Keine Richtlinien, keine Zertifizierung, kein Auftrag: Wie Focus Technology Europe das Richtlinienmanagement zum festen Bestandteil seines Standard-Stacks machte

Als Versicherer und Cyber Essentials begannen, Nachweise einzufordern, brauchte Focus Technology Europe einen besseren Weg, um Kunden bei der Ordnung ihrer Richtlinien zu unterstützen.

Focus Technology Europe ist ein achtköpfiger MSP mit Sitz in Cornwall, der Unternehmen aus den Bereichen Gastgewerbe, professionelle Dienstleistungen und Fertigung betreut.

Für viele dieser Kunden fungiert Focus faktisch als deren IT-Abteilung. Die Zusammenarbeit geht damit weit über den reinen Systembetrieb hinaus: Das Team berät seine Kunden strategisch und sorgt dafür, dass die Technologie die Entwicklung des Unternehmens aktiv unterstützt.

Und zunehmend drehten sich diese Gespräche um ein Thema, das viele kleinere Unternehmen bis dahin übersehen hatten: Richtlinien.

Cyberversicherer verlangten mehr Nachweise darüber, wie Unternehmen ihre Sicherheitsrisiken steuern. Cyber Essentials setzte voraus, dass Organisationen belegen können, dass angemessene Prozesse und Kontrollen tatsächlich vorhanden sind.

Das Problem: Viele Kunden konnten kaum etwas vorweisen.

Als die Frage nach Richtlinien plötzlich entscheidend wurde

Bevor diese Anforderungen zum Standard wurden, war das Richtlinienmanagement bei Kunden oft reine Ad-hoc-Arbeit, sagt Andrew Davenport, CEO und Gründer von Focus Technology Europe.

Manche hatten überhaupt keine Richtlinien. Andere verfügten über Dokumente, die seit Jahren nicht überprüft worden waren, oder über Vorlagen aus dem Internet, die für ein anderes Land verfasst waren oder schlicht nicht zum Unternehmen passten.

Und dann fragte ein Versicherer oder Auditor nach Nachweisen.

„Entweder bekamen wir gar nichts – oder die Kunden standen plötzlich mit leeren Händen da und hatten uns absolut kein Material zu schicken.“

Die Kunden wandten sich an Focus und fragten, ob sie nicht einfach die Richtlinien des MSP übernehmen könnten.

Doch eine Sicherheitsrichtlinie lässt sich nicht einfach von einem anderen Unternehmen kopieren, mit dem eigenen Firmennamen versehen und als erledigt abhaken. Sie muss abbilden, wie die jeweilige Organisation tatsächlich arbeitet.

Und es ging um weit mehr als das Bestehen eines Audits.

Andrew erinnert sich an einen Kunden, der Cyber Essentials anstrebte, weil wichtige Aufträge davon abhingen. Zunächst sah der Kunde die Zertifizierung als reine Pflichtübung – doch Focus war nicht bereit, Kontrollen ohne die zugehörigen Nachweise abzuzeichnen.

Andrew bringt es so auf den Punkt:

„Wenn die Richtlinien oder die Zertifizierung fehlen, bekommt man den Auftrag einfach nicht.“

Was früher eine administrative Nebensache war, entschied nun unmittelbar darüber, ob ein Kunde neue Aufträge gewinnen konnte.

Richtlinienmanagement skalierbar machen

Focus wusste bereits, welcher Aufwand damit verbunden ist.

Als ISO 27001-zertifiziertes Unternehmen hatte man den Prozess der internen Richtlinienerstellung selbst durchlaufen. Als zuvor spezialisierte juristische Unterstützung hinzugezogen wurde, kostete allein ein professionell ausgearbeiteter Vertrag rund £5,000.

Und das war ein einziges Dokument.

Laut Andrew nutzt ein typischer Focus-Kunde fünf bis zehn Richtlinien. Jeden kleinen oder mittelständischen Kunden einzeln beauftragen zu lassen, wäre kaum praktikabel gewesen.

Generische Vorlagen aus dem Internet herunterzuladen war ebenfalls keine überzeugende Alternative.

Focus brauchte eine Lösung, die sich in den eigenen Managed Service integrieren ließ: einfach für das eigene Team zu administrieren, preislich attraktiv genug für den Rollout über den gesamten Kundenstamm hinweg und über das reine Richtlinienmanagement hinaus nutzbar.

