Sicherheit im KMU und Mittelstand

[Nobbyaushb 1.359]

Moin zusammen,

ich bin ja primär als Berater / Dienstleister, neudeutsch Consulter unterwegs

Im Moment stelle ich fest, das sich meine Dienstleistungen stark Richtung Sicherheit verschieben 

Ansonsten macht mir das was ich da teilweise vorfinde schon Angst und manchmal denke ich wofür bezahlen die ihre Mitarbeiter bzw. die externen Dienstleister

Dieses Bild passt gut dazu

Ich will hier keine Grundsatzdiskussion anfangen, also bitte nicht falsch verstehen 

Aber es eben leider oft genau wie auf dem Bild - warum konnte da jemand durch, es war doch abgeschlossen…

 

[NilsK 2.785]

Moin,

 

aha.

 

Gruß, Nils

[cj_berlin 1.138]

Moin,

 

die Dienstleistungen verschieben sich dorthin, wohin sich auch die Budgets verschieben. Noch ein paar Jahre Preisentwickllung für Energieträger, wie wir sie jetzt erleben, und der nächste Green-IT-Boom ist vorprogrammiert  Und wenn die Rezession noch 7-8 Jahre andauert, werden wir das Jahr von Linux auf dem Desktop vielleicht doch noch erleben, weil einfach Geld für den nächsten Hardware-Refresh fehlt.

 

Was Security angeht, wird sich nichts ändern, solange Manager nach Performance und Usability bewertet werden, und damit meine ich nicht nur IT-Manager. Ich weiß nicht, ob es wahr ist, aber jemand, der sehr lange in Japan gelebt und sich mit der dortigen Kultur gut auskennt, hat mir dies erzählt: Bis vor ein paar Hundert Jahren hat jedes größere Dorf (das sich das leisten konnte) einen Arzt ausgehalten. Er hat ein Haus bekommen, Bedienstete, Tiere, Nahrung für sich, seine Familie, Bedienstete und Tiere, Kleidung, alles, was man braucht - solange alle im Dorf gesund waren. Wurde einer krank, wurden Zuwendungen eingestellt. Wenn wir die Manager - nicht nur den CISO, die gesamte C-Suite - nach dem KPI "Tage seit dem letzten Cyber-Vorfall" entlohnen würden, hätten wir eine völlig andere Wahrnehmung.

[NilsK 2.785]

Moin,

 

Ja, das Modell Nordkorea hat unbestreitbar Vorteile.

 

Gruß, Nils

[cj_berlin 1.138]

Der Gedankensprung war mir jetzt zu weit, zumindest am Sonntag.

[daabm 1.185]

vor 18 Stunden schrieb cj_berlin:

Was Security angeht, wird sich nichts ändern, solange Manager nach Performance und Usability bewertet werden,

 

Ketzerisch formuliert: Solange derjenige, der die salär-relevanten KPIs definiert, derjenige, der ihre Erreichnungsquote festlegt und derjenige, dessen Salär daran hängt, identisch sind, wird sich nichts ändern.

[NilsK 2.785]

Moin,

 

vor 3 Stunden schrieb cj_berlin:

Der Gedankensprung war mir jetzt zu weit, zumindest am Sonntag.

 

persönliche Haftbarkeit für ein gefordertes Ergebnis nimmt schnell totalitäre Züge an, wenn es in der skizzierten Form verstanden wird:

vor 22 Stunden schrieb cj_berlin:

Wurde einer krank, wurden Zuwendungen eingestellt.

 

Gruß, Nils

[Squire 211]

@Nobbyaushb - das Problem sind oft die Entscheidungsträger - weniger (aber auch pfuschende Dienstleister). Wenn der Chef nicht einsehen will, dass Software/Hardware veraltet und ersetzt werden muss - dann kannst Du beraten, bis Du schwarz wirst ...

Ich hab den Luxus, dass ich meine Firma im Nebenerwerb führe und nicht auf den Umsatz zwingend angewiesen bin. Ich hab auch schon die Zusammenarbeit mit Kunden beendet, die beratungsresistent waren. (Ich hatte mal eine Zimmerei/Holzhausfirma, die bestanden auf ESX 5 und Windows 2003 SBS ... da waren beide Systeme schon einige Zeit EOL ... Firewall braucht es nicht, wir haben einen Telekom Speedport ... sowas muss ich mir nicht antun und vor allem muss ich mir dann auch kein Gejammere hinterher anhören ...)

 

Ich habe mir angewohnt, schriftlich auf die Risiken hinzuweisen und lass mir das abzeichnen ... 

