Sicherheits-Check

Der Sicherheits-Check beantwortet in rund 15 Minuten die Frage, die Kunden und Cyberversicherer am häufigsten stellen: Wie gut ist Ihre Firma gegen Angriffe und Ausfälle aufgestellt? 30 Fragen in sieben Bereichen ergeben eine Einstufung, die Lücken in der richtigen Reihenfolge und Maßnahmen, die Sie mit einem Klick übernehmen. Der Check ist in jedem Tarif kostenlos, auch ohne bezahltes Produkt.

Voraussetzungen

Ein Konto bei frag.hugo, gleich mit welchem Tarif.
Ihre Rolle ist Hauptadministrator oder Administrator Ihrer Firma. Mitarbeitende ohne Verwaltungsrechte sehen den Check nicht.
Optional: Daten, die Hugo schon kennt, etwa Richtlinien, Schulungen in Hugo Learn, Dienstleister mit AV-Vertrag oder technische Maßnahmen. Daraus schlägt Hugo Antworten vor.

Wo Sie den Check finden

Im Bereich Nachweise (Karte „Sicherheits-Check“) oder im Bereich Informationssicherheit.
Über die Suche: „Sicherheits-Check“.
Haben Sie keinen der beiden Bereiche, zeigt die Startseite die Karte Wie sicher ist Ihre Firma?.

Die Adresse ist app.fraghugo.de/sicherheitscheck.

Schritt für Schritt

1. Check starten

Die Einstiegsseite zeigt, wie der Check abläuft, die sieben Bereiche und rechts Ihre früheren Durchgänge. Klicken Sie Starten. Haben Sie schon begonnen, heißt der Knopf Weitermachen; darunter steht, wie viele Fragen beantwortet sind.

Einstiegsseite „Sicherheits-Check“ mit dem Kasten „So läuft der Check“ (30 Fragen, rund 15 Minuten, 3 Antworten je Frage), dem Hinweis „Selbstauskunft“, der Liste der sieben Bereiche, dem Knopf „Weitermachen“ und rechts drei früheren Durchgängen mit der Stufe „Lücken“

Bereich	Fragen
1 Verantwortung und Regeln	5
2 Zugänge	6
3 Datensicherung	4
4 Updates	3
5 Schutz vor Schadsoftware	4
6 Netz und Geräte	4
7 Notfall und Dienstleister	4

2. Fragen beantworten

Je Bereich stehen die Fragen untereinander. Zehn davon sind Kernfragen; sie zählen doppelt. Unter Was ist gemeint? steht zu jeder Frage eine kurze Erklärung. Antworten Sie mit Ja, Teilweise oder Nein. Bei fünf Fragen gibt es zusätzlich Trifft nicht zu, etwa wenn Sie kein WLAN oder keinen Fernzugriff betreiben; die Erklärung sagt, wann das passt.

Kennt Hugo schon etwas aus Ihren Daten, steht über den Antworten Aus Ihren Daten: mit der Quelle und einem Vorschlag. Der Vorschlag ist gestrichelt umrandet und zählt erst, wenn Sie Bestätigen klicken oder eine andere Antwort wählen.

Frage 3 von 30, Kernfrage, zur jährlichen Schulung aller Mitarbeitenden. Darunter der Kasten „Aus Ihren Daten: Schulungsquote 66 % in Hugo Learn, letzte 12 Monate. Vorschlag: Teilweise. Stimmt das?“ mit dem Knopf „Bestätigen“ und die Antworten Ja, Teilweise (gestrichelt vorgeschlagen) und Nein

Hugo speichert jede Antwort sofort. Sie können jederzeit unterbrechen und später mit Weitermachen fortfahren. Offene Fragen dürfen bis zum Schluss offen bleiben; ein Ergebnis gibt es, wenn alle 30 beantwortet sind.

3. Ergebnis lesen

Nach der letzten Frage klicken Sie Auswerten. Das Ergebnis zeigt:

die Einstufung mit einem Satz dazu und die Zahl der Ja-Antworten, auch bei den Kernfragen,
Je Bereich den Anteil der möglichen Punkte (Ja = 2, Teilweise = 1, Nein = 0; Kernfragen zählen doppelt, „Trifft nicht zu“ zählt nicht mit),
Das zuerst: höchstens acht Maßnahmen in fester Reihenfolge, zuerst Kernfragen mit Nein, dann Kernfragen mit Teilweise, dann die übrigen Nein,
Alle Maßnahmen mit den übrigen Teilweise-Antworten.

