gesponsertKaspersky erneuert erfolgreich SOC 2-Audit Cybersicherheit auf dem Prüfstand

Gesponsert von

Kaspersky Labs GmbH

Vertrauen in Cybersicherheit ist nur durch maximale Transparenz und kontinuierliche Prozessüberprüfung möglich. Eindeutige, nachprüfbare Bewertungskriterien tragen zu einer sicheren, vertrauenswürdigen Digitalisierung bei.

Interview mit Waldemar Bergstreiser, Head of Channel Germany bei Kaspersky.

Herr Bergstreiser, Cybersicherheit gewinnt, gerade aufgrund der zunehmenden Digitalisierung, immer mehr an Bedeutung. Welche Kriterien muss digitale Sicherheitstechnologie Ihrer Meinung nach erfüllen, um IT-Infrastruktur und sensible Daten zu schützen?

Grundlegend sind in diesem Zusammenhang insbesondere die Aspekte Sicherheit, Verfügbarkeit, Verarbeitungsintegrität, Vertraulichkeit und Datenschutz. Diese Parameter müssen uneingeschränkt erfüllt sein, um ein Maximum an Sicherheit zu gewährleisten. Hierbei legen wir Wert auf wiederkehrende Auditierungen nach internationalen Standards. 2019 wurden die Entwicklungs- und Freigabeprozesse der Kaspersky-AV-Datenbanken nach den Richtlinien des vom American Institute of Certified Public Accounts (AICPA) [1] entwickelten Standards SOC 2 erstmals erfolgreich auditiert. Dabei analysieren die Prüfer die Beschreibungen und Dokumentationen, bewerten diese und evaluieren die Systemkontrollen im Produktivbetrieb. Dieser Auditierungsprozess wurde dieses Jahr von einer der vier großen Wirtschaftsprüfungsgesellschaften wiederholt und wir haben erneut das Zertifikat des AICPA erhalten. Auditierungen und Zertifizierungen nach anerkannten Industriestandards leisten einen großen Beitrag zur Steigerung von Vertrauen und Sicherheit. Kunden und Partner erhalten darüber wichtige Informationen und Argumente für eine Kaufentscheidung.

Wie kann man sich einen derartigen Audit-Prozess im Detail vorstellen?

Zunächst wurden die für die genannten Prozesse verantwortlichen Führungskräfte, firmeninternen Prüfteams sowie unmittelbar beteiligten Mitarbeiter befragt. Zudem haben die Prüfer alle Unterlagen, Aufzeichnungen und Dokumentationen geprüft. Dazu zählen beispielsweise Standardreports wie im System konfigurierte, parametergesteuerte Berichte, die von unseren Systemen generiert werden. Weitere Beispiele sind benutzerdefinierte Berichte, die nicht zum Standard der Anwendung gehören.

Welche Merkmale wurden im Laufe des Audits bewertet?

Es ging hauptsächlich um den Systembetrieb, logische und physische Zugriffskontrollen, das Kontrollumfeld und die Kontrolltätigkeiten. Außerdem wurden Kommunikation und Information, Change Management, die Risikobewertung und die Risikominimierung bewertet.

Könnten Sie auf einzelne Punkte etwas näher eingehen?

Kaspersky setzt modernste Erkennungs- und Kontrollverfahren ein, um Änderungen an Konfigurationen zu identifizieren, die zum versehentlichen oder bewussten Einbau von Schwachstellen führen können. Dabei überwacht Kaspersky die Systemkomponenten und den Betrieb dieser Komponenten auf Anomalien, die auf schädliche Handlungen, Systemstörungen und Fehler hinweisen, die die Fähigkeit des Unternehmens beeinträchtigen könnten, die Schutzziele zu gewährleisten. Jede Änderung am Quellcode durchläuft ein dezidiertes Prüfverfahren, um ihre Integrität und Sicherheit zu bestätigen. Bei den Review-Prozessen zur Erstellung von Updates sind Kaspersky-Experten außerhalb Russlands immer mit einbezogen – einschließlich der Kaspersky-Teams in den USA und Kanada.

Ein weiteres Beispiel ist die Risikominimierung: Kaspersky identifiziert, entwickelt und setzt alle erforderlichen Risikominimierungsmaßnahmen um, die sich aus potenziellen Geschäftsunterbrechungen ergeben können. Dabei werden kontinuierlich alle Risiken mit Blick auf Zulieferer und die gesamte Supply-Chain bewertet. Genau diese Prozesse hat der Auditor geprüft.

Ist eine strikte Aufgabentrennung innerhalb des Unternehmens der Schlüssel zu mehr Sicherheit?

Absolut! Ein Schlüssel zu mehr Sicherheit liegt darin, wie der Zugriff auf Daten, Software, Funktionen und andere geschützte Informationsbestände auf der Grundlage von Rollen, Zuständigkeiten oder des Systemdesigns autorisiert, geändert oder aufgehoben wird. Kaspersky verfolgt dabei stringent die Konzepte der geringsten Privilegien und der Aufgabentrennung, um höchste Schutzziele zu erreichen.