[zahni 521]

@SquireDas ist halt das alte Lied. Du sagst dem Zimmerer auch nicht, dass es bei Lidl auch billiges Werkzeug gibt. Das reicht doch... Und auch nicht, wie man die Hobelmaschine richtig einrichtet.

 

Bei IT haben plötzlich immer alle Ahnung. Sie begreifen nicht, dass ihr Business mittlerweile von der IT abhängt. Ob der Kunde ohne IT noch korrekte Rechnungen schreiben und für das Finanzamt korrekt verbuchen kann?

[Squire 211]

das Szenario hab ich ihm schon geschildert ... Kein Abbund mehr um Pläne zu zeichen oder auszugeben, keine Rechnungserstellung, keine Rechnungsbegleichung, keine Maschinenübergabe ... sprich der Betrieb würde stehen ... trotzdem beratungsresistent - deshalb hatte ich mich da verabschiedet. Wenns dann kracht, dann kracht 's richtig ... das muss ich mir und meinen Nerven nicht antun ...

[Nobbyaushb 1.359]

vor 21 Minuten schrieb Squire:

... sprich der Betrieb würde stehen ... trotzdem beratungsresistent - deshalb hatte ich mich da verabschiedet.

Habe ich letztes Jahr bei insgesamt drei Kunden gemacht 

Man muss nicht immer alles ertragen oder tolerieren 

Lernen wird auch der Kunde mal…

[mwiederkehr 351]

Mein schlimmster Kunde ist ein kleines Modegeschäft. SBS 2008, eine Disk im RAID 1 seit ca. einem Jahr defekt. Backup auf wechselnde USB-Disks mit Windows Backup (selbstverständlich ohne Verifizierung). Habe mehrmals vorgesprochen, zweimal ein Angebot für einen neuen Server abgegeben, schriftlich auf die Probleme hingewiesen. Ohne Erfolg. Wenn es am Geld liegen würde, hätte ich noch etwas Verständnis, es sind nicht alle Firmen auf Rosen gebettet. Aber es scheint gut zu laufen, die Innenausstattung wurde edel neu gemacht und die privaten Geräte der Inhaber haben mehr gekostet als ein Server.

 

Zum Glück heisst "Kunde" in dem Zusammenhang "kommt, wenn er etwas will" und nicht "ich habe einen Dienstleistungsvertrag mit garantierten Leistungen". Wenn die zweite Disk dann mal "den Hurli macht", habe ich dann vielleicht keine Lust oder keine Zeit für eine Notfallübung.

 

Ich denke, dem Thema Sicherheit wird allgemein zu wenig Beachtung geschenkt, weil die Nachteile sofort spürbar sind, die Vorteile jedoch nicht. Zudem ist der Erfolg nicht direkt messbar. Ein Regal steht oder fällt zusammen, aber auch ein Windows Server 2003 mit offenem RDP kann jahrelang "halten". Das ist kein für die IT spezifisches Problem. Ich habe Kunden im Baugewerbe. Die machen bezüglich Sicherheit das, was Vorschrift ist. Ohne Helmpflicht hätte niemand einen Helm an, weil ist unbequem und sowieso noch nie etwas passiert. Der Unterschied ist, dass es bezüglich IT-Sicherheit keine so exakten gesetzlichen Vorgaben inkl. persönlicher Haftung gibt. Wird bei einer Kontrolle ein nicht richtig gesichertes Baugerüst festgestellt, hat das Konsequenzen für die Firma sowie den verantwortlichen Mitarbeiter, der das Sicherheitsprotokoll unterzeichnet hat. In der IT gibt es, wenn überhaupt, erst eine Strafe, wenn schon etwas passiert ist.

[Nobbyaushb 1.359]

vor 4 Minuten schrieb mwiederkehr:

... machen bezüglich Sicherheit das, was Vorschrift ist. Ohne Helmpflicht hätte niemand einen Helm an, weil ist unbequem und sowieso noch nie etwas passiert. Der Unterschied ist, dass es bezüglich IT-Sicherheit keine so exakten gesetzlichen Vorgaben inkl. persönlicher Haftung gibt.

Jetzt kommt bald NIS2 - frage mal rum wer weiß was das ist oder bedeutet..

Dagegen war KRITIS ein Kindergarten

[cj_berlin 1.138]

 

Die Anzahl betroffener SBS-Kunden dürfte sich also in Grenzen halten   

[Nobbyaushb 1.359]

vor einer Stunde schrieb cj_berlin:

Die Anzahl betroffener SBS-Kunden dürfte sich also in Grenzen halten   

Stimmt teilweise - ich habe einen Kunden der nur 25 Leute hat und trotzdem drin ist - egal, das führt hier zu weit

 

Danke für die Diskussion!