Ergebnis eines Sicherheits-Checks: Einstufung „Lücken“, 24 von 30 Fragen mit Ja, 2 Kernfragen mit Nein; rechts je Bereich ein Balken mit Prozentwert; darunter „Das zuerst“ mit drei Maßnahmen, je mit den Knöpfen „In Hugo erledigen“ und „Als Maßnahme übernehmen“

Einstufung	Wann
Solide	mindestens 80 % der möglichen Punkte und keine Kernfrage mit Nein
Lücken	50 bis unter 80 %, oder eine bzw. zwei Kernfragen mit Nein
Dringend	unter 50 %, oder drei und mehr Kernfragen mit Nein

Die Prozentwerte sind abgerundet: 79,7 % stehen als 79 % da und ergeben „Lücken“.

4. Maßnahmen übernehmen

Neben jeder Maßnahme stehen bis zu zwei Knöpfe:

In Hugo erledigen führt zu der Stelle in Hugo, an der Sie die Lücke schließen, zum Beispiel zu den Richtlinien oder zu Hugo Learn. Bei Fragen zu Technik, die Hugo nicht sieht, gibt es den Knopf nicht.
Als Aufgabe übernehmen legt eine Aufgabe in Ihrer Aufgabenliste an, bei einer Kernfrage mit hoher Priorität. Haben Sie den Bereich Informationssicherheit, heißt der Knopf Als Maßnahme übernehmen und legt die Maßnahme dort an.

Eine Maßnahme lässt sich nur einmal übernehmen; danach steht dort „Als Aufgabe übernommen“ bzw. „Als Maßnahme übernommen“. Es wird dabei niemand zugewiesen und keine Mail verschickt.

5. Wiederholen

Machen Sie den Check nach größeren Änderungen oder einmal im Jahr erneut. Jeder abgeschlossene Durchgang bleibt unter Frühere Durchgänge stehen, mit Datum, Ja-Antworten und Einstufung.

Was mit dem Ergebnis passiert

Das Ergebnis bleibt in Ihrer Firma. Andere Firmen sehen es nicht, auch nicht über die Adresse.
Ihr letzter Durchgang wird als Angabe in Ihrem Sicherheitsprofil geführt („Selbstauskunft vom …: 24 von 30 Fragen mit Ja beantwortet …“) und erscheint in der Nachweismappe als Ihre Angabe. Eine Ja-Antwort belegt dort nichts; belegt ist nur, was in Hugo hinterlegt ist.
Den Check gibt es auch ohne Konto auf der Website: IT-Sicherheits-Check für kleine Firmen. Dort bleiben die Antworten in Ihrem Browser.

Woran sich der Check orientiert

Die Fragen und die Bewertung sind eigene Formulierungen von frag.hugo. Der Check orientiert sich an den Themenfeldern der DIN SPEC 27076 und an den Fragen der Cyberversicherer. Die 30 Tage für Sicherheitsupdates in Frage 16 sind ein Arbeitsmaßstab von frag.hugo, keine Vorgabe einer Norm oder eines Versicherers.

Grenzen

Der Check ist eine Selbstauskunft. Ob Ihre Angaben stimmen, prüft niemand.
Er prüft nichts von außen: keine Ports, keine Website, keine Postfächer.
Er stellt kein Zertifikat aus. Wer ein Zertifikat nach ISO 27001 braucht, findet den Weg im Fahrplan zur ISO 27001.
Geben Sie Ihrem Versicherer gegenüber nur an, was zutrifft und was Sie belegen können. Falsche Ja-Antworten in einem Versicherungsantrag können den Schutz kosten.

Häufige Fehler

Kein Ergebnis nach dem Auswerten. Es sind noch Fragen offen; der gelbe Kasten nennt ihre Nummern. Auch unbestätigte Vorschläge zählen als offen.
Ein Vorschlag aus den Daten fehlt. Hugo schlägt nur vor, wo Ihre Daten etwas belegen, etwa eine Schulungsquote erst ab fünf erfassten Beschäftigten. Ein Vorschlag überschreibt nie eine Antwort, die Sie schon gegeben haben.
„Dieses Ergebnis gibt es hier nicht“. Der Link stammt aus einer anderen Firma oder ist veraltet. Öffnen Sie den Check über Zum Sicherheits-Check.
Der Check ist nicht zu sehen. Ihre Rolle hat keine Verwaltungsrechte; fragen Sie den Hauptadministrator Ihrer Firma.