Strategische Sicherheitsberatung
Sicherheit von Anfang an in Ihre Entwicklungsprojekte integrieren
Wir haben Ihnen nichts zu verkaufen außer unserer Meinung
Sicherheitsratschläge sind nur dann von Wert, wenn die Person, die sie erteilt, kein persönliches Interesse an der Antwort hat.
CREDS ist eigenfinanziert und befindet sich vollständig im Besitz der hier tätigen Mitarbeiter. Wir haben keine Muttergesellschaft, die uns Ziele vorgibt, keinen Zeitplan von Investoren, der unsere Empfehlungen bestimmt, und keine Beziehungen zu Anbietern, die wir wahren müssen. Wir verkaufen keine Produkte weiter, nehmen keine Vermittlungsprovisionen entgegen und müssen keine Lizenzquoten erfüllen.
Das bedeutet: Wenn wir Ihnen sagen, dass ein Werkzeug, das Sie bereits besitzen, ausreicht, oder dass die richtige Lösung darin besteht, einen Prozess zu optimieren, anstatt etwas zu kaufen, steckt hinter diesem Ratschlag nichts weiter als der Ratschlag selbst.
Das bedeutet auch, dass wir Ihnen mitteilen werden, wenn wir nicht die richtige Anlaufstelle sind. Sollte ein Problem die Hinzuziehung einer Governance-Beratung, eines Sensibilisierungsprogramms oder eines Managed Service erfordern, werden wir dies offen ansprechen und Ihnen einen kompetenten Ansprechpartner empfehlen.
Strategische Beratung mit der Denkweise eines Hackers
Die meisten Sicherheitsempfehlungen stammen von Personen, die über Angriffe gelesen haben. Unsere stammen von Personen, die diese Angriffe durchführen.
Das verändert das Ergebnis. Wenn wir eine Architektur überprüfen, vergleichen wir sie nicht mit einem Framework, sondern erarbeiten, wo wir ansetzen würden, wenn wir den Auftrag erhielten, sie zu knacken. Wenn wir uns eine Roadmap ansehen, fragen wir uns, welche dieser zwölf Initiativen die letzten drei von uns durchgeführten Projekte tatsächlich verhindert hätte. Wenn wir eine Kontrollmaßnahme bewerten, wissen wir, wie sie von der anderen Seite aus aussieht, da wir den Großteil unserer Zeit auf dieser Seite verbringen.
Unsere Berater bilden keine eigenständige Beratungsabteilung. Es handelt sich um die Fachleute, die unsere red team- und Penetrationstest-Projekte leiten. Das bedeutet, dass unsere Empfehlungen auf den aktuellen Bedrohungen für Unternehmen wie das Ihre basieren und nicht auf den Leitlinien des vergangenen Jahres.
Jedes Projekt wird von einer Person geleitet, die über mehr als ein Jahrzehnt Erfahrung verfügt.
Die Fragen, die uns gestellt werden
Die Beratungstätigkeit deckt ein breites Spektrum ab. Dies sind die Fragen, die am häufigsten gestellt werden. Sollte Ihre Frage hier nicht aufgeführt sein, lohnt es sich dennoch, sie zu stellen.
Wo fangen wir an?
Sie wissen, dass das Sicherheitsprogramm verbesserungsbedürftig ist, wissen aber nicht, wo Sie anfangen sollen. Wir helfen Ihnen dabei, die „Quick Wins“ zu identifizieren – also die Maßnahmen, die ohne großen Aufwand innerhalb von Wochen statt Quartalen das tatsächliche Risiko senken – und diese von den Aufgaben zu unterscheiden, die wirklich ein eigenes Projekt erfordern.
Wie sollte unser Fahrplan aussehen?
Ein mehrjähriger Sicherheitsfahrplan, der sich an Ihrem tatsächlichen Risikoprofil und Ihrer Bedrohungslage orientiert und nicht an einem generischen Reifegradmodell. Was in diesem Quartal und in diesem Jahr zu tun ist – und was ehrlich gesagt warten kann.
Geben wir unser Geld an den richtigen Stellen aus?
Sicherheitsbudgets summieren sich. Wir prüfen, wofür Sie Geld ausgeben, was Sie damit erwerben und wo dasselbe Geld an anderer Stelle zu einer stärkeren Risikominderung beitragen könnte. Manchmal lautet die Antwort, dass Sie bereits über das richtige Werkzeug verfügen, es jedoch nicht ordnungsgemäß einsetzen.
Wir schaffen etwas Neues. Wie können wir es richtig machen?
