Audit der physischen Sicherheit & Security
Ihr Schutzkonzept bewerten
Schwachstellen identifizieren
Massnahmen priorisieren
FOCUS führt Audits der physischen Sicherheit und Security in der ganzen Schweiz für Unternehmen, Verwaltungen und Institutionen durch. Jedes Audit basiert auf einem unabhängigen, sorgfältigen und methodischen Ansatz mit dem Ziel, eine objektive Bewertung des Schutzniveaus der Organisation vorzunehmen.
Das Audit ermöglicht es, die Bedrohungen zu identifizieren, denen die Organisation ausgesetzt sein kann, die bestehenden Schutzmassnahmen zu bewerten und Schwachstellen aufzuzeigen, die das Sicherheitsniveau beeinträchtigen können.
Die gewonnenen Erkenntnisse ermöglichen die Formulierung gezielter und priorisierter Empfehlungen, um Entscheidungsträger bei der Verbesserung ihres Schutzkonzepts und einer zweckmässigen Ressourcenallokation zu unterstützen.
Unser Ansatz ermöglicht insbesondere:
- die Bedrohungen im Zusammenhang mit den Tätigkeiten und dem Umfeld der Organisation zu identifizieren;
- das aktuelle Schutzniveau gegenüber vorsätzlichen Handlungen zu bewerten;
- die damit verbundenen Schwachstellen zu identifizieren und zu bewerten;
- die Stärken und Verbesserungspotenziale des Schutzkonzepts aufzuzeigen;
- die Kohärenz zwischen den verschiedenen Schutzmassnahmen zu beurteilen;
- die Verstärkungsmassnahmen entsprechend den identifizierten Risiken zu priorisieren.
Security-Audit
Im vorliegenden Kontext bezeichnet Security Massnahmen zum Schutz von Personen, Sachwerten und Infrastrukturen vor vorsätzlichen böswilligen Handlungen wie Eindringen, Diebstahl, Sabotage, Sachbeschädigung oder Spionage.
Der Begriff physische Sicherheit wird jedoch häufig verwendet, um die physischen Schutzmassnahmen einer Organisation zu bezeichnen.
Eine wirksame Security-Strategie zielt insbesondere darauf ab, eine böswillige Handlung abzuschrecken, zu erkennen, zu verhindern und zu verzögern und gleichzeitig eine angemessene Reaktion zu ermöglichen, wenn ein Ereignis eintritt.
Der allgemeine Begriff Sicherheit umfasst auch die Prävention von Ereignissen unbeabsichtigten oder nicht vorsätzlichen Ursprungs. Diese Aspekte fallen nicht in den Umfang unserer Security-Audits, die speziell auf die Prävention und Beherrschung vorsätzlicher böswilliger Handlungen ausgerichtet sind.
EIN MULTIDIMENSIONALER UND BEREICHSÜBERGREIFENDER ANSATZ
Die Wirksamkeit eines Sicherheitskonzepts beruht nicht allein auf sichtbaren Schutzmassnahmen oder technischen Einrichtungen. Sie hängt von der Abstimmung und den Wechselwirkungen zwischen mehreren sich ergänzenden Dimensionen ab.
Der von FOCUS entwickelte Ansatz ist sowohl multidimensional als auch bereichsübergreifend. Er ermöglicht es, die spezifischen Schwachstellen jeder einzelnen Dimension sowie jene zu identifizieren, die aus ihren Wechselwirkungen entstehen können.
Mensch
Kompetenzen, Sensibilisierung, Wachsamkeit, Verhaltensweisen und Fähigkeit des Personals, die Sicherheitsmassnahmen anzuwenden.
Organisation
Governance, Verantwortlichkeiten, interne Richtlinien, Verfahren, Sicherheitsprozesse, Zutrittsmanagement und Reaktion auf Vorfälle.
Technik
Zutrittskontrolle, Videoüberwachung, Einbruchserkennung, Alarmanlagen und weitere technische Systeme, die zum Schutz des Standorts beitragen.
Struktur
Architektur des Standorts, Perimeterschutz, physische Barrieren, Zonierung, Unterteilung in Sicherheitsbereiche und Widerstandsfähigkeit der Zugänge.
Digital
Digitale Umgebung, allgemeine Cybersicherheitsmassnahmen und Schwachstellen, die das Schutzniveau der Organisation direkt oder indirekt beeinträchtigen können.
Die bereichsübergreifende Analyse dieser fünf Dimensionen ermöglicht es, über eine isolierte Betrachtung der Security hinauszugehen und das Schutzniveau der Organisation als Ganzes zu beurteilen.
