Cyber Attack and Readiness Evaluation - Cybersecurity Assessments Cybersecurity and Privacy

Cyber Attack and
Readiness Evaluation

Cybersecurity Assessments

Cybersecurity and Privacy

www.pwc.ch/care

Cybersecurity bei PwC: Mit Fokus auf Risiken
Cybersecurity Attack and Readiness Evaluation (CARE)
CARE ist ein neuer Service von PwC, der Kunden bei der Bewertung ihres Sicherheits-
dispositiv – ihrer Fähigkeit, mit den zentralen Bedrohungen der heutigen Cyberwelt
umzugehen – auf einfache und verständliche Weise unterstützt.

Wie funktioniert CARE? In einem ersten Schritt führen wir mit Ihnen online einen
Fragebogen durch, um Ihre Risikobereitschaft, sowie Ihre bereits umgesetzten
Massnahmen zur Reduzierung der wesentlichen Cyberrisiken zu bewerten. Im
Anschluss validieren wir die erhaltenen Antworten anhand einer technischen
Bewertung Ihres Reifegrads.

Dieser Service ist in erster Linie für kleinere und mittlere Unternehmen konzipiert,
dank seiner Modularität kann er jedoch auf jede Grösse skaliert und spezifisch
an jeden Tätigkeitsbereich angepasst werden. Wir verfügen über ausgewiesene
Erfahrung in einer Vielzahl von Geschäftsfeldern, darunter öffentliche Verwaltungen,
Banken sowie die Konsum- und Luxusgüterbranche.

Unser modularer Ansatz von CARE umfasst fünf zugeschnittene Services, welche
aus den folgenden drei Dimensionen von Cybersecurity abgeleitet sind:

Prozesse sind das                                              Cybersecurity ist ein
Rückgrat jedes                                                 zentraler Bestandteil
Unternehmens.                                                  von Technologie.
Unser Service:                                                 Unsere Services:
                                               Te
                                s

• Bewertung von
                                                 ch

                                                               • Schwachstellen-
                              es

  Cyberrisiken
                                                   no
                            oz

                                                                 Scanning
                                                     lo
                          Pr

                                                               • Penetrationstests
                                                       gi
                                                         e

                                   Cyberrisiken

                                  Mitarbeitende

                                                   … können Mitarbeitende bei
   Obwohl häufig als Schwachstelle
                                                   richtiger Schulung massgeblich
    der Cybersecurity dargestellt …
                                                   zur Resilienz beitragen.
                                 Unsere Services:
                       • Phishing-Sensibilisierungskampagne
                  • Cyber-Awareness-Workshop für Führungskräfte

Bewertung von Cyberrisiken
Serviceübersicht                                   Leistung
Die Risiken kennen, bevor sie Schaden              Pragmatische Empfehlungen
anrichten                                          • Ein Bericht mit einer vollständigen Liste der
Das Ziel einer Bewertung von Cyberrisiken            schwerwiegenden Cyberrisiken und einem
ist es, potenzielle Probleme zu identifizieren,      Executive Summary zu Ihrem aktuellen
bevor sie auftreten. Auf diese Weise                 Reifegrad
können Sie risikomindernde Massnahmen              • Ein detaillierter Bericht gemäss definiertem
planen und diese nach Bedarf in Ihren                Umfang in elektronischer Form, der für die
                                                     diversen Organe Ihres Unternehmens erstellt
Informationssystemen oder Projekten
                                                     und diesen präsentiert wird
umsetzen.
                                                   • Ein Projektplan, der alle geplanten Aktivitäten
In dieser Phase führen wir einen Online-             aller Projektphasen nach der ersten
Fragebogen zur Bewertung Ihrer Risiken und           Mobilisierungsphase abdeckt
der Maturität Ihrer Sicherheitskontrollen durch.
Unser Set an Kontrollen stützt sich auf den
IKT-Minimalstandard des Bundesamts für
wirtschaftliche Landesversorgung (BWL).

      Schwachstellen-Scanning
Serviceübersicht                                   Leistung
Was sind die Schwachstellen?                       Ihre IT-Abteilung erhält klare Aufgaben
Ein externes Schwachstellen-Scanning ist           und eine Roadmap
eine einfache, sofort einsatzbereite Lösung zur    Sie erhalten einen ausführlichen Bericht
schnellen Identifizierung von Schwachstellen       mit einer Liste aller Schwachstellen, die bei
im Netzwerk Ihres Unternehmens, die potentiell     der Durchführung des Scanning-Prozesses
von Hackern ausgenutzt werden können.              entdeckt wurden. Im Bericht wird zudem
                                                   aufgezeigt, welche Schritte zur Behebung der
                                                   Schwachstellen erforderlich sind (Als Beispiel
                                                   relevante, anzuwendende Patches).

Penetrationstests
Serviceübersicht                                Leistung
Eindringen!                                     Beobachtungen und Empfehlungen
Im Gegensatz zum Schwachstellen-Scanning,       Wir liefern einen handlungsorientierten Bericht
das Schwachstellen nur aufdeckt, zielen         mit Beobachtungen und Empfehlungen sowie
Penetrationstests darauf ab, die Existenz von   „Quick Wins“. Darin werden die Methodik
Schwachstellen nachzuweisen, indem diese        des durchgeführten Penetrationstests, die ge-
effektiv ausgenutzt werden. Penetrations-       troffenen Annahmen sowie die geschäftlichen
tests decken die Schwere eines Problems auf     Auswirkungen des „Hacks“ erläutert.
und geben Aufschluss darüber, welche Art
von Schaden entstehen könnte, wenn eine
Schwachstelle durch Hacker ausgenutzt würde.

