, dass der Zugang angemessen, verwaltet und überprüft werden muss.
- A.5.16 Identitätsmanagement: – definiert, wie Identitäten ausgestellt, verwaltet und widerrufen werden.
- A.5.18 Zugriffsrechte: – schreibt strukturierte Bereitstellungs-, Änderungs- und Widerrufsprozesse vor, einschließlich regelmäßiger Überprüfungen.
- A.6.3 Sensibilisierung, Aufklärung und Schulung im Bereich Informationssicherheit: – stellt sicher, dass die Mitarbeiter verstehen, wie ihre Handlungen die seitliche Bewegung ermöglichen oder verhindern können.
Für Managed Service Provider (MSPs) legen diese Kontrollmechanismen fest, dass gemeinsam genutzte Administratorkonten nicht zulässig sind, dass mandantenübergreifender Zugriff begründet und zeitlich befristet genehmigt werden muss und dass Szenarien lateraler Angriffe explizit in Schulungen für Ingenieure, Architekten und Produktteams einbezogen werden. Sie stoppen Angreifer nicht allein, definieren aber die Verhaltensweisen und Verantwortlichkeiten, die Ihre IT-Infrastruktur widerspiegeln muss, und bieten Organisationen in der Compliance-Phase einen klaren Ausgangspunkt für den Kulturwandel.
Technologische Steuerungen, die die seitliche Bewegung direkt einschränken
Technologische Kontrollmaßnahmen dienen dazu, konkrete Barrieren gegen seitliche Angriffe zu implementieren. Diese Kontrollmaßnahmen sind direkt mit der Gestaltung von Rollen, Netzwerken und Überwachung verknüpft, sodass ein Angreifer nicht von einem einzigen Zugriffspunkt zu einer Kompromittierung mehrerer Mandanten gelangen kann.
Eine kompakte Darstellung der wichtigsten Kontrollmechanismen für seitliche Bewegungen bei MSPs könnte folgendermaßen aussehen:
| Anhang A Kontrolle | Fokusbereich | Wie es dazu beiträgt, die seitliche Bewegung einzuschränken |
|---|---|---|
| A.8.2 Privilegierte Zugriffsrechte | Administratorkonten und -rollen | Beschränkt und überwacht leistungsstarke Konten, die Angreifer missbrauchen wollen. |
| A.8.3 Informationszugriffsbeschränkung | Autorisierungsgrenzen | Beschränkungen, auf welche Daten und Systeme jedes Konto zugreifen kann |
| A.8.20 Netzwerksicherheit | Verkehrsregelung und -schutz | Setzt Regeln durch, welche Systeme und Zonen miteinander kommunizieren können. |
| A.8.22 Trennung von Netzwerken | Zonierung und Isolation | Trennt Management-, interne und Kundennetzwerke, um den Explosionsradius zu begrenzen |
| A.8.16 Überwachungsaktivitäten | Protokollierung und Erkennung | Ungewöhnliche Muster erkennen, die auf eine seitliche Bewegung hindeuten |
| A.8.8 Management technischer Schwachstellen | Härten | Verringert ausnutzbare Schwachstellen, die Angreifer nutzen, um seitlichen Zugriff zu erlangen. |
In der Praxis werden diese Kontrollen mit Mustern wie einzigartigen, rollenbasierten Administratorkonten mit erzwungener MFA und Just-in-Time-Berechtigungserhöhung umgesetzt; getrennten Managementnetzwerken, die nur von gehärteten Administratorarbeitsplätzen aus zugänglich sind; Firewalls, VLANs und Zugriffskontrolllisten, die klare Grenzen zwischen internen, Management- und Kundenzonen erzwingen; und zentralisierter Protokollerfassung und Alarmierung mit Fokus auf privilegierte Aktionen und mandantenübergreifenden Zugriff.
Wenn Sie diese Kontrollen in Ihrem ISMS und Ihrer Anwendbarkeitserklärung dokumentieren, schaffen Sie eine klare Trennlinie zwischen „So bewegen sich Angreifer seitlich“ und „Dies sind die spezifischen Kontrollen, die wir anwenden, um diese Bewegung zu erschweren und sichtbar zu machen“. Diese Trennlinie ist nicht nur für Prüfer überzeugend, sondern auch für Kunden und Aufsichtsräte, die die Gewissheit benötigen, dass Ihr Zugriffsmodell die aktuellen Bedrohungen widerspiegelt.
