Die meisten Unternehmen beauftragen ein IT-Audit in einer von zwei Lagen: Jemand von außen verlangt ein Dokument, oder eine Entscheidung über mehrere hunderttausend steht an und niemand kann sagen, was im Betrieb eigentlich läuft. Ein Audit repariert für sich genommen nichts, aber ohne eines repariert man das Sichtbarste und nicht das, was am meisten schmerzt.
Vorweg: Unsere kostenlose Vorprüfung ist nicht dasselbe wie ein Audit und reicht meistens aus. Unten steht, worin sie sich unterscheiden und wann sich der Aufpreis wirklich lohnt, denn das ist die erste Frage, die wir bekommen. Die Behebung des Gefundenen liegt auf eigenen Seiten: Sicherheit, Sicherungen, Netzwerk und laufende IT-Betreuung. Fehlt eine Branche unter den hier beschriebenen, beginnen wir mit den vier unterscheidenden Fragen und erst danach mit der Technik.
Diese Frage stellt fast jeder, der hier landet, denn die kostenlose Prüfung bieten wir im ganzen Auftritt an. Der Unterschied liegt nicht in der Qualität, sondern in der Tiefe und darin, ob ein Dokument entsteht, das man jemandem vorlegen kann.
Dreißig Minuten darüber, was Sie haben und was bei der Arbeit stört, dazu ein Blick auf das von außen Sichtbare. Binnen eines Werktags erhalten Sie eine Seite: Risiken nach Dringlichkeit, jedes mit der Folge und einer Preisspanne für die Behebung. Ohne Geheimhaltungsvereinbarung, ohne Verpflichtung, und sie bleibt bei Ihnen, auch wenn wir nicht weitermachen.
Wir gehen in die Systeme, sehen Konfigurationen durch, erheben Daten von Geräten und sprechen mit den Menschen, die damit arbeiten. Ergebnis ist ein unterschriebener Bericht, auf den man sich im Vertrag, im Sicherheitsfragebogen oder vor der Geschäftsführung berufen kann. Er ist kostenpflichtig und vorab kalkuliert, denn er dauert einige Tage bis einige Wochen.
Beauftragen Sie nach dem Audit binnen sechzig Tagen ein Sanierungsprojekt bei uns, rechnen wir den Preis auf dessen Wert an. Das Audit soll kein gesondert zu rechtfertigender Posten sein und sich zugleich einzeln kaufen und mit wem auch immer umsetzen lassen.
Für die meisten Unternehmen bis zwanzig oder dreißig Arbeitsplätze genügt die kostenlose Prüfung, und das sagen wir offen, statt jedem ein Audit zu verkaufen, der danach fragt. Ein vollständiges Audit lohnt sich, wenn ein Dokument für jemanden von außen gebraucht wird oder die Umgebung so groß ist, dass Gespräch und Augenschein für eine verantwortbare Aussage nicht reichen. Bei einer solchen Durchsicht interessieren uns vor allem vier Fragen: welches Programm unersetzlich ist, wann es nicht angerührt werden darf, welche Vorschriften Sie treffen und welche Daten das Haus nicht verlassen dürfen.
Vier Gründe, mit denen Unternehmen kommen. Eines haben sie gemeinsam: eine Entscheidung oder eine Frist, bei der man wissen und nicht vermuten muss.
Ein Wechsel des IT-Dienstleisters ohne Aufnahme des Zustands am ersten Tag endet damit, dass ein halbes Jahr später jede Störung zum Streit darüber wird, ob wir es kaputt vorgefunden haben. Ein Audit am Start schützt beide Seiten, und nebenbei kommen Passwörter zum Vorschein, die niemand hat, sowie Dienste, die noch über die Karte eines ehemaligen Mitarbeiters laufen.
Ein größerer Auftraggeber schickt einen Fragebogen, ein Versicherer fragt vor der Police nach Maßnahmen, und die neuen Cybersicherheitsvorschriften verlangen den Nachweis, dass jemand die Sache im Griff hat. In jedem dieser Fälle braucht es ein datiertes Dokument und nicht die Zusicherung, dass alles läuft.
Vor dem Austausch von Servern, dem Gang in die Cloud oder der Einführung eines neuen Systems lohnt sich das Wissen, wo der Engpass wirklich liegt. Am häufigsten sehen wir eine Firma, die einen stärkeren Server kaufen will, während das Problem eine Platte im Speicher oder eine schlecht geschriebene Datenbankabfrage ist.
Ein Administrator oder ein befreundeter Dienstleister hatte das Ganze im Kopf und geht nicht mehr ans Telefon. Dann ist das Audit schlicht die Rekonstruktion dieses Wissens: was wo steht, woran es hängt, wer Zugang hat und wofür die Firma monatlich zahlt.
