M365 ist zentral, aber selten normgerecht geprüft
Die meisten Tenants laufen im Alltag gut, aber ohne dass jemand geprüft hat, ob die Einstellungen den ISO-27001-Anforderungen entsprechen.
Veränderung
Heute. Mit ITM.
Heute
- Der M365-Tenant wurde nie gegen ISO 27001 Anhang A geprüft
- Sicherheitsbefunde liegen vor, aber ohne Bezug zur Norm
- Die Erklärung zur Anwendbarkeit fehlt oder ist veraltet
Mit ITM
- Der Tenant ist automatisiert gegen den CIS-Benchmark geprüft
- Befunde sind auf ISO 27001 Anhang A abgebildet
- Risikoregister, Massnahmenplan und SoA-Entwurf liegen vor
CIS-Benchmark automatisiert gegen Anhang A gemappt
Eine automatisierte Prüfung deckt den Tenant gegen den CIS-Benchmark ab, die Befunde ordnen wir den Controls aus Anhang A zu.
Risikoregister, Massnahmenplan, SoA-Entwurf
Sie erhalten die drei Dokumente, die ein Auditor erwartet, plus die Möglichkeit, Sofortmassnahmen direkt umsetzen zu lassen.
Lieferbausteine
Auf Ihre Spezifikation gebaut.
Automatisierte Tenant-Prüfung
M01Gegen den CIS-Benchmark für Microsoft 365.
Abbildung auf ISO 27001 Anhang A
M02Befunde werden Normanforderungen zugeordnet.
Risikoregister
M03Bewertung nach Eintrittswahrscheinlichkeit und Wirkung.
Massnahmenplan
M04Priorisierte Schritte zur Behebung.
Entwurf der Erklärung zur Anwendbarkeit
M05Als Vorlage für Ihr ISMS.
Sofortmassnahmen
M06Auf Wunsch direkt umgesetzt statt nur empfohlen.
Microsoft 365 ist in fast jedem Unternehmen die zentrale Plattform, und gerade deshalb einer der wichtigsten Prüfpunkte für ein ISMS. Wir prüfen Ihren Tenant automatisiert und übersetzen die Befunde in die Sprache von ISO 27001, statt eine allgemeine Sicherheitsprüfung zu liefern, die niemand auf die Norm bezieht.
Warum CIS-Benchmark und ISO 27001 zusammen
Der CIS-Benchmark für Microsoft 365 ist eine technische, sehr konkrete Prüfliste. ISO 27001 Anhang A ist die normative Struktur, gegen die ein Auditor prüft. Beides einzeln zu betrachten, hilft wenig: Eine technische Liste ohne Normbezug überzeugt keinen Auditor, eine Norm ohne technische Prüfung bleibt abstrakt. Wir verbinden beides. Die automatisierte Prüfung liefert die Befunde, die Zuordnung zu Anhang A macht sie auditfähig.
Was Sie am Ende in der Hand halten
Drei Dokumente: ein Risikoregister, das die Befunde nach Eintrittswahrscheinlichkeit und Wirkung bewertet, einen Massnahmenplan mit priorisierten Schritten, und einen Entwurf der Erklärung zur Anwendbarkeit (Statement of Applicability), der zeigt, welche Controls aus Anhang A für Ihren Tenant relevant sind und wie sie umgesetzt sind. Auf konkrete Zahlen zu den gefundenen Punkten verzichten wir hier bewusst, weil sie sich je Tenant und Zeitpunkt stark unterscheiden.
Sofortmassnahmen statt nur Empfehlung
Ein Teil der Befunde lässt sich ohne grosses Projekt beheben, etwa eine Einstellung, die falsch konfiguriert ist. Solche Sofortmassnahmen setzen wir auf Wunsch direkt um, statt sie nur in einem Bericht zu benennen. Umfangreichere Massnahmen bleiben im Massnahmenplan mit klarer Priorisierung.
Danach: einmalig oder laufend
Die Aufnahme selbst ist ein fester Umfang je Tenant. Danach entscheiden Sie, ob ein einmaliger Stand ausreicht oder ob eine laufende Überwachung sinnvoll ist, damit neue Konfigurationsänderungen nicht unbemerkt vom geprüften Stand abweichen.