Bei der Verfeinerung dieser Zuordnung hilft Ihnen eine dedizierte ISMS-Plattform wie ISMS.online, verstreute Tabellen und Dokumente zu vermeiden, indem Risiken, Kontrollen, technische Implementierungen und Prüfnachweise zentral verwaltet werden. Dies erleichtert es Teams in der Compliance-Phase, kohärent zu bleiben, und Teams in der Stärkungsphase, Abweichungen beim Hinzufügen weiterer Frameworks und Kontrollen zu vermeiden.
Befreien Sie sich von einem Berg an Tabellenkalkulationen
Integrieren, erweitern und skalieren Sie Ihre Compliance, ohne dass es zu Problemen kommt. IO gibt Ihnen die Widerstandsfähigkeit und das Vertrauen, um sicher zu wachsen.
Wie lässt sich eine ISO 27001-konforme Zugriffskontrollarchitektur für Multi-Tenant-MSP-Systeme entwerfen?
Die Gestaltung der Zugriffskontrolle für einen Multi-Tenant-Managed-Service-Provider (MSP) nach ISO 27001 beginnt mit der Definition von Angriffsradius und Vertrauensgrenzen und entwickelt sich dann rückwärts zu Identitäts-, Netzwerk- und Tool-Design. Ziel ist es, dass jeder potenzielle Angriffsschritt eine neue, gerechtfertigte Berechtigung erfordert und eine nachvollziehbare und untersuchbare Spur hinterlässt.
Eine ISO 27001-konforme Architektur muss nicht kompliziert sein, aber sie erfordert eine durchdachte Planung. Sie definieren, welche Zonen existieren, wer Zugriff darauf hat, welche Tools in diesen Zonen eingesetzt werden und wie Sie sich selbst, Auditoren und Kunden nachweisen, dass diese Entscheidungen umgesetzt und regelmäßig überprüft werden.
Prinzipien für die MSP-Zugriffskontrollarchitektur
Klare Gestaltungsprinzipien helfen Ihnen, die Architektur an ISO 27001 anzupassen und gleichzeitig das Risiko von seitlichen Bewegungen direkt zu reduzieren. Ausgehend von diesen Prinzipien lassen sich konkrete Kontrollmaßnahmen leichter auswählen und begründen, die sowohl für Ingenieure als auch für Auditoren verständlich sind.
Wichtige Grundsätze sind:
- Separate interne Bereiche, Managementbereiche und Kundenbereiche:
- Internes Unternehmensumfeld für E-Mail, Personalwesen und Finanzen
- Managementumgebung für Fernüberwachung, Datensicherung, Überwachungs- und Administrationsarbeitsplätze
- Kundenumgebungen für mandantenbasierte Netzwerke, Cloud-Mandanten und Anwendungen
Die Anhänge A.8.20 und A.8.22 unterstützen dies, indem sie die Verwaltung der Netzwerksicherheit und -trennung vorschreiben.
- Mieter logisch und, wo immer möglich, auch physisch voneinander trennen:
- Kundenspezifische VPNs oder Tunnel
- Mandantenspezifische Administratorgruppen und -rollen in Identitätsanbietern und Verwaltungstools
- Es werden keine gemeinsamen lokalen Administratorpasswörter oder Servicekonten für verschiedene Kunden verwendet.
- Die Designidentität zentral gestalten, aber lokal das Prinzip der minimalen Privilegien anwenden:
- Nutzen Sie einen zentralen Identitätsanbieter zur Verwaltung der Ingenieuridentitäten.
- Ordnen Sie Rollen spezifischen Kundenberechtigungen zu, nicht pauschalen Zugriffsrechten.
- Gemäß Anhang A.5.16 und A.5.18 ist eine strukturierte Bereitstellung und regelmäßige Zugriffsüberprüfung sicherzustellen.
- Behandeln Sie Managementinstrumente als risikoreiche Vermögenswerte:
- Fernverwaltung, Datensicherung und Fernkonsolen sollten in dedizierten, geschützten Netzwerken untergebracht werden.
- Der Zugriff auf diese Tools sollte auf gehärtete Administrator-Workstations beschränkt werden.
- Wenden Sie Privileged Access Management und Session Monitoring gemäß Anhang A.8.2 an.
