Executive Summary
Am Anfang des Berichts und nicht länger als eine Seite: die High-Level-Zusammenfassung für das Management.
Verifizierte Scans
Transparenz über reale Risiken und klare Prioritäten
Vulnerability Assessment (VA)
Der von ISGroup bereitgestellte Vulnerability Assessment Service hat die Aufgabe, die Sicherheit von Systemen zu analysieren und zu bewerten, um bekannte Schwachstellen zu erkennen.
Die Aktivität kann extern oder intern durchgeführt werden. Bei einem externen Vulnerability Assessment erfolgt der Scan von einem entfernten Host aus, der nur über das Internet Zugriff auf das System hat.
Im zweiten Fall wird der Scan aus dem privaten Netzwerk (Intranet) heraus durchgeführt, um eine bessere Sichtbarkeit des untersuchten Systems zu erhalten.
Diese beiden Konfigurationen ermöglichen die Simulation unterschiedlicher Angriffsszenarien: Die erste simuliert den Angriff durch einen externen Angreifer, zum Beispiel einen unfairen Wettbewerber; die zweite simuliert eine interne Bedrohung oder ein kompromittiertes Konto, zum Beispiel einen verärgerten Mitarbeiter oder einen Ransomware-Angriff.
Nach der Scan-Phase werden alle identifizierten Schwachstellen überprüft, um False Positives zu eliminieren. Für jede tatsächliche Schwachstelle wird eine detaillierte Beschreibung und vor allem eine präzise Anleitung zur Behebung bereitgestellt.
Angesichts der hohen Anzahl neuer Schwachstellen, die täglich entdeckt werden, ist es entscheidend, Vulnerability Assessments mit der richtigen Häufigkeit durchzuführen, damit Systemkonfigurationen korrekt bleiben und die passenden Sicherheits-Patches eingespielt werden.
ISGroup bietet Vulnerability-Assessment-Lösungen für jede Anforderung und Unternehmensgröße und gewährleistet dabei ein hohes Qualitätsniveau.
Beschreibung
Ein Vulnerability Assessment beginnt mit der Identifizierung der bereitgestellten Systeme und Ressourcen, etwa Dienste und Webanwendungen. Anschließend werden mithilfe von automatisierten Tools und manuellen Tests bekannte Sicherheitsprobleme auf nicht-invasive Weise identifiziert. Vulnerability Assessments ermöglichen ein schnelles Verständnis des Sicherheitsniveaus eines Netzwerks.
Die Identifizierung erfolgt durch aktive Techniken, zum Beispiel Versionsnummern, die ein Dienst in Antworten sendet, durch passive Techniken oder durch inferenzbasierte Methoden, also Eigenschaften, die ein Programm besitzt und nicht verbergen kann. Die Ergebnisse werden manuell verifiziert, um False Positives zu eliminieren und einen kompakten und detaillierten Bericht für Management und operatives Personal zu erstellen, das die Probleme beheben muss.
Der Bericht
Du erhältst ein klares und detailliertes Dokument, gegliedert in drei Bereiche.
Vulnerability Details
Der technische Abschnitt, der die gefundenen Schwachstellen und ihre Auswirkungen detailliert beschreibt, bestimmt für den Security Manager.
Remediation Plan
Ein technischer Abschnitt mit präzisen Anweisungen zur Behebung der identifizierten Probleme, bestimmt für den System Administrator.
Wann ist ein
Vulnerability Assessment sinnvoll?
External Vulnerability Assessment
Analysiert öffentliche IP-Adressen, Firewalls, VPNs, Gateways, exponierte Dienste und aus dem Internet sichtbare Konfigurationen.
Internal Vulnerability Assessment
Prüft Server, Workstations, Geräte und Dienste, die aus dem Unternehmensnetz erreichbar sind, um Schwachstellen nach einem initialen Zugriff zu erkennen.
