Cybersicherheit, eingebaut in die Delivery-Pipeline

Mit einem Assessment, aus dem eine priorisierte, mit Aufwand hinterlegte Liste hervorgeht statt einer Compliance-Checkliste. In der Praxis fördert der erste Durchgang fast immer dieselben Kategorien zutage: zu weit gefasste Cloud-Berechtigungen, in Repositories eingecheckte Secrets, ungepatchte Abhängigkeiten, fehlende Mehrfaktor-Authentifizierung auf administrativen Konten und Logs, die zwar existieren, aber weder zentralisiert noch alarmiert sind. Das zu beheben ist eine Sache von Wochen und nimmt den grössten Teil des realistischen Risikos weg.

Wir leisten die Engineering-Arbeit, die diese Rahmenwerke verlangen — Zugriffssteuerung, Logging, Verschlüsselung, Änderungsmanagement, Umgang mit Schwachstellen — und erzeugen die technischen Nachweise, nach denen ein Auditor fragt. Das Zertifikat selbst stellt eine akkreditierte Prüfstelle aus, die von den Personen unabhängig sein muss, die die Massnahmen umsetzen. Wir arbeiten neben ihr; wir ersetzen sie nicht.

Ein Penetrationstest sagt Ihnen, was ein Angreifer zu einem Zeitpunkt ausnutzen könnte. Dies ist die Engineering-Arbeit, die diese Antwort verändert: die zugrunde liegenden Schwachstellenklassen beheben und automatische Prüfungen in die Pipeline stellen, damit sie nicht zurückkommen. Beides ergänzt sich — ein Test nach getaner Arbeit ist deutlich besser angelegtes Budget als ein Test davor.

Wir bauen und justieren die Erkennung — zentrales Logging, Alarmregeln, Dashboards und das Runbook für die Reaktion — und können sie während einer definierten Zusammenarbeit betreiben oder an Ihr Team oder Ihren Managed-Service-Anbieter übergeben. Was wir nicht tun: eine Alarmierung eingerichtet zurücklassen, für deren Beobachtung sich niemand verpflichtet hat.