Der MSP prüfte mehrere Optionen, bevor die Wahl auf usecure fiel.

Die Benutzerfreundlichkeit war entscheidend, denn Focus wollte nicht, dass Techniker ihre Zeit mit der Verwaltung eines weiteren komplizierten Produkts verbringen. Der Preis war entscheidend, weil sich der Service für die Kunden rechnen musste. Und das Team wollte einen Anbieter, mit dem sich eine langfristige Partnerschaft aufbauen lässt.

Für Andrew hat usecure alle drei Punkte erfüllt.

„Nicht nur wegen der Qualität des Produkts, der einfachen Oberfläche, dem unkomplizierten Onboarding der Kunden und dem wirklich hervorragenden Preis-Leistungs-Verhältnis, sondern weil usecure auch genau die Art von Unternehmen war, mit dem wir zusammenarbeiten wollten.“

Focus war von der Plattform so überzeugt, dass sie auch intern eingesetzt wurde.

Richtlinien waren der Einstieg, nicht das Ganze

Für viele Focus-Kunden war der Zugang zu sofort einsatzbereiten Richtlinienvorlagen der erste Anstoß.

Statt online zu recherchieren oder jede Richtlinie von Grund auf neu zu erstellen, konnten sie mit uPolicy Richtlinien verteilen und dokumentieren, dass Mitarbeitende diese gelesen und bestätigt haben.

Doch die gesamte usecure Plattform lieferte Focus einen weiteren Baustein des Security-Stacks, den das Unternehmen standardisieren wollte: den menschlichen Faktor in der Cybersicherheit.

Security-Awareness-Trainings, Phishing-Simulationen und das Monitoring kompromittierter Zugangsdaten ließen sich direkt neben dem Richtlinienmanagement abbilden, statt über separate Tools bereitgestellt zu werden.

Das war wichtig, denn einige Kunden standen Awareness-Trainings anfangs skeptisch gegenüber.

Andrew berichtet, dass selbst einige der eher „altgedienten und zynischen“ Nutzer bei Focus Technology Europe ihre Meinung änderten, sobald sie die Plattform nutzten.

„Die Videos und Animationen gefallen uns wirklich außerordentlich gut. Sie machen tatsächlich Spaß, und die Quizfragen sind sinnvoll. Wir verstehen wirklich, worum es geht.“

Focus nutzt das Reporting zudem intern und kann damit die abgeschlossenen Mitarbeiterschulungen als Teil des eigenen ISO 27001-Audit-Trails nachweisen.

Da die eigenen Techniker dieselbe Plattform selbst verwenden, unterstützen sie Kunden aus der Praxis heraus, statt lediglich ein weiteres Produkt weiterzuverkaufen.

Von über 85 % Risiko auf unter 20 %

Das deutlichste Ergebnis für Focus zeigt sich an der Entwicklung der Risikowerte bei den Kunden.

Laut Andrew lagen Kunden zu Beginn im Durchschnitt bei einem Risikofaktor von über 85 % – ein Spiegelbild der Wissenslücken im Bereich Sicherheit innerhalb ihrer Belegschaft.

Nach der Einführung kontinuierlicher Awareness-Trainings sanken diese Werte schnell.

„Es war großartig zu sehen, wie unsere Kunden innerhalb kürzester Zeit von einem durchschnittlichen Risikofaktor von über 85 % auf unter 20 gekommen sind.“

Das Reporting liefert Focus etwas Greifbares für die regelmäßigen Kundentermine.

Statt lediglich zu bestätigen, dass Schulungen abgeschlossen wurden, kann das Team zeigen, wie sich das Risiko im Zeitverlauf verändert, Nutzer identifizieren, die zusätzliche Unterstützung benötigen, und Trainings anpassen, sobald neue Lücken sichtbar werden.

Für die Kunden wird der Fortschritt dadurch sichtbar.

Für Focus wird Security Awareness so zu einem laufenden Managed-Service-Thema statt zu einem jährlichen Pflichthaken.

Tausende an potenziellen Kosten für Richtlinien eingespart

Auch beim Policy-Management gibt es einen handfesten Kosten- und Zeitvorteil.