Credentialed Assessment
Nutzt authentifizierte Scans, um Patches, installierte Software, Konfigurationen und Schwachstellen zu prüfen, die ein nicht authentifizierter Test nicht erkennen kann.
Cloud Infrastructure Assessment
Bewertet virtuelle Maschinen, Netzwerke und Dienste in AWS, Azure, Google Cloud, Private Clouds oder hybriden Umgebungen und erkennt Fehlkonfigurationen und unbeabsichtigte Expositionen.
Assessment nach Änderungen
Führt eine gezielte Prüfung nach Migrationen, neuen Standorten, Netzwerkänderungen, wichtigen Updates oder der Einführung neuer Systeme durch.
Regelmäßiges Assessment oder Pre-Audit
Liefert eine verifizierte, wiederholbare Bestandsaufnahme, um die Behebung zu planen, Audits vorzubereiten, Kundenfragebögen zu beantworten und Fortschritte zu messen.
Zeige dein Engagement
Nach dem Vulnerability Assessment erhältst du ein unterzeichnetes Dokument auf Italienisch und Englisch mit Tätigkeit, Zeitraum und Umfang. Anders als der Bericht enthält es keine Schwachstellen oder technischen Details. Du kannst es weitergeben, ohne sensible Informationen offenzulegen. Es ist im Service enthalten.
Durchführungsbescheinigung
IT / EN
- Kunde
- Tätigkeit
- Zeitraum
- Umfang
ISGroup
Vulnerability Assessment
und Compliance
NIS2
Bewertet die Wirksamkeit der Cybersicherheitsmaßnahmen, erkennt bekannte Schwachstellen und liefert technische Ergebnisse gemäß NIS2 Art. 21 Abs. 2 lit. f.
DORA
Erkennt Schwachstellen in Netzwerken, Servern und Cloud-Umgebungen und dokumentiert die Prüfungen für das Programm nach DORA Art. 24-25.
DSGVO
Erkennt Schwachstellen und riskante Konfigurationen in Systemen mit personenbezogenen Daten und liefert technische Ergebnisse zur Unterstützung von DSGVO Art. 32 Abs. 1 lit. d.
PCI DSS
Führt interne und externe Scans durch und erkennt Schwachstellen in Systemen zum Schutz von Zahlungsdaten gemäß PCI DSS, Anforderung 11.3.
ISO/IEC 27001
Erkennt technische Schwachstellen, bewertet Schweregrad und Priorität und unterstützt die Behandlung nach ISO/IEC 27001:2022, Maßnahme A.8.8.
CIS Control 7
Erkennt und verfolgt Schwachstellen in Unternehmensressourcen, priorisiert die Behebung und verkürzt das Zeitfenster für Angreifer gemäß CIS Control 7.
Häufige Fragen zum
Vulnerability Assessment
Wie lange dauert ein Vulnerability Assessment?
Die Dauer richtet sich nach Anzahl und Art der Assets, etwa Servern, Netzwerkdiensten, Anwendungen und Geräten, sowie nach der internen oder externen Durchführung. Vor Beginn definieren wir gemeinsam den Prüfumfang, um Aktivitäten, Zeitrahmen und Kosten präzise zu schätzen.
Kann ein Vulnerability Assessment Betriebsunterbrechungen verursachen?
ISGroup verwendet nicht-invasive Techniken, um Auswirkungen auf die Systeme zu minimieren. Scans mit mehreren Open-Source- und kommerziellen Werkzeugen werden von unseren Spezialisten manuell geprüft, um False Positives zu entfernen und dem IT-Team verwertbare Ergebnisse bereitzustellen.
Sind Zugangsdaten oder besondere Voraussetzungen erforderlich?
Ein externes Assessment untersucht aus dem Internet erreichbare Systeme, während ein internes aus dem privaten Netzwerk erfolgt und mehr Einblick bietet. In manchen Szenarien erhöhen Zugangsdaten oder vereinbarte Zugriffsmethoden die Prüftiefe. Wesentliche Voraussetzung ist ein präziser Umfang mit Systemen, IP-Adressen, Anwendungen und Betriebsmodalitäten.
