Energie und Versorgung
Behebung geschäftskritischer Schwachstellen für einen Energieversorger
Erfolgsgeschichte
Scalefocus wurde als bevorzugter Technologiepartner ausgewählt, um die Hauptplattform des Kunden sicherheitstechnisch zu prüfen. Ziel war ein einheitlicher und schlanker Prozess für das Bedrohungs- und Schwachstellenmanagement, Penetrationstests sowie Sicherheitsüberprüfungen des Quellcodes zu gewährleisten.
Alle hohen und kritischen Schwachstellen aufgezeigt
Cybersicherheitsrisiko
um 25 % reduziert
Secure Coding Reviews im Entwicklungsprozess verbessert
Der Kunde
Unser Kunde ist ein europäischer Energieversorger mit Fokus auf Energiehandel, Energieerzeugung und Beratung für Stadtwerke. Das Unternehmen wurde als Joint Venture kommunaler, städtischer und regionaler Versorger gegründet. Ziel war es, die gemeinsame Beschaffung auf europäischen Energiemärkten zu organisieren und Synergien zu schaffen.
Die Lösung
Wir identifizierten risikoreiche Infrastrukturkomponenten, indem wir ihre Schwachstellen bewerteten. Gleichzeitig stellten wir Kontrolle über das Risikoniveau in der operativen Umgebung her.
Unser Team war verantwortlich für das Scannen und tiefgehende Penetration Testing mehrerer Anwendungen. Diese standen im Zusammenhang mit Compliance und relevanten Branchenstandards. Die Tests wurden nach Open Web Application Security Project (OWASP), und ISO 27001 durchgeführt.
Zusätzlich führten wir eine umfassende Überprüfung der Quellcode-Sicherheit durch, um potenzielle Sicherheitslücken in der IT-Landschaft des Kunden sichtbar zu machen.
Dabei identifizierten wir verschiedene Probleme in der Codequalität, darunter:
- unsichere Eingabevalidierung
- unzureichender Datenschutz
- unzureichende Fehlerbehandlung
- schwache kryptografische Algorithmen
Die Ergebnisse
Die Durchsetzung von Authentifizierung und Zugriffskontrolle erhöhte das Sicherheitsniveau im gesamten Unternehmen. Dadurch wurde ein sicherer Fernzugriff rund um die Uhr für Mitarbeitende weltweit möglich.
Erzielte Ergebnisse:
- über 24 potenzielle Sicherheitslücken entfernt, davon 5 geschäftskritisch
- mehr als 80 Plattform-Sicherheitstests durchgeführt, davon 56 mit erfolglosen Angriffsversuchen
- 2 vollständige Angriffsvektoren auf Basis der Geschäftslogik entwickelt und ausgeführt
- wiederholbaren Prozess für das Bedrohungs- und Schwachstellenmanagement der Plattform etabliert.