Es gibt auch den Fall, in dem wir von einem Audit abraten: wenn längst klar ist, was kaputt ist, und das Geld entweder für die Diagnose oder für die Reparatur reicht. Dann reparieren Sie. Wir beenden Gespräche durchaus mit dem Satz, dass ein Audit bei Ihnen eine Ausgabe zur falschen Zeit wäre, und halten das für einen normalen Teil dieser Leistung. Ein eigener Anlass ist der Sicherheitsfragebogen eines Kunden, damit kommen am häufigsten Software-Häuser zu uns, die an Konzerne verkaufen.
Das schlechtestmögliche Ergebnis eines Audits ist ein dickes Dokument, das niemand liest und aus dem nichts folgt. Deshalb hat der Bericht drei Teile, und jeder beantwortet eine andere Frage.
Das Gefundene, geordnet danach, was am schnellsten wehtun kann, und nicht nach technischen Bereichen. Zu jedem Punkt eine kurze Beschreibung der Folge und eine Preisspanne für die Behebung, damit daraus ein Budget wird und nicht nur eine Mängelliste.
Was wo steht, wie es verbunden ist, wer welche Zugänge hat, welche Verträge und Abonnements laufen und wann der Herstellersupport endet. Diesen Teil schätzen Firmen oft höher als die Empfehlungen, denn er existiert meist nirgends außer in jemandes Gedächtnis.
Die Behebungen zeitlich verteilt, getrennt nach dem, was jetzt geschehen muss, und dem, was ruhig bis zum nächsten Geräteaustausch warten kann. Ohne das wird aus dem Audit eine Wunschliste, für die es nie ein gleichzeitiges Budget gibt.
Ehrlich zum Interessenkonflikt: Das Audit macht eine Firma, die anschließend die Umsetzung verkaufen möchte, und das ist ein reales Risiko, an das man bei jedem Anbieter denken sollte. Wir gehen so damit um, dass der Bericht das Problem und die möglichen Wege beschreibt und nicht ein bestimmtes Angebot, und dass er vollständig bei Ihnen bleibt, sodass Sie ihn von wem auch immer kalkulieren lassen können. Läuft etwas gut, schreiben wir, dass es gut läuft. Eine Liste, auf der alles rot ist, sagt meist mehr über den Verkäufer als über die Firma.
Sechs Bereiche, die wir jedes Mal durchgehen. Unter jeder Beschreibung steht ein Verweis auf die Seite zur Behebung dieses Bereichs, denn ein Audit endet dort, wo die Arbeit beginnt.
Alter und Auslastung der Maschinen, Zustand der Platten, Systemversionen und die Daten des Supportendes. Hier finden wir am häufigsten Geräte, die seit zwei Jahren ohne Garantie laufen und die alle vergessen hatten.
Durchsatz, Qualität der Verkabelung, Funkabdeckung und das, was nach außen offen ist. Klagen über langsames Internet entpuppen sich erstaunlich oft als Problem mit einem Switch oder einem Kabel.
Konten, Berechtigungen, zweiter Anmeldefaktor, Zustand des Endpunktschutzes und Zugänge externer Firmen. Fast immer finden wir aktive Konten von Personen, die die Firma längst verlassen haben.
Nicht, ob ein Backup eingeschaltet ist, sondern ob je jemand daraus zurückgekehrt ist und nach wie vielen Stunden. Hat es niemand versucht, notieren wir das als erste Feststellung des Berichts.
Was die Firma tatsächlich besitzt gegenüber dem, was sie nutzt, und wofür sie ohne Grund zahlt. Das ist der einzige Bereich, in dem sich ein Audit rechnen kann, bevor überhaupt etwas repariert wurde.
Alle laufenden Zahlungen an einem Ort: Leitungen, Hosting, Abonnements, Service und Geräte in Raten, samt den Kündigungsfristen, an die sich sonst niemand erinnert.
Was wir nicht tun: Penetrationstests mit Bericht für einen externen Prüfer und kein rechtliches Datenschutz-Audit. Ersteres beauftragen wir bei einem spezialisierten Team, wenn es nötig wird, Letzteres gehört zur Kanzlei. Die technische Seite dessen, wonach das nationale Cybersicherheitsgesetz und ein üblicher Fragebogen fragen, prüfen wir dagegen sehr wohl.
Vier Etappen. Wir arbeiten aus der Ferne, wo es geht, und vor Ort, wo jemand in den Schrank schauen muss.
Ein Gespräch darüber, wozu Sie das Audit brauchen und wem es dienen soll, denn ein Audit für den Versicherer sieht anders aus als eines vor dem Umbau des Serverraums. Daraus ergeben sich Umfang und Preis, beides vorab, bevor irgendetwas beginnt.