Aus Sicht der ISO 27001 werden diese Prinzipien in Ihren Richtlinien zur Informationssicherheit und Zugriffskontrolle abgebildet, in Definitionen von Geltungsbereich und Kontext, die Kundenumgebungen und Managementplattformen explizit erwähnen, sowie in Architekturskizzen und Anlagenverzeichnissen, die interne, Management- und Kundenbereiche unterscheiden. Diese Dokumentation dient als Grundlage für die Implementierung, interne Audits und externe Audits und bietet sowohl neuen als auch etablierten Managed Service Providern (MSPs) eine einheitliche Dokumentation.
Anwendung dieser Prinzipien auf interne und Kundenumgebungen
Um vom Prinzip zur Praxis zu gelangen, benötigen Sie Muster, die Entwickler täglich anwenden können, ohne die Auslieferung zu verzögern. Diese Muster sollten sicheres Verhalten zum Standard machen und nicht zu einem Sonderfall für wichtige Kunden.
Typische Muster für MSPs, die die seitliche Bewegung einschränken wollen, sind:
- Administrator-Arbeitsplätze:
- Spezielle Admin-Endpunkte für Ingenieure mit eingeschränkten Konfigurationen.
- Zugriff auf Managementnetzwerke und Konsolen nur von diesen Geräten.
- Multi-Faktor-Authentifizierung und starker Endpunktschutz sind Standard.
- Mandantenspezifische Zugriffsmodelle:
- Separate Gruppen oder Rollen in den Tools für Fernverwaltung und Fernzugriff für jeden Kunden.
- Just-in-time-Weiterleitung zu Administratorrollen auf Kundenebene für definierte Aufgaben.
- Kein einheitliches globales Administratorkonto für alle Mandanten zur täglichen Nutzung; stattdessen Notfallkonten mit strengen Kontrollen und Überwachung.
- Dokumentierte mandantenübergreifende Zugriffsregeln:
- Richtlinien, die festlegen, wann der Einsatz mandantenübergreifender Tools, wie z. B. Skriptbereitstellung oder Patching, zulässig ist.
- Änderungs- und Genehmigungsprozesse für risikoreiche Vorgänge, die mehrere Kunden gleichzeitig betreffen könnten.
- Zentralisierte Protokollierung und Überwachung:
- Protokolle von Management-Tools, Identitätsanbietern und Netzwerkgeräten werden an eine zentrale Plattform gesendet.
- Regelmäßige Überprüfungen mit Fokus auf privilegierte Aktionen, mandantenübergreifende Aktivitäten und Anomalien.
Gemäß ISO 27001 sollte Ihre Risikobewertung explizit Szenarien wie „Kompromittierung des Administratorkontos eines Ingenieurs“ und „Kompromittierung der Fernverwaltungskonsole“ umfassen. Für jedes Szenario dokumentieren Sie, welche Kontrollen gemäß Anhang A Sie anwenden, wie diese die Architektur und die Prozesse beeinflussen und wie Sie diese durch technische Prüfungen, interne Audits und gegebenenfalls Vorfallsimulationen testen.
Wenn Sie ISMS.online bereits nutzen, können Sie Anlagen und Zonen registrieren, Risiken spezifischen Zugriffs- und Netzwerkkontrollen zuordnen und Ihre Anwendbarkeitserklärung sowie zugehörige Nachweise ohne ständigen manuellen Abgleich pflegen. Dies erleichtert es Managed Service Providern (MSPs) in der Compliance-Phase, ihre Entwicklung mit ihrer Dokumentation in Einklang zu bringen, und MSPs in der Strengthen-Phase, nachzuweisen, dass ihre technischen Designs und ISO-27001-Dokumente weiterhin übereinstimmen.
Wie arbeiten RBAC, Netzwerksegmentierung und PAM zusammen, um einen Sicherheitsvorfall einzudämmen?
Rollenbasierte Zugriffskontrolle, Netzwerksegmentierung und privilegiertes Zugriffsmanagement sind am effektivsten gegen laterale Angriffe, wenn sie als eine integrierte Strategie und nicht als drei separate Projekte betrachtet werden. Gemeinsam legen sie fest, wer was, wo und unter welchen Bedingungen tun darf, und erleichtern gleichzeitig das Erkennen und Untersuchen von ungewöhnlichem Verhalten erheblich.
Im Rahmen von ISO 27001 sind RBAC, Segmentierung und PAM praktische Methoden zur Implementierung von Kontrollen wie A.5.15, A.5.16, A.5.18, A.8.2, A.8.20 und A.8.22. Für einen Angreifer bedeutet diese Kombination, dass es keinen einzelnen Pfad gibt, der unbemerkt von einem Einstiegspunkt mit geringen Berechtigungen zu vielen Mandanten führt.
