QUELLEN & WAHRHEITSREGEL

Externe Referenz – eigene Synthese klar trennen

Das Framework übernimmt keine fremde Struktur ungeprüft. Externe Modelle liefern belastbare Konzepte; die hiesige Architektur ist eine eigene, kenntlich gemachte Synthese.

OCEG GRC Capability Model 3.5

Integrierter GRC-Ansatz; Objectives, uncertainty, integrity und capability-orientierte Steuerung.

https://www.oceg.org/grc-capability-model-red-book/OCEG GRC Assessment Framework

Trennung von Design Effectiveness und Operating Effectiveness sowie Assessment-/Improvement-Logik.

https://www.oceg.org/grc-standards/NIST CSF 2.0 Quick Start Guides

Profiles, Tiers, Enterprise Risk Management (ERM), Workforce und Informative References als Umsetzungsbausteine.

https://www.nist.gov/cyberframework/quick-start-guides NIST CSF 2.0 Profiles

Current/Target Profiles und Gap-Analyse.

https://www.nist.gov/cyberframework/profiles COSO Enterprise Risk Management

Verknüpfung von Risiko mit Strategie, Zielsetzung und Performance.

https://www.coso.org/enterprise-risk-management ISACA / COBIT 2019

Governance-/Management-Trennung und kontextbezogene Gestaltung von Governance-Systemen.

https://www.isaca.org/resources/cobit NIST SP 1326 · C-SCRM Due Diligence Assessment Quick-Start Guide

Finaler NIST-Leitfaden für Due-Diligence-Bewertungen von IKT-Lieferanten im Cybersecurity Supply Chain Risk Management (C-SCRM). Im Framework dient er als Referenz für strukturierte Lieferantenprüfung vor Beschaffung und bei bestehenden Abhängigkeiten.

https://csrc.nist.gov/pubs/sp/1326/final MITRE ATT&CK

Wissensbasis für beobachtete Angreifer-Taktiken und -Techniken; im Framework als Threat-Knowledge-Referenz genutzt.

https://attack.mitre.org/matrices/enterprise/MITRE CAPEC

Katalog für Angriffsmuster; im Framework als strukturierende Referenz bei Threat Modeling und Angriffspfaden genutzt.

https://capec.mitre.org/MITRE D3FEND

Wissensgraph defensiver Techniken; dient als Referenz, um Angriffstechniken und mögliche Gegenmaßnahmen fachlich zu verbinden.

https://d3fend.mitre.org/FIRST CVSS v4.0

Common Vulnerability Scoring System zur technischen Schwerebewertung von Schwachstellen; nicht mit Geschäftsrisiko gleichzusetzen.

https://www.first.org/cvss/v4.0/OWASP ASVS

Application Security Verification Standard mit überprüfbaren Sicherheitsanforderungen für Webanwendungen.

https://owasp.org/www-project-application-security-verification-standard/OWASP SAMM

Software Assurance Maturity Model für die systematische Weiterentwicklung von Software-Sicherheitspraktiken.

https://owaspsamm.org/NIST SP 800-30 Rev. 1

Leitlinie für Risk Assessments mit Threat Sources/Events, Vulnerabilities, Likelihood und Impact.

https://csrc.nist.gov/pubs/sp/800/30/r1/final CIS RAM

Risk Assessment Method des Center for Internet Security zur risikoorientierten Anwendung der CIS Controls.

https://www.cisecurity.org/insights/white-papers/cis-ram-risk-assessment-method FAIR Standard v3.0

Faktorbasierter Standard zur Analyse und Quantifizierung von Informationsrisiken.

https://www.fairinstitute.org/hubfs/Standards%20Artifacts/Factor%20Analysis%20of%20Information%20Risk%20%28FAIR%29%20Standard%20v3.0%20%28January%202025%29.pdf ENISA Cybersecurity Threat Landscape Methodology

Methodische Referenz zur strukturierten Betrachtung und Aufbereitung von Threat-Landscape-Informationen.

https://www.enisa.europa.eu/sites/default/files/publications/ENISA%20CTL%20Methodology%20RECAST.pdf

WAHRHEITSREGEL

Drei Arten von Aussagen

EXTERN

Verifizierte Referenz

Aussage ist einer belastbaren externen Quelle zuordenbar.

INTERN

Organisationsentscheidung

Aussage gilt, weil sie intern entschieden und dokumentiert wurde.

SYNTHESE

Framework-Synthese

Eigene methodische Verbindung, die nicht als Aussage einer Quelle ausgegeben wird.

Praxisregel: Fachseiten mit starkem Methodenbezug nennen ihre verifizierte methodische Grundlage direkt auf der Seite. Eigene Verknüpfungen zwischen Modellen bleiben als Framework-Synthese erkennbar. Interne Entscheidungen werden nicht als Aussage externer Quellen dargestellt.

NEUE REFERENZ

NIST CSF 2.0 Implementation Examples

NIST · CSF 2.0 Implementation Examples

Beispiele möglicher Umsetzungen zu CSF-Outcomes. Im ISMS-GRC-WEB dienen sie als praktische Gegenprüfung und Ideengeber, nicht als verpflichtender oder vollständiger Kontrollkatalog.

https://www.nist.gov/document/csf-20-implementations-pdf