Was unterscheidet ein Vulnerability Assessment von einem Penetration Test?
Ein Vulnerability Assessment identifiziert systematisch bekannte Schwachstellen, Fehlkonfigurationen und veraltete Systeme. Ein Network Penetration Test und ein Web Application Penetration Test simulieren reale Angriffstechniken und prüfen, wie weit sich eine Schwachstelle tatsächlich ausnutzen lässt. Kurz: Das erste fragt „Welche Schwachstellen gibt es?", die Penetration Tests „Was könnte ein Angreifer damit erreichen?".
Wie oft sollte ein Vulnerability Assessment durchgeführt werden?
Wir empfehlen ein Vulnerability Assessment mindestens einmal jährlich und nach wesentlichen Änderungen an Systemen, Anwendungen oder Konfigurationen. Kritische oder exponierte Infrastrukturen sollten häufiger oder durch einen kontinuierlichen Vulnerability Management Service geprüft werden.
Was kostet ein Vulnerability Assessment?
Das Angebot berücksichtigt die Anzahl der IP-Adressen, Systeme und Dienste, interne und externe Infrastruktur, Asset-Typen, Prüftiefe und mögliche regelmäßige Scans. Nach Festlegung des Umfangs können wir Aktivitäten, Zeitrahmen und Kosten des Assessments schnell benennen und unzureichende oder unnötige Arbeiten vermeiden.
Wie werden die Ergebnisse des Assessments behandelt?
Der Bericht beschreibt mögliche Schwachstellen der Infrastruktur und wird als vertrauliche Dokumentation behandelt. ISGroup arbeitet im Rahmen eines nach ISO/IEC 27001 zertifizierten Informationssicherheits-Managementsystems, das auch Vulnerability Assessments umfasst.
Was enthält der Abschlussbericht?
Der Bericht enthält eine Executive Summary für das Management, Vulnerability Details zu bestätigten Schwachstellen und Auswirkungen sowie einen Remediation Plan mit Korrektur- oder Minderungsmaßnahmen. Die Ergebnisse werden manuell verifiziert, um False Positives zu entfernen und das IT-Team bei der Priorisierung zu unterstützen.
Wie erkenne ich, ob mein Unternehmen ein Vulnerability Assessment benötigt?
Es hilft, bekannte Schwachstellen, veraltete Software, riskante Konfigurationen oder exponierte Dienste zu erkennen, insbesondere nach Infrastrukturänderungen, neuen Systemen, Migrationen oder längeren Prüfpausen. Ist der passende Umfang noch unklar, kann ISGroup ihn anhand Ihrer Infrastruktur und Ihres Ziels gemeinsam mit Ihnen bestimmen.
Unternehmen, mit denen wir gearbeitet haben
Die Erfahrung mit ISGroup hat uns als Organisation wachsen lassen, das Bewusstsein für Cyber-Risiken und die Fähigkeiten zur Verwaltung sicherer IT-Systeme erhöht. Wir schätzten Kompetenz, Autonomie, Qualität der Berichte und einen wirklich kundenorientierten Ansatz.
Eine genaue Analyse ermöglichte es uns, einige interne Schwachstellen schnell zu identifizieren und zu korrigieren. Der klare und konkrete Bericht half uns, Prozesse zu optimieren und die Gesamtsicherheit der Plattform zu stärken.
Dank der Unterstützung von ISGroup SRL haben wir ein Integriertes Managementsystem konsolidiert, das internationalen Standards entspricht. Technische Fähigkeiten und gezielte Schulungen haben Entwicklungsprozesse, Produktsicherheit und Audit-Management verbessert.
Gestalten Sie aus Ihren Sicherheitsprioritäten eine passgenaue Offerte