Eine Überprüfung der Architektur und des Designs, bevor mit der Umsetzung begonnen wird, einschließlich einer Bedrohungsmodellierung aus der Perspektive eines Angreifers. Die Behebung eines Designfehlers am Whiteboard erfordert lediglich ein Gespräch. Die Behebung nach der Einführung kostet hingegen einen Release-Zyklus.
Wie sicher ist das Unternehmen, das wir übernehmen wollen?
Sicherheits-Due-Diligence-Prüfung bei Übernahmen und Investitionen: Was Sie erwerben, was Sie übernehmen und welche Kosten für die Anpassung an die geltenden Standards anfallen. Abgestimmt auf den Zeitplan Ihrer Transaktion.
Ist unsere derzeitige Konfiguration tatsächlich solide?
Eine unabhängige Begutachtung Ihrer bereits vorhandenen Systeme, Architektur und Steuerungsmechanismen durch Fachleute, die Ihnen offen mitteilen, wann die Antwort „Ja“ lautet.
Die Plattform überwacht den Betrieb kontinuierlich. Wir greifen ein, wenn es darauf ankommt.
Eine Kaufempfehlung bedeutet in der Regel, Verfügbarkeit zu erwerben: ein Rahmenvertrag, eine feste Anzahl von Tagen pro Monat, ein Teilzeit-CISO im Rahmen eines Dauervertrags. Sie zahlen für Kontinuität, da es keine andere Möglichkeit gibt, diese zu gewährleisten.
Wir gehen das anders an. Wenn Sie unsere Plattform ART einsetzen, wird die Kontinuität durch die Plattform selbst gewährleistet. Sie führt kontinuierlich Tests durch, verfolgt, was sich ändert, und macht sichtbar, was sich verschoben hat – ohne dass dafür jemand an einer Besprechung teilnehmen muss.
Dadurch haben unsere Berater mehr Zeit für das, wofür sie wirklich wertvoll sind: ihr Urteilsvermögen. Was bedeutet diese Erkenntnis für Ihr Unternehmen? Welches dieser drei Probleme ist angesichts dessen, was wir über Ihre Branche wissen, am wichtigsten? Lohnt sich hierfür ein Projekt oder eine Konfigurationsänderung? Sollten Sie sich darüber Sorgen machen, oder handelt es sich lediglich um Störsignale?
Die Plattform übernimmt die Beobachtung. Wir kommen ins Spiel, wenn es etwas gibt, worüber es sich nachzudenken lohnt.
Dies bedeutet auch, dass die Empfehlungen überprüft werden können. Wir können eine Änderung vorschlagen, und die Plattform kann anschließend bestätigen, ob die Steuerung tatsächlich funktioniert, anstatt dass Sie davon ausgehen müssen, dass dies der Fall ist.
Beratungsaufträge sind eigenständig und können auch in Verbindung mit einem ART-Abonnement in Anspruch genommen werden. Sie benötigen die Plattform nicht, um uns eine Frage zu stellen.
Auf die Frage zugeschnitten
Manche Fragen lassen sich an einem Tag klären. Manche dauern vier Wochen. Nur sehr wenige dauern ein Jahr, und solche würden wir Ihnen lieber nicht verkaufen.
Der Umfang eines CREDS-Beratungsauftrags richtet sich nach der Frage, die Sie konkret haben. Das kann ein einzelner Tag sein, an dem gemeinsam mit Ihren Architekten eine Entwurfsentscheidung erarbeitet wird, oder eine Woche, in der geprüft wird, wie Ihr Sicherheitsbudget im nächsten Jahr eingesetzt werden soll, oder vier Wochen Due-Diligence-Prüfung im Rahmen einer Übernahme unter Berücksichtigung einer Transaktionsfrist.
Es handelt sich dabei nicht um einen laufenden Rahmenvertrag, den Sie intern jedes Quartal rechtfertigen müssen. Sie stellen uns eine Frage, wir teilen Ihnen in groben Zügen mit, was erforderlich ist, um diese ordnungsgemäß zu beantworten, und sobald die Frage beantwortet ist, ist sie beantwortet.
Wenn sich daraus eine dauerhafte, gute Beziehung entwickelt – und das ist bei den meisten der Fall –, dann sollte dies daran liegen, dass Sie weiterhin Fragen haben, die es wert sind, gestellt zu werden, und nicht daran, dass Sie etwas unterschrieben haben.
Ein Tag
Eine Designentscheidung, eine zweite Meinung zu einer Architektur, ein Workshop mit Ihrem Team oder eine Überprüfung der Plausibilität eines Plans.
Ein oder zwei Wochen
Ein Fahrplan, eine Überprüfung der Sicherheitsinvestitionen oder eine Einschätzung, wo man ansetzen sollte.
