Glossar

Etwas, das die Organisation zur Erfüllung ihrer Aufgaben benötigt oder dessen Beeinträchtigung Auswirkungen auf Geschäftsleistungen haben kann. Dazu können Informationen, Prozesse, Anwendungen, IKT-Komponenten, Dienste und externe Abhängigkeiten gehören.

Verantwortet die fachliche Bedeutung und die Anforderungen eines Assets. Asset Owner, Risk Owner und Control Owner können unterschiedliche Rollen sein.

Begründetes Vertrauen, dass Vorgaben, Controls und Prozesse nicht nur beschrieben oder umgesetzt sind, sondern wie vorgesehen funktionieren. Assurance entsteht durch geeignete Evidence und Prüfung.

MITRE ATT&CK – Adversarial Tactics, Techniques & Common Knowledge. Wissensbasis und Modell für beobachtetes Verhalten von Cyber-Angreifern. ATT&CK strukturiert insbesondere Taktiken, Techniken und Sub-Techniken; es ist keine Risikobewertungsmethode.

Mögliche Abfolge von Schritten zu einem Angriffsziel.

Definierter Sollzustand.

Auswirkung einer Störung, eines Ausfalls oder eines Risikos auf Geschäftsleistung, Ziele oder Verpflichtungen. Erst dieser Bezug macht technische Probleme für die Organisation bewertbar.

Fähigkeit der Organisation. Der englische Fachbegriff Capability wird im Framework verwendet, wenn die Verbindung zu externen Referenzmodellen wichtig ist.

Common Attack Pattern Enumeration and Classification – öffentlich verfügbarer Katalog typischer Angriffsmuster. CAPEC hilft insbesondere dabei zu verstehen, wie bekannte Schwächen ausgenutzt werden können.

Center for Internet Security Risk Assessment Method – Methode zur Informationssicherheits-Risikobewertung im Umfeld der CIS Controls.

Steuerungs- oder Kontrollmechanismus. Ein Control beschreibt, wie ein Ziel, Risiko oder eine Anforderung gezielt beeinflusst wird.

Verantwortet die Ausgestaltung, den Betrieb oder die Pflege eines Controls. Er entscheidet nicht automatisch über das damit behandelte Risiko.

Gezielte Prüfung, ob ein Control wie vorgesehen ausgestaltet und tatsächlich wirksam ist. Vorhandene Dokumentation allein beweist diese Wirksamkeit nicht.

Cybersecurity Framework – hier insbesondere das NIST Cybersecurity Framework 2.0. Es strukturiert Cybersecurity-Risikomanagement über die Funktionen GOVERN, IDENTIFY, PROTECT, DETECT, RESPOND und RECOVER.

Common Vulnerability Scoring System – offenes Framework zur standardisierten Beschreibung technischer Eigenschaften und der Schwere von Schwachstellen. Ein CVSS-Wert ist nicht automatisch das Geschäftsrisiko der eigenen Organisation.

Detection, Denial, and Disruption Framework Empowering Network Defense – MITRE-Wissensgraph für defensive Cybersecurity-Gegenmaßnahmen und deren Beziehungen zu offensiven Techniken.

Methodisches Entwickeln und Testen von Erkennungslogik.

Modell zur Intrusion-Analyse mit vier Kernelementen: Adversary, Infrastructure, Capability und Victim. Es strukturiert Beziehungen beobachteter Angriffsevents, ersetzt aber keine Risikobewertung oder belastbare Attribution.

Enterprise Risk Management – unternehmensweite Steuerung von Risiken im Zusammenhang mit Zielen und Entscheidungen; Cyberrisiken sind dabei eine Risikodimension unter mehreren.

Nachweis. Information oder Artefakt, an dem Umsetzung oder Zustand nachvollzogen werden kann; Evidence allein ist noch kein Wirksamkeitsnachweis.

Bewusst genehmigte, begrenzte Abweichung von einer Vorgabe. Sie braucht Begründung, Verantwortlichkeit, Risikobetrachtung und in der Regel eine Befristung.

Factor Analysis of Information Risk – faktorbasierter Standard zur Analyse der Faktoren, die Informationsrisiken bestimmen. FAIR kann zur qualitativen oder quantitativen Betrachtung genutzt werden; häufig wird Risiko in finanziellen Größen quantifiziert.

Feststellung. Ergebnis einer Prüfung, das einen beobachteten Zustand oder eine Abweichung beschreibt.

Governance, Risk & Compliance – integrierte Steuerung von Zielen, Unsicherheit, Verpflichtungen und Nachweisen.

Begrenzung, die unerwünschtes Systemverhalten verhindern oder begrenzen soll.

