Teile des Leistungsumfangs a) SOC Leistungsumfang Teil 1: Security Event Management (EM) Im Rahmen des Security Event Managements werden Events gespeichert, korreliert und bewertet. Verdächtige Events, welche auf eine Gefahr hindeuten, werden dem Auftraggeber gemeldet. Der Prozessablauf wird hierzu im Security Event Management Ablaufplan festgelegt. Die entsprechenden Quell-Systeme werden vom Auftraggeber definiert. Die Events werden dann innerhalb der Security-Appliance gesammelt und an das zentrale Event Management System beim Auftragnehmer zur Analyse weitergeleitet. Innerhalb der Event Management Plattform beim Auftragnehmer werden die Security Events entgegengenommen und technisch mittels verschiedener Threat-Intelligence-Quellen klassifiziert und nach Möglichkeit mit Informationen angereichert. Die Security Analysten des Auftragnehmers analysieren und bewerten die Events. b) SOC Leistungsumfang Teil 2: Incident Response Incident Response ist die schnelle Reaktion auf Sicherheitsvorfälle, die die Verfügbarkeit, Integrität, Authentizität und Vertraulichkeit der Daten gefährden. Grundlage sind die Indikatoren einer Kompromittierung, die darauf hindeuten, dass die Sicherheitsziele verletzt wurden. Dies umfasst insbesondere: - Analyse des Umfangs des Angriffs und der aktiven Zugangskanäle - Nach Möglichkeit Aussperrung des Angreifers - Beobachtung neuer Angriffsversuche und Ursachenanalyse - Nach Möglichkeit Säuberung manipulierter Systeme - Nennung technischer Empfehlungen für die Verhinderung erneuter Vorfälle Der Auftragnehmer hat bei einem Sicherheitsvorfall jeweils einen Incident Response Ablaufplan zu erstellen, der den Prozessablauf im Sicherheitsfall näher beschreibt und dokumentiert. Ferner ist im Rahmen des Incident Response Ablaufplans eine Risikoeinschätzung der betroffenen Systeme durchzuführen und es hat zeitnah eine erste Meldung an den Auftraggeber zu erfolgen. Zudem hat der Auftragnehmer im Zuge der Incident Response einen Vor-Ort-Support wie folgt