Entwicklung eines RBAC-Designs, das das Prinzip der minimalen Berechtigungen tatsächlich umsetzt.
Ein effektives rollenbasiertes Entscheidungsmanagement (RBAC) für Managed Service Provider (MSPs) beginnt mit einem klaren Rollenmodell, das sich an realen Aufgaben und nicht an Stellenbezeichnungen orientiert. Ziel ist es, einen reibungslosen Arbeitsablauf im Tagesgeschäft zu gewährleisten, während jede risikobehaftete Handlung eine bewusste Entscheidung erfordert und zur späteren Überprüfung protokolliert wird.
Zu den praktischen Schritten gehören:
- Rollen werden anhand der Aufgabe und nicht anhand des Titels definiert:
Beispiele hierfür wären „Service Desk Engineer – Tier 1“, „Infrastruktur-Ingenieur – Tier 2“, „Sicherheitsanalyst“ und „Customer Success Manager (nur Lesezugriff)“. Für jede Rolle definieren Sie, welche Kundenumgebungen, Tools und Maßnahmen tatsächlich erforderlich sind.
- Rollen in Systemberechtigungen übersetzen:
Ordnen Sie Rollen Gruppen und Zugriffsrichtlinien Ihres Identitätsanbieters zu und weisen Sie anschließend Berechtigungen in Fernverwaltungstools, Ticketsystemen, VPNs und Cloud-Konsolen basierend auf diesen Gruppen zu. Vermeiden Sie nach Möglichkeit einmalige, direkte Berechtigungen, damit Änderungen überschaubar bleiben.
- Funktionstrennung einschließen:
Stellen Sie sicher, dass keine einzelne Rolle riskante Änderungen anfordern und genehmigen kann. Trennen Sie Rollen für das Tagesgeschäft von Rollen, die Zugriffsrechte und Konfigurationen verwalten, damit ein kompromittiertes Konto nicht alle Prüfungen umgehen kann.
- Zeitlich begrenzte Erhöhung erzwingen:
Bei risikoreichen Aufgaben empfiehlt sich eine zeitgerechte Übertragung in eine höherrangige Rolle mit klar definierten Start- und Endzeiten. Protokollieren Sie die Vorgänge während dieser Sitzungen und überwachen Sie sie, soweit möglich, um sie später auszuwerten oder zu untersuchen.
Aus Sicht der ISO 27001 unterstützt diese Struktur die Anhänge A.5.16 (Identitätsmanagement), A.5.18 (Zugriffsrechte) und A.8.2 (privilegierte Zugriffsrechte) und bietet Auditoren und Kunden eine klare Darstellung, wie Sie verhindern, dass ein einzelnes Konto alle anderen kontrolliert. Für Managed Service Provider (MSPs) in der Compliance-Phase stellt selbst ein einfaches rollenbasiertes Zugriffskontrollmodell (RBAC) einen deutlichen Fortschritt gegenüber Ad-hoc-Berechtigungen dar; für MSPs in der Strengthen-Phase liegt die Optimierung von RBAC oft in der Möglichkeit, Risiken signifikant zu reduzieren, ohne neue Tools einzuführen.
Implementierung von Segmentierung und PAM zur Begrenzung des Explosionsradius
Netzwerksegmentierung und privilegiertes Zugriffsmanagement gewährleisten, dass Angreifer selbst bei einem Versagen der rollenbasierten Zugriffskontrolle (RBAC) oder der Kompromittierung eines Kontos nicht frei agieren können. Sie sind Ihre wichtigsten Werkzeuge, um einen schwerwiegenden Vorfall einzudämmen und eine umfassende Krise zu verhindern.
Zu den Schlüsselelementen gehören:
- Netzwerksegmentierung:
- Erstellen Sie separate Netzwerksegmente für interne Unternehmenssysteme, die Managementinfrastruktur und, falls zutreffend, das jeweilige On-Premises-Netzwerk jedes Kunden.
- Verwenden Sie Firewalls und Zugriffskontrolllisten, um den Datenverkehr zwischen den Segmenten streng zu kontrollieren.
- Beschränken Sie die Managementpfade so, dass nur Administrator-Workstations auf die Managementschnittstellen zugreifen können, und zwar ausschließlich über definierte Protokolle.
