Methoden, die aus Fragen belastbare Arbeit machen
Nicht das Produkt steht am Anfang, sondern die Frage: Was müssen wir verstehen, bewerten, entscheiden, umsetzen oder nachweisen?
Werkzeuge für Kontext, Entscheidung, Steuerung und Assurance
Methoden, die in der Cybersecurity-Domain fachliche Tiefe liefern
C4, Data Flow Diagram (DFD), die sechs STRIDE-Blickrichtungen Spoofing, Tampering, Repudiation, Information Disclosure, Denial of Service und Elevation of Privilege (STRIDE), MITRE ATT&CK (Adversarial Tactics, Techniques & Common Knowledge), Common Attack Pattern Enumeration and Classification (CAPEC), MITRE D3FEND (Detection, Denial, and Disruption Framework Empowering Network Defense), Common Vulnerability Scoring System (CVSS), Application Security Verification Standard (ASVS), Software Assurance Maturity Model (SAMM) und Threat-Landscape-Methoden bleiben erhalten, bestimmen aber nicht die allgemeine GRC-Denklogik.
Erst die Frage, dann die Methode
Der Werkzeugkasten enthält keine Produktliste. Er zeigt Frameworks, Methoden, Modelle, Matrizen, Taxonomien und Referenzwerke, die einen konkreten Arbeitsschritt unterstützen. Ein Werkzeug ersetzt weder fachliche Bewertung noch Entscheidung.
System & Abhängigkeiten
C4, Datenflüsse und Vertrauensgrenzen: Was betrachten wir eigentlich?
2 · BEDROHUNGENThreat Modeling
Vier Fragen, STRIDE und Continuous Threat Modeling: Was kann schiefgehen?
3 · ANGRIFFSVERHALTENATT&CK, CAPEC & D3FEND
Angriffsverhalten und Gegenmaßnahmen strukturiert einordnen.
4 · BEWERTENRisiko bewerten
NIST SP 800-30, CIS RAM und FAIR – unterschiedliche Wege für unterschiedliche Fragen.
5 · SCHWACHSTELLENCVSS richtig einordnen
Technische Schwere beschreiben, ohne daraus automatisch Geschäftsrisiko zu machen.
6 · SOFTWAREASVS & SAMM
Sicherheitsanforderungen prüfen und Software-Security-Fähigkeiten entwickeln.
7 · LAGEBILDBedrohungslage
ENISA-Methodik: Quellen, Zweck, Zielgruppe und belastbare Lagebilder.
LANDKARTEWelche Methode wann?
Vom Asset und Systemkontext bis zu Risikoentscheidung, Control und Evidence.
Aus Methode wird ein Arbeitsartefakt
Die vorhandenen Register und Matrizen bleiben der Ort, an dem Ergebnisse festgehalten und weiterverarbeitet werden.
Asset- & Abhängigkeitsregister
Schutzobjekte und Abhängigkeiten.
Threat Model
System, Bedrohungen, Annahmen und Maßnahmen.
Risikoregister
Bewertbare Szenarien und Entscheidungen.
Steuerungsmatrix
Risiken mit Controls und Verantwortung verbinden.
Nachweismatrix
Umsetzung und Prüfung nachvollziehbar machen.
Keine Produktberatung
Softwareprodukte werden in diesem Bereich grundsätzlich nicht katalogisiert. Konkrete Produkte können nur separat als organisationsinterne Umsetzungshilfe betrachtet werden. Dadurch bleibt die Methode unabhängig von Hersteller, Lizenzmodell und Produktlebenszyklus.