Laut Andrew benötigen Focus-Kunden in der Regel zwischen fünf und zehn Richtlinien.

Seine eigene Erfahrung zeigt, wie teuer die individuelle Erstellung solcher Dokumente werden kann: Ein einzelner juristischer Spezialvertrag kostete Focus rund 5.000 £.

Das heißt nicht, dass jede Richtlinie 5.000 £ kosten würde – es verdeutlicht aber, mit welchen Kosten MSPs und ihre Kunden rechnen müssen, wenn jedes Dokument einzeln in Auftrag gegeben werden muss.

Da die Richtlinienbibliothek bereits über usecure verfügbar ist, muss Focus seine Kunden nicht länger darauf verweisen, jedes Dokument einzeln zu beschaffen, oder stundenlang nach Vorlagen fragwürdiger Qualität suchen.

Andrew bringt es so auf den Punkt:

„usecure übernimmt die ganze Schwerstarbeit. Das spart Stunden an Zeit und enorm viel Geld.“

Vom ersten Tag an fester Bestandteil des Standard-Stacks

Focus ist inzwischen einen Schritt weitergegangen und bietet usecure nicht mehr nur als optionales Add-on an.

Es ist fester Bestandteil des Standard-Technologie-Stacks des MSP.

Jeder Neukunde erhält es automatisch.

Das passt zu der Art, wie Focus sein gesamtes Serviceangebot rund um Cyber Essentials aufgebaut hat: Die zentralen Tools und Kontrollen sind bereits implementiert, bevor ein Kunde mit dem Wunsch nach einer Zertifizierung auf das Unternehmen zukommt.

Außerdem bleibt das Angebot dadurch einfach.

Statt zu entscheiden, welche Kunden Security Awareness, Policy-Management, Phishing-Simulationen oder Exposure-Monitoring erhalten sollen, kann Focus bei allen Neukunden denselben Standard etablieren.

Und darauf lassen sich weitere Services aufbauen.

Für Kunden ohne eigene HR-Ressourcen entwickelt Focus derzeit einen monatlichen Reporting-Service: Das Team liefert die Auswertungen und geht aktiv auf Mitarbeitende zu, die zugewiesene Security-Awareness-Trainings noch nicht abgeschlossen haben.

Die Plattform bildet das Fundament. Focus baut den Managed Service darum herum auf.

„Im Ernst: Macht es einfach“

Andrews Empfehlung an andere MSPs ist denkbar unkompliziert.

Auf einer Branchenveranstaltung stand er kürzlich am usecure-Stand neben dem Inhaber eines anderen MSP.

Das Gespräch übernahm er kurzerhand selbst.

„Ich sagte: Im Ernst, macht es einfach. Ihr werdet es nicht bereuen.“

Für Focus Technology Europe liegt der Wert darin, mit ein und demselben Service gleich mehrere Probleme zu lösen.

Kunden haben ihre Richtlinien griffbereit, wenn Versicherer, Auditoren oder Zertifizierungsanforderungen sie verlangen. Mitarbeitende erhalten fortlaufende Security-Awareness-Schulungen. Focus erhält Reportings, die sich direkt in Kundengesprächen einsetzen lassen. Und die gesamte Plattform lässt sich einheitlich als Teil des Standard-Stacks des MSP ausrollen.

Das Richtlinienmanagement war für viele Kunden vermutlich der entscheidende Anstoß, den Service zu buchen.

Am Ende hat Focus damit einen deutlich skalierbareren Weg gefunden, den Faktor Mensch in der Sicherheit über den gesamten Kundenstamm hinweg zu steuern.

Richtlinienmanagement einfacher skalieren

Für MSPs wird Richtlinienmanagement vor allem dann aufwendig, wenn jeder Kunde bei null anfängt.

usecure vereint Verteilung und Bestätigung von Richtlinien, Security-Awareness-Schulungen, Phishing-Simulationen und das Monitoring kompromittierter Zugangsdaten in einer Plattform, die für MSPs entwickelt wurde.

Sehen Sie selbst, wie usecure Ihnen dabei hilft, Human Risk Management fest in Ihr Standard-Serviceangebot zu integrieren – ohne zusätzlichen Verwaltungsaufwand.