Risiko vor Berücksichtigung der dafür vorgesehenen risikomindernden Controls.

Key Performance Indicator – Kennzahl zur Leistung/Zielerreichung.

Key Risk Indicator – Kennzahl für Veränderungen von Risikofaktoren.

Multi-Factor Authentication – Authentisierung mit unterschiedlichen Faktorarten.

NIST Workforce Framework for Cybersecurity. Es beschreibt Cybersecurity-Arbeit unter anderem über Aufgaben (Tasks), Wissen (Knowledge), Fähigkeiten (Skills) und Work Roles.

Erwartetes Ergebnis, das als Bezugspunkt für Governance, Risikoentscheidungen und Wirksamkeitsbewertung dient.

Bindung der Organisation, aus der konkrete Anforderungen entstehen können, etwa aus Recht, Vertrag, interner Entscheidung oder anderen verbindlichen Quellen.

Privileged Access Management – besondere Steuerung privilegierter Zugriffe.

Retrieval-Augmented Generation – externe Inhalte werden in den Modellkontext eingebracht.

Konkrete Aussage darüber, was erfüllt sein muss. Eine Anforderung kann aus einer Verpflichtung, internen Vorgabe, Entscheidung oder fachlichen Notwendigkeit entstehen.

Risiko, das nach Berücksichtigung bestehender oder umgesetzter Controls verbleibt und bewusst bewertet werden muss.

Bewusste Entscheidung, ein bewertetes Risiko beziehungsweise Restrisiko innerhalb festgelegter Entscheidungsbefugnisse zu tragen.

Grundsätzliche Bereitschaft der Organisation, bestimmte Arten und Ausmaße von Risiko im Verhältnis zu ihren Zielen einzugehen oder zu tragen. Konkrete Grenzen werden über Risikotoleranzen operationalisiert.

Rolle mit Mandat, über Behandlung oder Akzeptanz eines konkreten Risikos innerhalb festgelegter Grenzen zu entscheiden. Risk Owner und Control Owner sind nicht automatisch dieselbe Rolle.

Konkrete akzeptable Abweichung oder Schwelle innerhalb des Risikoappetits. Sie unterstützt Entscheidungen und Eskalation, ersetzt aber keine Bewertung des einzelnen Risikos.

Bewusste Behandlung eines Risikos, etwa durch Vermeiden, Mindern, Teilen beziehungsweise Übertragen oder Akzeptieren. Entscheidend sind erwartete Wirkung, Restrisiko und verantwortete Entscheidung.

Software Bill of Materials – strukturierte Stückliste von Softwarekomponenten.

Software Development Life Cycle – Lebenszyklus für Entwicklung, Änderung, Test, Bereitstellung und Pflege von Software.

Security Information and Event Management – Sammlung/Korrelation/Auswertung sicherheitsrelevanter Ereignisse.

Secure Software Development Framework – NIST-Rahmen mit grundlegenden sicheren Entwicklungspraktiken, die in unterschiedliche Software Development Life Cycles integriert werden können.

Merkhilfe für sechs Bedrohungskategorien: Spoofing, Tampering, Repudiation, Information Disclosure, Denial of Service und Elevation of Privilege. STRIDE unterstützt die Bedrohungsidentifikation, ersetzt aber keine vollständige Risikobewertung.

Bewertete Bedrohungsinformationen für konkrete Entscheidungen.

Governance-Modell des Institute of Internal Auditors (IIA), das Rollen von Governing Body, Management sowie unabhängiger Internal Audit und deren Beziehungen unterscheidet. Es ist prinzipienbasiert und keine starre Organisationsvorgabe.

Tactics, Techniques and Procedures – beschreibt auf unterschiedlichen Ebenen, warum ein Angreifer handelt, wie er ein Ziel erreicht und wie das konkrete Vorgehen umgesetzt wird.

Geordnetes Verfahren zur Meldung entdeckter Schwachstellen.

Architekturprinzip, bei dem kein implizites Vertrauen allein aufgrund von Netzwerkstandort oder Zugehörigkeit gewährt wird. Zugriff auf Ressourcen wird explizit authentisiert und autorisiert und kann dynamischen Kontext berücksichtigen.

Nachbetrachtung einer umgesetzten Änderung: Zielerreichung, unerwartete Auswirkungen, Abweichungen und mögliche Verbesserungen werden bewertet.

Strukturierte Ursachenanalyse bei relevanten oder wiederkehrenden Fehlern und Störungen. Sie unterstützt dabei, zugrunde liegende Ursachen zu verstehen und Wiederholungen gezielt zu vermeiden.