- Verwaltung privilegierter Zugriffe:
- Privilegierte Anmeldeinformationen für Vault, einschließlich lokaler Administratorkonten, Dienstkonten und globaler Notfalladministratorkonten.
- Nutzen Sie ausgecheckte oder vermittelte Sitzungen, anstatt Passwörter direkt an die Entwickler zu verteilen.
- Implementieren Sie einen bedarfsgerechten Zugriff für risikoreiche administrative Vorgänge, gegebenenfalls mit Genehmigungen, Zeitlimits und Sitzungsaufzeichnung.
- Überwachung integriert mit Zugriffspfaden:
- Leiten Sie Protokolle privilegierter Zugriffe und Netzwerkgeräte in Ihre Überwachungsplattform ein.
- Definieren Sie Warnmeldungen für neue privilegierte Sitzungen, privilegierte Aktionen außerhalb der erwarteten Zeiten und Zugriffe von ungewöhnlichen Standorten oder Geräten.
Für ISO 27001 bezieht sich dies alles auf die Anhänge A.8.2 und A.8.3 für privilegierte und allgemeine Zugriffsbeschränkungen, A.8.20 und A.8.22 für die Eindämmung auf Netzwerkebene sowie A.8.16 für Überwachungsaktivitäten. RBAC, Segmentierung und PAM bilden zusammen mehrere, sich gegenseitig verstärkende Barrieren, die die Reichweite und die Verweildauer eines Angreifers einschränken.
Wenn Sie RBAC, Segmentierung und PAM in ein Gesamtkonzept integrieren, steigt der Dokumentations- und Nachweisaufwand rasant an. Die zentrale Verwaltung von Rollendefinitionen, Netzwerkdiagrammen, Zugriffsrechten, Überwachungsergebnissen und internen Auditfeststellungen in ISMS.online hilft Ihnen, diese Komplexität zu beherrschen und bietet Ihnen einen umfassenden Überblick über die Funktionsweise Ihrer Maßnahmen zur Abwehr lateraler Angriffe.
Verwalten Sie Ihre gesamte Compliance an einem Ort
ISMS.online unterstützt über 100 Standards und Vorschriften und bietet Ihnen eine einzige Plattform für alle Ihre Compliance-Anforderungen.
Wie lässt sich das Risiko von Seitwärtsbewegungen in die Risikobewertung, die System of Assessment (SoA) und den kontinuierlichen Verbesserungsprozess nach ISO 27001 integrieren?
Um Ihre Strategie für die seitliche Expansion nachhaltig zu gestalten, müssen Sie sie in den Kernzyklus der ISO 27001 einbetten: Kontext, Risikobewertung, Behandlung, Anwendbarkeitserklärung, Implementierung, Überwachung, internes Audit, Managementbewertung und Verbesserung. Dadurch bleibt sie für Entscheidungsträger, Auditoren und Kunden sichtbar und verkommt nicht zu einer einmaligen technischen Übung.
Ziel ist es, Seitwärtsbewegungen als strukturiertes Risiko zu behandeln, das wiederholt den Plan-Do-Check-Act-Zyklus durchläuft, und nicht als Projekt oder eine Sammlung unzusammenhängender Aufgaben.
Berücksichtigung seitlicher Bewegungen in Ihrer Risikobewertung und Anwendbarkeitserklärung
Die Berücksichtigung lateraler Bewegungen in Ihrer Risikobewertung beginnt mit der Beschreibung realistischer Szenarien in Ihren eigenen Worten. Für Managed Service Provider (MSPs) sollten diese Szenarien explizit widerspiegeln, wie Sie mit Kunden kommunizieren und Management-Tools einsetzen, damit sich Führungskräfte in den Beispielen wiedererkennen.
Relevante Beispiele sind:
- Kompromittierung des Administratorkontos eines Ingenieurs, die zu mandantenübergreifendem Zugriff führte.
- Nutzung einer Fernverwaltungs- oder Fernzugriffsplattform, um mehrere Kunden zu gewinnen.
- Missbrauch von Shared-Service-Accounts zum Wechsel zwischen internen Systemen und Kundenumgebungen.
- Nutzung von Backup- oder Überwachungsinfrastrukturen als Zwischenschritt zur Datenexfiltration.