IT-Sicherheit beruht auf Vertrauen – und Vertrauen auf Transparenz. Welche Maßnahmen ergreift Kaspersky neben dem besprochenen Audit zusätzlich?

Wir haben in den vergangenen Jahren als erstes Unternehmen unserer Branche wichtige Schritte unternommen und Maßnahmen implementiert, um technologische Transparenz und die Vertrauenswürdigkeit Kasperskys zu steigern. Die Verlagerung der Verarbeitung und Speicherung von Bedrohungsdaten in Rechenzentren in die Schweiz und die Eröffnung globaler Transparenzzentren, in denen der Quellcode unseres Unternehmens, die Software-Updates und die Regeln zur Bedrohungserkennung von vertrauenswürdigen Partnern, Kunden und Regierungsbehörden eingesehen werden können, sind für uns ein Grundpfeiler und ein Zeichen unserer Verpflichtung für mehr Transparenz. Da wir das schon seit 2018 machen, haben wir in diesem Bereich in der Cybersicherheit ein Benchmark gesetzt! Die Erneuerung des SOC-2-Typ-1-Berichts ist Teil unserer globalen Transparenzinitiative und zeigt unser kontinuierliches Engagement für Rechenschaftspflicht. Anfang dieses Jahres erneuerten wir zudem auch die Zertifizierung nach ISO 27001:2013, einem international anerkannten Sicherheitsstandard, der von der unabhängigen Zertifizierungsstelle TÜV AUSTRIA ausgestellt wird.

Wie können sich Unternehmen wirksam vor Cyberbedrohungen schützen?

Es sollten mehrstufige Lösungen mit Next-Generation-Malware-Erkennung, proaktiven Abwehrtechnologien sowie automatisierter Reaktion und Wiederherstellung zum Schutz vor zielgerichteten Angriffen eingesetzt werden. Sind intern nicht die nötigen Ressourcen vorhanden, können Cybersecurity Services die IT-Abteilung durch geschulte Cybersecurity-Experten in den Bereichen Threat Hunting, Malware-Analyse, Reverse Engineering, Forensik, Incident Response und Notfallplanung unterstützen, um sich umfassend vor allen Arten von Bedrohungen zu schützen. Außerdem sollten regelmäßig praxisnahe Security-Awareness-Schulungen, die in den Arbeitsalltag leicht integriert werden können, für alle Mitarbeiter mittels einer interaktiven Online-Trainingsplattform stattfinden, sodass diese Gelegenheit haben, sich mit typischen Angriffsszenarien auseinanderzusetzen. Im Rahmen der Kaspersky Automated Security Awareness Platform (ASAP) können Sie derzeit kostenfrei an einem Online-Kurs rund um den sicheren Umgang mit sozialen Medien und Social Engineering teilnehmen:

kas.pr/asap-some

Des Weiteren sollten die Organisationen Zugriff auf aktuelle Bedrohungsdaten haben, damit sie stets über die neuesten Taktiken und Methoden von Cyberkriminellen informiert sind. Kaspersky unterstützt Institutionen etwa durch sein Threat-Intelligence-Netzwerk, das detaillierte Einblicke liefert. Kaspersky Threat Intelligence (TI) ermöglicht durch die Zusammenarbeit mit unserem weltweit führenden Branchen- und Analystenteam die neuesten und zuverlässigsten Informationen über neue Malware- und Bot-Bedrohungen. Derzeit stellen wir unter kas.pr/threat-intelligence einen für Sie kostenfreien Zugang bereit. Durch diesen mehrstufigen Ansatz kann ein hohes Sicherheitsniveau erreicht werden.

Auch Microsoft vertraut auf die Threat Intelligence von Kaspersky. So sind unsere Threat Data Feeds jetzt in Microsoft Sentinel integriert [2].

Das BSI hat vor dem Hintergrund des Kriegs in der Ukraine vor dem Einsatz von Kaspersky-Virenschutzprodukten gewarnt. Können Sie dazu Stellung beziehen?

Das BSI hat aus geopolitischen Gründen gewarnt, ohne die Kaspersky-Produkte und unsere Schutzmechanismen vor unberechtigtem Zugriff technisch und organisatorisch eingehend zu bewerten. Mit den jetzt erneut zertifizierten Sicherheitsstandards und organisatorischen Maßnahmen durch das SOC 2-Audit können Partner und Kunden weiterhin auf die Qualität und Integrität von Kaspersky und auf unsere Produkte und Services vertrauen. Zusätzliche eindeutige und nachprüfbare Bewertungskriterien finden Sie auf unserer Website kas.pr/vertrauen.

Quellen:

[1] https://us.aicpa.org/interestareas/frc/assuranceadvisoryservices/aicpacybersecurityinitiative

[2] https://www.kaspersky.de/about/press-releases/2022_kaspersky-und-microsoft-kooperieren-bei-der-bereitstellung-von-threat-intelligence-fur-microsoft-sentinel-nutzer

(ID:48591195)