GRC-WERKZEUGKASTEN · LANDKARTE
Welche Methode hilft bei welcher Frage?
Die Methodenlandkarte verhindert, dass ein gutes Werkzeug für die falsche Frage verwendet wird.
METHODENLANDKARTE
Eine Methode beantwortet immer nur einen Teil der Frage
Die Stärke entsteht durch die richtige Reihenfolge – nicht durch möglichst viele Frameworks.
| Frage | Geeignete Hilfe | Ergebnis | Danach |
|---|---|---|---|
| Was betrachten wir? | Asset & Dependency Register, C4, Data Flow Diagram (DFD) | Systemkontext und Abhängigkeiten | Threat Modeling |
| Was kann schiefgehen? | Four Questions, die sechs STRIDE-Blickrichtungen Spoofing, Tampering, Repudiation, Information Disclosure, Denial of Service und Elevation of Privilege (STRIDE), Continuous Threat Modeling (CTM) | Threats und Annahmen | Szenario formulieren |
| Wie greifen Angreifer vor? | MITRE ATT&CK, MITRE Common Attack Pattern Enumeration and Classification (CAPEC) | Referenzierte Angriffstechniken/-muster | Relevanz im eigenen Kontext prüfen |
| Wie können wir entgegenwirken? | MITRE D3FEND, Control Frameworks | mögliche Gegenmaßnahmen | Control auswählen und verantworten |
| Wie bewerten wir das Risiko? | NIST SP 800-30, CIS Risk Assessment Method (CIS RAM), optional Factor Analysis of Information Risk (FAIR) | nachvollziehbare Bewertung | Risk Treatment / Acceptance |
| Wie schwer ist eine Schwachstelle technisch? | Common Vulnerability Scoring System (CVSS) v4.0 | standardisierte Severity-Information | Umgebung und Business Impact ergänzen |
| Welche AppSec-Anforderungen prüfen wir? | OWASP Application Security Verification Standard (ASVS) | prüfbare Anforderungen | Testing / Evidence |
| Wie reif ist Software Security? | OWASP Software Assurance Maturity Model (SAMM) | Maturity Assessment und Roadmap | Verbesserungsplan |
| Wer trägt welche Governance-Rolle? | IIA Three Lines Model | Rollen und Beziehungen im Governance-System | Ownership / Assurance sauber trennen |
| Welche Cybersecurity-Arbeit muss jemand wirklich können? | NIST NICE Framework | Tasks, Knowledge, Skills und Work Roles | Rollen, Kompetenz und Vertretung planen |
| Wie entscheiden wir Zugriff ohne pauschales internes Vertrauen? | NIST Zero Trust Architecture | Prinzipien für ressourcen- und kontextbezogene Zugriffskontrolle | Identity-/Access-Design ableiten |
| Wie prüfen wir ein Control belastbar? | NIST SP 800-53A | Examine, Interview, Test | Finding / Assurance |
| Wie strukturieren wir KI-Risikomanagement? | NIST AI RMF | Govern, Map, Measure, Manage | AI Change / Risiko / Monitoring |
MERKSATZ
Kein Framework bekommt mehr Verantwortung, als es tatsächlich trägt
C4 ist kein Threat Model. STRIDE ist keine Risikobewertung. ATT&CK ist keine Risikomatrix. CVSS ist kein Geschäftsrisiko. Evidence ist noch keine Assurance. Das GRC-Framework verbindet die Ergebnisse – ohne die Grenzen der einzelnen Methoden zu verwischen.