Für jedes Szenario werden betroffene Assets identifiziert, Bedrohungsakteure wie kriminelle Gruppen, Insider oder Angreifer in der Lieferkette berücksichtigt und deren Wahrscheinlichkeit und Auswirkungen bewertet, wobei die Anzahl der betroffenen Kunden in jedem Szenario einbezogen wird. Organisationen in der Compliance-Phase stellen häufig fest, dass sie diese Szenarien nie formal dokumentiert haben; Organisationen in der Stärkungsphase nutzen sie, um zu überprüfen, ob die bestehenden Kontrollen noch der Realität entsprechen.
Anschließend ordnen Sie diese Szenarien den Kontrollen gemäß Anhang A zu, beispielsweise A.5.15, A.5.16 und A.5.18 für Zugriffskontrolle und Identitätslebenszyklus; A.8.2 und A.8.3 für die Beschränkung privilegierter und allgemeiner Zugriffe; A.8.20, A.8.21 und A.8.22 für Netzwerkschutz und -segmentierung; A.8.16 für Überwachung; und A.8.8 für das Management technischer Schwachstellen. Ihre Anwendbarkeitserklärung sollte explizit angeben, welche dieser Kontrollen Sie ausgewählt haben, wie sie im MSP-Kontext implementiert werden und welche Gründe für die Nichtimplementierung einer Kontrolle sowie für kompensierende Maßnahmen vorliegen.
Wenn Prüfer und Kunden sehen, dass die laterale Bewegung in Ihre Risikobewertung und die Anwendbarkeitserklärung integriert ist, können sie erkennen, dass Ihr Zugriffskontrollmodell nicht eine nachträgliche Überlegung ist und dass Ihre Kontrollen an realen Angriffspfaden und nicht an generischen Checklisten ausgerichtet sind.
Überwachung der Effektivität und Förderung kontinuierlicher Verbesserungen
Die Integration lateraler Bewegung in den kontinuierlichen Verbesserungsprozess bedeutet, Indikatoren und Überprüfungsaktivitäten zu definieren, die Aufschluss darüber geben, ob Ihre Schutzmaßnahmen angesichts der Weiterentwicklung Ihrer Technologieinfrastruktur und Ihres Kundenstamms weiterhin wirksam sind. ISO 27001 erwartet, dass Sie dies durch Monitoring, interne Audits, Managementbewertungen und Korrekturmaßnahmen erreichen, anstatt sich auf einmalige Projekte zu verlassen.
Nützliche Kennzahlen könnten beispielsweise sein:
- Zugriffskontrollmetriken: – Anzahl der privilegierten Konten pro Techniker und pro Kunde, Prozentsatz der Konten mit aktivierter MFA (insbesondere für Administratorrollen) sowie Abschlussrate und Pünktlichkeit der geplanten Zugriffsüberprüfungen.
- Netzwerk- und Segmentierungsmetriken: – Anzahl der Netzwerksegmente und Durchsetzungspunkte, die für den Management-Datenverkehr relevant sind, sowie die Anzahl der dokumentierten Ausnahmen, bei denen der Management-Datenverkehr auf ungewöhnliche Weise Grenzen überschreitet.
- Überwachungs- und Vorfallsmetriken: – Zeitspanne vom Auftreten eines verdächtigen privilegierten Ereignisses bis zu dessen Erkennung, Anzahl der pro Zeitraum untersuchten Warnmeldungen im Zusammenhang mit Seitwärtsbewegungen und Lehren, die aus Vorfällen oder Beinaheunfällen gezogen wurden.
Im Hinblick auf die ISO 27001-Klauseln unterstützen Sie Klausel 9.1 (Überwachung, Messung, Analyse und Bewertung) durch die Definition und regelmäßige Überprüfung der entsprechenden Kennzahlen. Sie unterstützen Klausel 9.2 (Internes Audit) durch die Einbeziehung von Kontrollen zur Verhinderung von internen Versetzungen und den entsprechenden Nachweisen in den Auditumfang. Klausel 9.3 (Managementbewertung) wird erfüllt, indem Sie wesentliche Risiken, Vorfälle und Trends im Zusammenhang mit internen Versetzungen der Führungsebene melden. Klausel 10 (Verbesserung) wird umgesetzt, indem Sie auf Grundlage der Ergebnisse Richtlinien, Kontrollen und Architekturen optimieren.
