Die DIN SPEC 27076 definiert einen standardisierten Prozess zur Durchführung einer IT-Sicherheitsberatung für Klein- und Kleinstunternehmen (KKU) mit bis zu 50 Beschäftigten.

Ziel ist es, den IST-Zustand der Informationssicherheit im Unternehmen zu erheben, ein individuelles Risikoprofil zu erstellen und dem Unternehmen konkrete Handlungsempfehlungen zur Verbesserung der IT-Sicherheit zu geben.

Die Beratung erfolgt in einem strukturierten Prozess mit folgenden Schritten:

1. Erstinformation des Unternehmens über den Ablauf und die Rahmenbedingungen

2. Durchführung eines strukturierten Interviews anhand eines standardisierten Fragenkatalogs mit 27 IT-Sicherheitsanforderungen

3. Auswertung der Antworten, Berechnung des Risiko-Status und Erstellung eines Ergebnisberichts mit Visualisierung der Ergebnisse und konkreten Handlungsempfehlungen

4. Präsentation und Erläuterung des Ergebnisberichts

5. Optional: Wiederholung nach Umsetzung der Empfehlungen

Die Dienstleistung soll KKU mit geringem IT-Knowhow eine kostengünstige und zeiteffiziente Möglichkeit bieten, ihr IT-Sicherheitsniveau zu analysieren und zu verbessern.

Anforderungskatalog

Der Anhang A des Dokuments enthält den Anforderungskatalog, der die Basis für die IT-Sicherheitsberatung bildet. Der Katalog umfasst folgende Punkte:

– 27 IT-Sicherheitsanforderungen in 6 Themenbereichen (Organisation & Sensibilisierung, Identitäts- und Berechtigungsmanagement, Datensicherung, Patch- und Änderungsmanagement, Schutz vor Schadprogrammen, IT-Systeme und Netzwerke)

– Jede Anforderung beschreibt einen Zielzustand, der erreicht werden sollte.

– Zu jeder Anforderung gibt es Leitfragen, mit denen im Interview der Ist-Zustand ermittelt wird.

– Jede Anforderung wird als erfüllt oder nicht erfüllt bewertet.

– Erfüllte Anforderungen bringen Punkte, nicht erfüllte 0 Punkte. Wichtige Anforderungen bringen mehr Punkte.

– Die Punkte werden aufsummiert und als Risiko-Status dargestellt.

– Für nicht erfüllte Anforderungen werden Handlungsempfehlungen gegeben.

– Der Katalog enthält nur Anforderungen, die mit vertretbarem Aufwand umsetzbar sind. Er erhebt keinen Anspruch auf Vollständigkeit.

– Selbst 100% Erfüllung bedeutet nur Mindestschutz, keine umfassende IT-Sicherheit.

Ziel des Katalogs ist es, Klein- und Kleinstunternehmen mit einer überschaubaren Anzahl relevanter Anforderungen ein realistisches Bild ihres IT-Sicherheitsniveaus zu vermitteln und konkrete Tipps zur Verbesserung zu geben.