      Phishing-Sensibilisierungskampagne
Serviceübersicht                                Leistung
Sensibilisierung für Mitarbeitende              Ein Bericht zur Reduzierung von
Phishing ist die von Hackern am häufigsten      „Phishing“-Risiken
angewandte Methode, um sich einen ersten        Jede Handlung der getesteten Gruppe
Zugang zum Netzwerk eines Unternehmens          wird aufgezeichnet und in einem Bericht
zu verschaffen. Phishing weist eine hohe        zusammengefasst. Darin wird die Reaktion
Erfolgsquote auf, da es das schwächste Glied    Ihrer Mitarbeitenden beschrieben (z.B. die
der Sicherheitskette ins Visier nimmt: den      Anzahl der Personen, die auf den Link
Menschen. Unsere Sensibilisierungskampagne      geklickt, den Anhang geöffnet und ihre
simuliert einen Phishing-Angriff, indem         Zugangsdaten angegeben haben), sodass Sie
eine glaubwürdige E-Mail an eine definierte     den Sensibilisierungsgrad der Mitarbeitenden
Personengruppe Ihres Unternehmens               effektiv messen und/oder die Wirksamkeit
versandt wird, die diese zur Durchführung       einer Schulung, die sie in diesem Bereich
einer bestimmten Aktion auffordert (z.B. das    durchgeführt haben, ermitteln können.
Anklicken eines Links oder das Öffnen eines
Anhangs), die das Endgerät gefährden oder
die Empfänger zur Preisgabe von vertraulichen
Informationen bringen könnte.

      Cyber-Awareness-Workshop für Führungskräfte

Serviceübersicht                                Leistung
Sensibilisierung für Führungskräfte             Bericht zur Simulation
Angesichts der Tatsache, das sich Cyber-        Sie erhalten eine Präsentation, in der die
risiken rasant weiterentwickeln, müssen         zentralen, im Rahmen der Simulation ge-
Unternehmensleiter und Führungskräfte           wonnenen Erkenntnisse (Ergebnis, Vorgehen,
regelmässig über die wichtigsten Techno-        Teamarbeit und beobachtete Maturität) zusam-
logien und Entwicklungen im Bereich             mengefasst und mit praktischen Massnahmen
Cyberrisiken informiert werden.                 ergänzt werden.
Unsere „Game of Threats™“-Simulation
als interaktives Tool ermöglichen es Ihren
Führungskräften oder Kollegen, einen
nahezu echten Hackerangriff in der Rolle des
Verteidigers oder Angreifers zu durchlaufen–
gleichzeitig wird das Verständnis gefördert
und mögliche Massnahmen erkannt.

Unser modularer Ansatz

Wir haben ein skalierbares und anpassungsfähiges Servicemodell entwickelt, um
unser Angebot auf Ihre Bedürfnisse und Grösse auszurichten. Abhängig von der
gewünschten Tiefe des Assessments, sowie Ihrer Erfahrung und Kenntnisse im
Bereich Cybersecurity, stellen wir gemeinsam das passende Paket zur Erhebung
von technischer Maturität und menschlichem Verhalten zusammen.

                Prozesse                       Technologie               Mitarbeitende

                  Bewertung von
                  Cyberrisiken             Sicherheitsbewertung
     Basic        > Online-Selbst-
                                           Web-Anwendung (Blackbox)     Phishing-Übung
                                           > Bewertung einer kleinen    «Click & Download»
                  bewertung
                                           spezialisierten Website/     > Bis zu 50 Mitarbeitende
                  > Workshop mit
                                           E-Commerce-Anwendung
                  unseren Cyber-
                  security-Experten

                  Bewertung von
                  Cyberrisiken             Sicherheitsbewertung
   Advanced       > Online-Selbst-
                                           Web-Anwendung (Grey Box)
                  bewertung                > Bewertung einer            Phishing-Übung
                  > Mehrere Workshops      mittelgrossen Anwendung,     «Click & Download»
                  mit unseren Experten     z.B. eines E-Banking-/Zah-   > Bis zu 100 Mitarbeitende
                  für Cybersecurity,       lungsabwicklungssystems,
                  einschliesslich          oder eines mittelgrossen
                  Workshops mit Ihren      CRM-/ERP-Systems
                  IT-/Security-Anbietern

                  Bewertung von
   Extended       Cyberrisiken
                                           Sicherheitsbewertung
                  > Online-Selbst-         Web-Anwendung (White         Phishing-Übung
                  bewertung                Box)                         «Click & Download»
                  > Workshop mit           > Grosse Website mit         > Bis zu 250 Mitarbeitende
                  unseren Cyber            komplexen CRM-Systemen
                  security-Experten                                     Cyber-Awareness-
                                           oder Web-Anwendungen         Workshop für Führungskräfte
                  > Kontrolltests          auf der Basis von
                  basierend auf dem                                     > Game of ThreatsTM
                                           SAP/Oracle/Microsoft
                  NIST Cybersecurity
                  Framework

Ansprechperson

Kontaktieren Sie uns für eine erste Einschätzung Ihrer Bedürfnisse und um heraus-
zufinden, wie wir Sie bei der Bewertung Ihrer Risiken, sowie im Hinblick auf eine
verbesserte Abwehr, unterstützen können.

                         Urs Küderli
                         Partner
                         Cybersecurity and Privacy
                         +41 58 792 42 21
                         urs.kuederli@pwc.ch

© 2021 PwC. All rights reserved. “PwC” refers to PricewaterhouseCoopers AG, which is a member firm of PricewaterhouseCoopers International
Limited, each member firm of which is a separate legal entity.