Die Berücksichtigung der digitalen Dimension ersetzt kein technisches Cybersicherheitsaudit. Sie ermöglicht es, relevante digitale Herausforderungen und Schwachstellen in die Gesamtbewertung des Sicherheitskonzepts einzubeziehen.
Audit der physischen Sicherheit & Security
Eine von FOCUS entwickelte Auditmethodik
FOCUS stützt sich auf eine strukturierte Methodik und intern entwickelte Bewertungsinstrumente, die operative Erfahrung, Risikoanalyse und bewährte Praktiken der Security miteinander verbinden.
Unser Auditinstrument umfasst mehr als 600 Analysepunkte, die in rund dreissig Themenbereiche gegliedert sind und je nach Kontext, Zielsetzung, Standortmerkmalen und Risikoniveau der Organisation eingesetzt und angepasst werden.
Das Audit umfasst insbesondere die Analyse der verfügbaren Informationen, Beobachtungen vor Ort, Gespräche mit den betroffenen Personen sowie die Bewertung der bestehenden Massnahmen.
Die Feststellungen werden in ihren verschiedenen Dimensionen — menschlich, organisatorisch, technisch, strukturell und digital — sowie im Hinblick auf ihre Wechselwirkungen untersucht. Dieser Ansatz ermöglicht es, Schwachstellen aufzuzeigen und kohärente, verhältnismässige und priorisierte Verbesserungsmassnahmen vorzuschlagen.
VON DER IDENTIFIKATION DER SCHWACHSTELLEN ZU DEN EMPFEHLUNGEN
Das Audit zielt nicht nur darauf ab, eine Bestandsaufnahme der bestehenden Massnahmen vorzunehmen oder Abweichungen festzustellen. Es soll ermöglichen, Schwachstellen zu verstehen, ihre potenziellen Auswirkungen zu beurteilen und Entscheidungen gezielt auszurichten.
Nach Abschluss der Analyse präsentiert FOCUS die wichtigsten Feststellungen und formuliert Empfehlungen, die auf den Kontext der Organisation abgestimmt sind.
Diese ermöglichen es insbesondere, prioritäre Massnahmen von längerfristigen Verbesserungen zu unterscheiden und die Ressourcen auf jene Massnahmen auszurichten, die im Hinblick auf die identifizierten Risiken am relevantesten sind.
Ziel ist es daher nicht zwangsläufig, die Anzahl der Schutzmassnahmen zu erhöhen, sondern ein Sicherheitsniveau anzustreben, das mit den Bedrohungen, Tätigkeiten und spezifischen Herausforderungen der Organisation im Einklang steht.
Audit der physischen Sicherheit & Security
Audit und physischer Penetrationstest: zwei sich ergänzende Ansätze
Je nach Kontext, Zielsetzung und Reifegrad des Schutzkonzepts kann ein physischer Penetrationstest (Pentest) das Sicherheitsaudit ergänzen.
Der Test wird in einem kontrollierten und vorgängig genehmigten Rahmen durchgeführt und ermöglicht es, bestimmte Schutzmassnahmen, Verfahren und menschliche Reaktionen anhand realistischer Szenarien zu erproben, um deren operative Wirksamkeit zu beurteilen.
Das Audit ermöglicht es, das Schutzkonzept zu analysieren und seine Schwachstellen zu identifizieren. Der Penetrationstest ermöglicht es, bestimmte Schutzmassnahmen unter realitätsnahen Bedingungen zu erproben.
Die Kombination beider Ansätze bietet somit eine ergänzende Sicht auf das Schutzniveau der Organisation: was vorgesehen ist, was tatsächlich umgesetzt wird und was einer realistischen Erprobung tatsächlich standhält.
AN WEN RICHTET SICH DAS SICHERHEITSAUDIT?
Das Audit richtet sich an Unternehmen, Verwaltungen, Institutionen und Organisationen, die eine unabhängige Beurteilung ihres Sicherheitsniveaus wünschen.
Es kann insbesondere in folgenden Fällen durchgeführt werden:
- im Rahmen einer regelmässigen Bewertung des Schutzkonzepts;
- bei Veränderungen der Tätigkeiten, Infrastrukturen oder Bedrohungen;
- im Rahmen eines Transformations- oder Umgestaltungsprojekts;
- bei der Definition oder Überarbeitung eines Sicherheitskonzepts;
- bei Bedarf zur Priorisierung von Investitionen;
- oder nach einem Ereignis, das bestimmte Schwachstellen aufgezeigt hat.
MÖCHTEN SIE IHR SICHERHEITSKONZEPT BEWERTEN?
Jede Anfrage beginnt mit einem ersten Gespräch, um den Kontext zu verstehen, die Ziele und den Umfang des Audits festzulegen und anschliessend den für Ihre Organisation geeigneten Analyseumfang zu bestimmen.