Spreu und Weizen: Die zwei Arten von InfoSec-Werbeversprechen
In den letzten Wochen habe ich in Gesprächen mit Kunden immer wieder dasselbe gehört: Die Branche rund um NIS-2 und ISO 27001 ist gerade eine einzige Goldgrube und viele verhalten sich auch genau so. Der Tenor lässt sich in zwei Extreme zusammenfassen: Extrem 1: Die Zertifikats-Drücker„In 3 Wochen zur ISO 27001 und NIS-2 gratis dazu. […]
„Den Rest mache ich mit ChatGPT.“ Warum ein ISMS kein Copy-Paste-Projekt ist
So sprach vor etwa einem Jahr ein Interessent zu mir:„Wissen Sie, Herr Neeff, was wir für unser ISO 27001 ISMS an Dokumentation brauchen, gibt’s mittlerweile kostenlos im Internet. Und den Rest mache ich mit ChatGPT.“ Ich liebe solche Sprüche, weil ich genau weiß, wie viel Substanz dahintersteckt. Nämlich KEINE. Wer so etwas sagt, betrachtet ein […]
Informationssicherheit beginnt nicht bei ISO 27001, sondern bei Ehrlichkeit.
Viele glauben, der Kern wirksamer Informationssicherheit liege in einer besonders „guten“ oder „schönen“ Umsetzung von ISO 27001 oder NIS-2. Doch der eigentliche Erfolgsfaktor ist ein anderer: eine ehrliche Bestandsaufnahme. Was bedeutet das konkret? Genau hier trennt sich die Spreu vom Weizen.Echte Profis beschäftigen sich zuerst mit dem jeweiligen Unternehmen – nicht mit Excel-Listen, Tool-Versprechen oder […]
Sicherheitsrisiko Vorstand: Wenn Ignoranz zur echten Schwachstelle wird
Während die Bedrohungslage eskaliert, spart ein börsennotierter Konzern weiter an der IT-Sicherheit und setzt lieber auf Hoffnung statt auf Verteidigung. Der CISO? Ohne Einfluss. Ohne Budget. Ohne Team. Jetzt sind die wenigen Mitarbeitenden krank und niemand kümmert sich.Die Führungsetage? Schaut weg. Jahrelange Überlastung, null Anerkennung, keine Entwicklungsmöglichkeiten und ein Management, das sich in falscher Sicherheit […]
Excel-Dieter, PowerPoint-Joe & das Managementsystem-Chaos
Wer sich mit dem Aufbau und Betrieb von Managementsystemen – etwa für Informationssicherheit nach ISO 27001 (ISMS) oder Qualitätsmanagement nach ISO 9001 – beschäftigt, kennt das Szenario nur zu gut: Seitenlange PowerPoint-Folien, riesige Excel-Dateien mit komplexen Formeln und dutzende Word-Dokumente bilden oft die Basis der gesamten Dokumentation. Und die wenigen Menschen, die diese Dateien erstellen […]
KI, Copy & Paste und das Ende echter Sorgfalt?
Ich bekomme viele E-Mails und LinkedIn In-Mails – meist von Leuten, die mir das Blaue vom Himmel versprechen. Sie hätten „den LinkedIn-Code geknackt“ und könnten mir in kürzester Zeit zu gaaaanz vielen neuen Kundenbeziehungen verhelfen. Ich lächle da inzwischen nur noch müde.Aber letzte Woche war’s soweit, da ist mir kurz der Kragen geplatzt. Ein Absender […]
Threat Intelligence ohne Kontext ist wertlos
Plattformen wie z.B. Mandiant, Recorded Future oder CrowdStrike Falcon Intelligence versprechen, in quasi Echtzeit Informationen über die aktuelle Bedrohungslage bereitzustellen. Viele dieser Tools liefern umfangreiche Reports und werden von zahlreichen Organisationen eingesetzt. Doch hier liegt das Problem:Die Informationsflut ist oft so groß, dass sie Fachexperten und Entscheidungsträger schlicht erschlägt.Gerade in größeren Organisationen fehlt es beispielsweise […]
Warum die Kombination von IT- und Cyber Security-Verantwortung in einer Führungsrolle ein Risiko ist
Kürzlich meinte LinkedIn, ich solle mich doch bewerben als “Director Global IT & Cyber Security“: mittelständisches Unternehmen, mehrere Standorte, bekannte Marke. Abgesehen davon, dass ich bei der TEN Information Management genügend zu tun habe, habe ich mich mal mit der Stellenbeschreibung auseinandergesetzt. Warum? Weil ich aus der Organisation höre, dass die Position seit bald einem […]
Bürokratie, Teil 748923: Von der Schwierigkeit, Rechnungen pünktlich zu bezahlen
Als Unternehmer kennt man das: wenn es wirtschaftlich nicht ganz so rund läuft, häufen sich manchmal die Außenstände. Die meisten Geschäftspartner bezahlen dann nach einer freundlichen Aufforderung, manchmal erlebt man aber auch abstruse Situationen. Von einer solchen möchte ich heute berichten. Sie gehört meines Erachtens in die Kategorie Bürokratie, die die Welt nicht braucht – […]
Wesentliche Änderungen der ISO/IEC 27006-1:2024 im Überblick
Die Überarbeitung der ISO27006 bringt entscheidende Anpassungen für ISMS-Audits nach ISO27001 – besonders für digitalisierte Unternehmen. Ich habe mich mal damit beschäftigt und folgende Kernpunkte identifiziert: Neue Berechnungslogik für Audit-Tage Modernisierte Remote-Audit-Regeln Vereinfachte Auditor-Qualifikation Keine starren Erfahrungswerte: Quantitative Vorgaben wie “4 Jahre Berufserfahrung” für Auditoren wurden gestrichen. Die Kompetenzbewertung erfolgt jetzt risikobasiert. Technische Anpassungen Transparentere Multi-Site-Audits Detailierte Vorgaben: Annex C […]