Wenn Sie Ihre ISO 27001-Arbeit in ISMS.online durchführen, ist der gesamte Kreislauf – von Risiken und Kontrollen über Kennzahlen und Auditfeststellungen bis hin zu Korrekturmaßnahmen – in einem einzigen System abgebildet, anstatt über voneinander getrennte Dokumente verteilt zu sein. Dadurch vermeiden Sie die semantische Verschiebung, die auftreten kann, wenn Architektur, Betrieb und Dokumentation separat verwaltet werden. Zudem erhalten Managed Service Provider (MSPs) in der Compliance- und der Stärkungsphase eine wiederholbare Methode, um nachzuweisen, dass das Risiko lateraler Angriffe durch ein formales Managementsystem und nicht nur durch technische Projekte gesteuert wird.
Buchen Sie noch heute eine Demo mit ISMS.online
ISMS.online unterstützt Sie dabei, die Theorie der Zugriffskontrolle nach ISO 27001 in praktische, auditierbare Schutzmaßnahmen gegen laterale Angriffe in Ihrer MSP-Umgebung umzusetzen. Anstatt mit Tabellenkalkulationen, Dokumenten und Ad-hoc-Prozessen zu jonglieren, erhalten Sie ein zentrales System, in dem Risiken, Kontrollen, Rollen, Architekturen und Nachweise so miteinander verknüpft sind, dass Sie sie Auditoren, Vorständen und Kunden präsentieren können.
Wie ISMS.online Managed Service Provider (MSPs) in der Comply-Phase unterstützt
Wenn Sie sich zum ersten Mal mit der ISO 27001 auseinandersetzen, kann das Thema Seitwärtsbewegung zunächst sehr komplex erscheinen. ISMS.online bietet Ihnen einen klaren, geführten Weg, um den Anwendungsbereich zu definieren, Szenarien von Seitwärtsbewegungen in Ihre Risikobewertung einzubeziehen und diese mit praktischen Maßnahmen zu verknüpfen – ganz ohne Normenexpertise.
Sie können Richtlinien, Verfahren und Rollendefinitionen erstellen, die die tatsächliche Arbeitsweise Ihrer Teams widerspiegeln, und Ihre Entscheidungen zur Zugriffskontrolle und Netzwerksegmentierung strukturiert und auditerfreundlich darstellen. Dies erleichtert die Zertifizierung und zeigt Ihren Kunden, dass Sie das Risiko von „einem Konto, vielen Mandanten“ ernst nehmen und es im Rahmen eines formalen ISMS anstatt durch Schnelllösungen bewältigen.
Wie ISMS.online Managed Service Provider (MSPs) in der Stärkungsphase unterstützt
Wenn Sie bereits ein ISO 27001-konformes Informationssicherheitsmanagementsystem (ISMS) betreiben und Ihre Resilienz stärken möchten, wird ISMS.online zum Betriebssystem für Ihre Verbesserungsmaßnahmen. Sie können die Kontrollen gemäß Anhang A konkreten rollenbasierten Zugriffskontrollen (RBAC), Segmentierung und privilegierten Zugriffsrechten zuordnen, Nachweise aus verschiedenen Rahmenwerken wie ISO 27701, SOC 2 oder NIS 2 wiederverwenden und Kennzahlen sowie Maßnahmen zur lateralen Ausbreitung neben anderen schwerwiegenden Risiken verfolgen.
Für Sicherheitsverantwortliche, Datenschutzbeauftragte und IT-Experten bedeutet das: Interne Audits, Managementbewertungen und Berichte an den Vorstand lassen sich ohne ständige Nachbearbeitung koordinieren. Ihre Kunden erwarten zunehmend, dass Sie nicht nur Ihre Zertifizierung nachweisen, sondern auch, dass Ihre Zugriffskontrolle sie tatsächlich vor Kollateralschäden bei einem Lieferkettenangriff schützt. ISO 27001 bietet Ihnen den Rahmen; ISMS.online unterstützt Sie bei der täglichen Umsetzung.
Entscheiden Sie sich für ISMS.online, wenn Sie Kunden, Auditoren und Aufsichtsbehörden zeigen möchten, dass das Risiko lateraler Bewegungen durch ein lebendiges ISO 27001 ISMS gemanagt wird, nicht nur durch punktuelle Tools oder informelle Praktiken, und wenn Sie möchten, dass sowohl die Teams in der Compliance- als auch in der Strengthen-Phase mit dem gleichen, integrierten Bild der Zugangskontrolle für jeden Mieter, den Sie betreuen, arbeiten.
Kontakt
