Cybersicherheit und Compliance Dienstleistungen

Cybersicherheitsdienste schützen Ihre Systeme vor realen Cyber-Bedrohungen. Wir suchen nach Schwachstellen und härten die Architektur, um Ihre Umgebung dann kontinuierlich zu überwachen, damit Probleme erkannt werden, bevor ein Angreifer sie findet. Compliance-Dienste belegen, dass dieser Schutz einem bestimmten Standard wie ISO 27001, HIPAA oder SOC 2 standhält, und liefern die Nachweise, die ein Auditor für seine Freigabe benötigt. Beide Bereiche sind eng miteinander verknüpft: Eine Kontrollmaßnahme, die einen Angriff abwehrt, ist gleichzeitig die Maßnahme, die Ihr Auditor dokumentiert sehen möchte. Wir bieten beides zusammen an, sodass die Arbeit, die Sie in Ihre Sicherheit investieren, Sie gleichzeitig der Zertifizierung näherbringt.

Wir konzentrieren uns auf regulierte Branchen, in denen eine Sicherheitslücke schnell zu einem Compliance-Problem wird: Gesundheitswesen und Medizintechnik, Industrie und Fertigung, Automotive sowie vernetzte Logistik. Im Gesundheitswesen arbeiten wir nach HIPAA, IEC 62304 und ISO 13485. Industrie- und OT-Systeme werden nach IEC 62443 entwickelt, Automotive nach ISO 21434 und ISO 26262 sowie Logistikplattformen nach Anforderungen wie C-TPAT und GxP. Da wir Hardware und Firmware gemeinsam mit Software entwickeln, erstreckt sich unsere Sicherheitsarbeit auf das gesamte Produkt, vom Gerät bis in die Cloud.

Yalantis verfügt über die Zertifizierungen ISO 27001 für Informationssicherheit und ISO 27701 für Datenschutz sowie ISO 9001 für Qualitätsmanagement, und wir erfüllen die DSGVO-Vorgaben. Diese werden durch ein integriertes Managementsystem unter der Leitung unseres CISO unterstützt, sodass bei jedem Projekt dieselben Kontrollen gelten. Über unsere eigenen Zertifizierungen hinaus besteht ein Großteil unserer Arbeit darin, Kunden dabei zu unterstützen, ihre eigenen zu erreichen – sei es für ein Medizingerät nach ISO 13485, ein industrielles System nach IEC 62443 oder eine SOC 2-Zertifizierung. Die Frameworks, die wir unterstützen, sind in der Compliance-Tabelle oben aufgeführt.

Sie können uns auf drei Arten beauftragen. Ein Cybersicherheitsberatungsprojekt ist der leichteste Einstieg und eignet sich gut für eine Bestandsaufnahme, eine Roadmap oder eine zweite Meinung zu einem bestehenden Programm. Ein projektbasiertes Engagement passt zu einem definierten Umfang und Zeitrahmen, von einem einzelnen Audit bis hin zu einem vollständigen Build für sichere Entwicklung. Ein Managed Engagement bindet ein Team ein, das Erkennung und Reaktion steuert und Ihre Compliance für Produkte aufrechterhält, die sich bereits in der Produktion befinden. Die meisten Kunden beginnen mit einer Bestandsaufnahme und wachsen dann in ein Projekt oder eine Managed-Partnerschaft hinein, sobald der Umfang klar wird.

Die Sicherheit wird von einem spezialisierten Cybersecurity-Unternehmen innerhalb unserer aus vier Firmen bestehenden Gruppe geleitet, das von einem CISO geführt und von einem Security Center of Excellence unterstützt wird. Es verfügt über eine eigene Führung und eigene Standards, sodass Sicherheit bei jedem Projekt echte Verantwortlichkeit besitzt. Unser integriertes Managementsystem sorgt für konsistente Informationssicherheit und Compliance über alle Projekte hinweg, und unser internes F&E-Labor in Warschau ermöglicht es uns, die Hardware- und Firmwaresicherheit unter einem Dach zu validieren. Seit über 17 Jahren liefern wir Lösungen für regulierte Kunden wie Toyota Tsusho, Home Connect für Bosch und KPMG.

Unsere Cybersecurity-Testservices umfassen statische und dynamische Anwendungstests (SAST und DAST), Dependency- und Infrastructure-as-Code-Scans, Cloud-Konfigurationsprüfungen anhand von CIS-Benchmarks sowie Penetrationstests im vollen Umfang. Statische und dynamische Tests erkennen Fehler auf Code-Ebene frühzeitig, und Scans halten Risiken durch Drittanbieter und IaC unter Kontrolle. Penetrationstests validieren anschließend, wie sich das Gesamtsystem gegen einen realen Angreifer schlägt. Wir wählen die passende Kombination für jedes Projekt basierend auf Ihrem Tech-Stack und Bedrohungsmodell sowie dem zu erfüllenden Standard aus.

Wir integrieren Sicherheit vom ersten Commit an. Das bedeutet sicheres Programmieren nach dem OWASP-Standard und Code-Reviews bei jeder Änderung, wobei Daten sowohl bei der Übertragung als auch im Ruhezustand verschlüsselt werden. In der Produktion ergänzen wir eine Web Application Firewall und ein zentralisiertes Protokollierungs- und Aufzeichnungssystem sowie kontinuierliche Überwachung durch SIEM-Plattformen wie Microsoft Sentinel oder Splunk. Für Tests und Scans verlassen wir uns auf Tools wie Burp Suite, OWASP ZAP, Nessus und Snyk. Das Ziel ist Software, die von der Entwicklung bis zum täglichen Betrieb widerstandsfähig bleibt.