Bis zu vier Wochen
Eine Due-Diligence-Prüfung vor Ablauf einer Transaktionsfrist, eine umfassende Überprüfung der Architektur oder ein von Grund auf neu entwickeltes Programm.
So läuft ein Auftrag ab
- 01
Sie stellen uns die Frage
Ein kurzes, kostenloses Gespräch, um herauszufinden, worüber Sie eigentlich entscheiden möchten. Oftmals ist die Frage, mit der die Menschen zu uns kommen, nicht ganz die Frage, die beantwortet werden muss, und es lohnt sich, dies zu klären, bevor ein Angebot erstellt wird.
- 02
Wir legen den Umfang ehrlich fest
Wir teilen Ihnen mit, was dafür erforderlich ist: wie viele Tage, wer von unserer Seite und was wir von Ihrer Seite benötigen. Sollten wir der Ansicht sein, dass die Frage in kürzerer Zeit beantwortet werden kann, als Sie erwartet haben, teilen wir Ihnen dies mit.
- 03
Wir übernehmen die Arbeit
Gespräche, die Überprüfung von Unterlagen und der Architektur, gegebenenfalls technische Untersuchungen sowie direkte Gespräche mit den Personen, die wissen, wie die Abläufe tatsächlich funktionieren – und nicht nur, wie sie dokumentiert sind.
- 04
Wir sagen Ihnen, was wir davon halten
Ein schriftliches Ergebnis und eine Sitzung zur gemeinsamen Erarbeitung dieses Ergebnisses, zugeschnitten auf diejenigen, die darauf reagieren müssen: Ihre Architekten, Ihr Sicherheitsteam oder Ihr Vorstand.
Was Sie erhalten
Eine klare Antwort auf die von Ihnen gestellte Frage. Mit der dahinterstehenden Begründung, nicht mit einer Reifegradbewertung.
Empfehlungen nach Priorität geordnet. Unterteilt in: Was jetzt zu tun ist, was zu planen ist und was warten kann.
Die ausdrücklich genannten „Quick Wins“. Was Sie in den nächsten Wochen mit den Mitarbeitern, die Ihnen bereits zur Verfügung stehen, in Angriff nehmen können.
Ein schriftliches Ergebnis. Auf den Auftrag zugeschnitten: ein Kurzbericht für eine eintägige Anfrage, ein vollständiger Bericht für einen vierwöchigen Auftrag.
Eine Arbeitssitzung. Um dies gemeinsam mit denjenigen durchzugehen, die die entsprechenden Maßnahmen ergreifen müssen.
Eine klare Antwort darauf, womit wir Ihnen nicht helfen können. Und wer das kann.
Mit wem wir in der Regel zusammenarbeiten
CTOs und Führungskräfte im Bereich Technik
Sie entwickeln etwas und möchten, dass die Sicherheitsentscheidungen von Anfang an richtig getroffen werden – und zwar von jemandem, der sich intensiv mit der Architektur auseinandersetzt, anstatt Ihnen lediglich eine Checkliste zu überreichen.
CISOs und Sicherheitsverantwortliche
Sie benötigen eine unabhängige Einschätzung zu einer Roadmap, einem Budget, einem Lieferanten oder einem Plan, den Sie dem Vorstand vorlegen möchten – und zwar von Personen, die kein persönliches Interesse am Ergebnis haben.
Vorstände, Investoren und Unternehmensentwicklung
Sie müssen wissen, was Sie kaufen, was Sie erben und welche Kosten für die Instandsetzung innerhalb des Zeitrahmens der Transaktion anfallen werden.
IT-Manager ohne eigenes Sicherheitsteam
Sie tragen die Verantwortung, verfügen jedoch nicht über das Fachwissen, und Sie benötigen jemanden, der Ihnen klar und deutlich erklärt, wo Sie ansetzen sollen.
Fragen zur Beratungstätigkeit
Wie lange dauert eine Verlobung?
Müssen wir einen Rahmenvertrag unterzeichnen?
Inwiefern unterscheidet sich dies von einer Beratungsfirma für Governance oder Compliance?
Verkaufen oder vertreiben Sie Sicherheitsprodukte?
Benötigen wir die Plattform ART, um mit Ihnen zusammenzuarbeiten?
Können Sie uns dabei helfen, zu entscheiden, wo wir anfangen sollen?
Können Sie im Rahmen einer Übernahme eine Sicherheits-Due-Diligence-Prüfung durchführen?
Werden Sie uns mitteilen, falls wir Sie nicht mehr benötigen?
Stellen Sie uns eine Frage
Teilen Sie uns bitte mit, worüber Sie gerade entscheiden müssen. Wir werden Ihnen erläutern, was erforderlich wäre, um diese Frage angemessen zu beantworten, und ob wir die richtigen Ansprechpartner dafür sind.