Das ISMS stand, aber die Standards waren für die eigene IT nicht ausführbar. Der CISO sah seine DORA-Vorgaben nicht umgesetzt, die IT bekam nicht gesagt, was technisch zu tun ist. Vor der DORA-Frist musste ein verbindlicher Kryptostandard vorliegen, kein ganzes Programm.
Ein Kryptostandard auf Basis von DORA und ISO 27001.
Ein Logging-Standard und ein Logging-Konzept.
Zwischen CISO und IT übersetzt: ein Dokument, das exakt auf den eigenen Stack passt. Die IT-Leitung konnte präzise umsetzen und den Erfolg messen, der CISO bekam die DORA-Erfüllung.
Beides so geschrieben, dass das eigene Team es versteht und betreiben kann. Das war die Bedingung, nicht die Zugabe.
Nach einem Vorfall: Angreifer hatten Konten per Phishing übernommen. Die akute Reaktion lief über die Cyberversicherung; wir kamen danach, für den Wiederaufbau. Im Haus sah niemand, was passiert war, und die Zugänge waren nie geordnet.
Zugänge und Identitäten geordnet: Konten, Rechte, wer worauf darf, aus einer Quelle.
MDR und EDR im ganzen Haus ausgerollt.
Ein ISMS aufgesetzt: Governance, Verantwortlichkeiten, ein Zustand, der sich halten lässt.
Sechs bis acht Wochen vom Forensikbericht bis zum prüfbaren Zustand.
Heute sieht der Betrieb einen Angriff und die Tür, durch die es damals ging, ist zu.