Die Sicherheitsliste, die auf eine Seite passt

Es gibt hervorragende Sicherheitsstandards. Sie sind für Organisationen mit einer eigenen IT-Abteilung geschrieben. Für einen Betrieb mit zwölf Leuten ist die Liste unten brauchbarer — nicht weil sie besser wäre, sondern weil sie tatsächlich abgearbeitet wird.

Zugänge

• Hat jede Person ein eigenes Konto? Gibt es noch Sammelkonten?
• Ist auf Mail und Fernzugriff ein zweiter Faktor aktiv?
• Sind alle Konten von Ausgetretenen deaktiviert? Auch VPN, auch die Fachanwendung?
• Wer hat Administratorrechte — und braucht das jede dieser Personen täglich?

Geräte

• Laufen Betriebssystem-Updates automatisch, und wird das auch kontrolliert?
• Wann wurde die Firmware von Router und Firewall zuletzt aktualisiert?
• Ist ein Fernwartungszugang direkt aus dem Internet erreichbar?
• Sind Notebooks verschlüsselt? Ein Gerät im Zug ist kein Diebstahl, sondern ein Datenabfluss.

Daten

• Läuft die Sicherung — und wurde in den letzten drei Monaten eine Datei daraus zurückgeholt?
• Liegt eine Kopie ausser Haus und getrennt?
• Wer hat Zugriff auf welche Ordner? Stimmt das noch mit der heutigen Organisation überein?

Ernstfall

• Existiert ein Notfallzettel auf Papier: wer wird angerufen, in welcher Reihenfolge?
• Welches System darf wie lange stillstehen? Diese Zahl sollte aufgeschrieben sein, nicht geschätzt werden.

Vier Bereiche, rund fünfzehn Fragen. Wer sie viermal im Jahr durchgeht und das Datum notiert, ist weiter als die meisten. Eine Liste, die man vierteljährlich schafft, wirkt mehr als eine, die vollständig ist. Was dabei regelmässig auffällt, steht in Sieben Lücken, die immer wieder auftauchen.