Zugänge, Konfigurationen, Auslesungen von Geräten und ein Besuch im Serverraum sowie an den Netzwerkpunkten. Wir arbeiten so, dass niemand aufgehalten wird, und halten Gespräche mit dem Team bei etwa fünfzehn Minuten je Person.
Vor dem Schreiben des Berichts gehen wir mit den Feststellungen zur verantwortlichen Person zurück, um zu prüfen, ob wir etwas falsch gelesen haben. Für einige Punkte gibt es meist eine Erklärung, die in der Konfiguration nicht sichtbar ist.
Wir übergeben das Dokument und gehen es Punkt für Punkt mit Ihnen durch, meist in einer Stunde. Uns ist lieber, die Entscheidungen trifft jemand, der versteht, was auf der Liste steht, als dass der Bericht nach dem ersten Absatz in einer Schublade landet.
Seiten, auf die man nach einem Audit am häufigsten weitergeht.
Das hängt von der Größe der Umgebung ab und davon, wem der Bericht dienen soll, deshalb nennen wir den Preis nach Festlegung des Umfangs vorab und nicht als Spanne auf einer Webseite. Der Bezugspunkt ist: Die Vorprüfung ist kostenlos, und den Preis eines vollständigen Audits rechnen wir auf ein binnen sechzig Tagen bei uns beauftragtes Sanierungsprojekt an.
Von einigen Tagen in einer kleinen Umgebung bis zu einigen Wochen in einer großen. Die Arbeit hält es nicht auf, denn das meiste läuft über das Auslesen von Konfigurationen und Fernzugriff, abgesehen vom Besuch im Serverraum und an den Netzwerkpunkten. Vom Team brauchen wir meist etwa fünfzehn Minuten je Person, und das ist der gesamte Aufwand auf Ihrer Seite.
Nicht zu allem, aber ohne Zugang zur Konfiguration wird aus dem Audit ein Interview, und dann kann es ebenso gut eine kostenlose Prüfung bleiben. Wo es genügt, arbeiten wir mit Konten mit Leserechten, wir unterzeichnen eine Vertraulichkeitsvereinbarung, halten fest, was wir erhalten haben, und nach Abschluss werden die Zugänge entzogen.
Das ist nicht das Ziel, und wir sagen es zu Beginn, denn davon hängt ab, ob überhaupt jemand offen mit uns spricht. Das meiste, was wir finden, entsteht aus fehlender Zeit und fehlendem Budget und nicht aus jemandes Unvermögen. Der Bericht beschreibt den Zustand der Umgebung, er bewertet keine Personen, und die besten Audits erleben Firmen, in denen der interne Administrator uns als Rückhalt für Argumente sieht, die er seit zwei Jahren vorbringt.
Nein. Der Bericht bleibt vollständig bei Ihnen, mit der Beschreibung der Probleme und der möglichen Wege, er lässt sich also von jedem Anbieter kalkulieren oder mit eigenen Kräften umsetzen. Die Anrechnung des Auditpreises auf ein Sanierungsprojekt ist ein Anreiz und keine Bedingung, und ein Teil der Kunden beauftragt bei uns ausschließlich das Audit.
Wir übernehmen den technischen Teil: wer Zugang zu den Daten hat, wie sie geschützt sind, ob sie wiederherstellbar sind und ob nachvollziehbar ist, wer was getan hat. Die rechtliche Bewertung, also Rechtsgrundlagen, Verzeichnis der Verarbeitungstätigkeiten und Auftragsverarbeitungsverträge, gehört zur Kanzlei oder zum Datenschutzbeauftragten, und wir tun nicht so, als wäre das unser Feld.
In dieser Größe reicht meist die kostenlose Prüfung, und dazu raten wir in der Regel auch. Ein vollständiges Audit lohnt sich, sobald ein eigener Serverraum, mehrere Standorte, Schichtbetrieb oder eine Auflage eines Auftraggebers dazukommen. Ergibt das Gespräch, dass ein Audit bei Ihnen überzogen wäre, sagen wir das, statt den Auftrag anzunehmen.
Auch das ist ein Ergebnis, und es kommt häufiger vor, als die Branche nahelegt. Der Bericht hält dann fest, dass die Umgebung in Ordnung ist, nennt die Daten des Supportendes für Geräte und Systeme und sagt, was im kommenden Jahr zu beobachten ist. Für eine Firma, die einem Auftraggeber oder Versicherer etwas vorlegen muss, ist ein solches Dokument genauso viel wert.
Das erste Treffen dauert 30 Minuten und verpflichtet zu nichts. Wir sagen Ihnen klar, ob wir helfen können und was wir vorschlagen würden.
2019 - 2024 Interactive Workspace Sp. z o.o. - Wszystkie prawa zastrzeżone.