Information Security Assessment in Dubai

Gehen Sie davon aus, dass die Nachricht überzeugend sein wird, und entfernen Sie stattdessen den Single Point of Failure. Die Controls, die diese Angriffe tatsächlich stoppen, sind prozessual, bevor sie technisch sind.

Prozessuale Controls, nach Wirkung sortiert:

1. Verlangen Sie für jede Zahlungsanweisung und jede Änderung von Lieferanten-Bankdaten eine Verifikation über einen zweiten Kanal, auf einer hinterlegten Nummer statt auf einer aus der Nachricht.
2. Setzen Sie diese Regel unabhängig davon durch, wer fragt und wie dringend es klingt, und machen Sie ihr Übergehen zur Disziplinarfrage statt zur Ermessensentscheidung.
3. Geben Sie dem Finanzbereich einen ausdrücklichen, schuldfreien Eskalationsweg, denn der Angriff lebt davon, dass niemand nachfragt.
4. Führen Sie unangekündigte Simulationen für Finanzbereich und Assistenzen durch. Eine Übung sagt mehr über Ihre Exposition als jedes Richtliniendokument.

Technische Controls als Rückhalt:

• SPF, DKIM und DMARC mit durchsetzender Policy veröffentlichen, damit Ihre eigene Domain nicht direkt gefälscht werden kann.
• Externe Mail sichtbar kennzeichnen, auch mobil, wo die meisten Imitationen gelingen.
• Auf ähnliche Domainregistrierungen überwachen, die Ihre Marke imitieren.
• Phishing-resistente Multi-Faktor-Authentifizierung einsetzen, idealerweise hardware-gestützt, damit ein erbeutetes Passwort nicht genügt.
• Auf das Anlegen von Postfachregeln und Weiterleitungen alarmieren, die übliche erste Handlung nach einer Kontoübernahme.

Warum der Angriff in dieser Region so gut funktioniert und was in der ersten Stunde eines Verdachtsfalls zu tun ist, steht in unserem Artikel zu Spear-Phishing und Executive Impersonation in den VAE.

Die Kosten folgen dem Scope, nicht der Kopfzahl. Eine Gap-Analyse gegen ein einzelnes Rahmenwerk für ein mittelgroßes Unternehmen umfasst typischerweise vier bis sechs Wochen Beraterzeit. Technische Control-Prüfung, mehrere Standorte oder mehrere Rahmenwerke gleichzeitig verlängern das. Wir scopen aus Ihrer Architektur und Ihren regulatorischen Pflichten und bieten dann ein Festpreismandat statt eines offenen Tagessatzes.

Vier bis sechs Wochen für eine fokussierte Gap-Analyse, acht bis zwölf für ein vollständiges Posture-Review über mehrere Rahmenwerke. Die Feldarbeit macht davon zwei bis drei Wochen aus, der Rest sind Nachweisprüfung, Validierung und das Schreiben von Befunden, die einer Rückfrage standhalten.

Wir spezifizieren die Behebung, und wir trennen beides bewusst. Wo eine unabhängige Bewertung unabhängig bleiben muss, etwa vor einer Zertifizierung oder einer Kundenprüfung, läuft die Behebungsberatung als eigenes Mandat mit anderen Personen. Wo Unabhängigkeit nicht erforderlich ist, können dieselben Ingenieure, die den Befund erhoben haben, den Fix spezifizieren und die Umsetzung durch Ihr Team im Rahmen unseres Cyber Security Consulting in Dubai begleiten.

Für die technische Control-Prüfung genügt in der Regel lesender Zugriff, und er lässt sich auf bestimmte Systeme und Zeitfenster begrenzen. Dokumentenprüfung und Interviews brauchen gar keinen Systemzugriff. Alle Bewertungsdaten können auf Infrastruktur in den VAE bleiben, auch in vollständig air-gapped Umgebungen, in denen nichts den Standort verlässt.

Planen Sie ungefähr zwei bis vier Stunden je Control-Verantwortlichem über die Feldarbeit verteilt, konzentriert auf Interviews und Nachweis-Walkthroughs. Technische Prüfung gegen lesenden Zugriff ist für Nutzer unsichtbar. Wir terminieren Interviews im Voraus und schicken die Nachweisliste vorab, damit niemand im Termin ein Dokument beschaffen muss.

Ja. Der Bericht für das Gremium ist so geschrieben, dass er unverändert weitergegeben werden kann, und er ist das Dokument, das Kundenprüfteams tatsächlich wollen. Der technische Bericht enthält Systemdetails und Reproduktionswege und bleibt daher normalerweise intern oder wird unter NDA in geschwärzter Form geteilt. Auf Wunsch erstellen wir ein separates Anschreiben für einen bestimmten Kunden oder eine Behörde.

Jährlich für eine vollständige Prüfung, mit einem gezielten Re-Test der bisherigen Befunde nach drei bis sechs Monaten, damit die Behebung verifiziert und nicht angenommen wird. Was die Architektur wesentlich verändert, etwa eine Cloud-Migration, ein neues Geschäftsfeld oder eine Übernahme, rechtfertigt eine außerplanmäßige Prüfung des betroffenen Bereichs statt des Wartens auf den Jahrestermin.