Framework / Methode / Kontrollen

methodV2.9

METHODE

Kontrollen

Kontrollen übersetzen Sicherheitsziele und Risiken in überprüfbare Maßnahmen.

VERSTEHEN

Worum geht es?

Eine Kontrolle ist nur dann wertvoll, wenn ihr Zweck klar ist, sie umgesetzt wird und ihre Wirksamkeit überprüfbar bleibt.

Ziel

Welches Risiko oder Schutzziel soll beeinflusst werden?

Umsetzung

Technische, organisatorische oder personelle Maßnahme etablieren.

Evidenz

Nachweisen, dass die Kontrolle existiert und funktioniert.

ANWENDEN

Wie aus Risiken konkrete Schutzwirkungen werden

WIRKUNG SICHERN

01Risiko / ZielSchutzziel eindeutig festlegen

02KontrollePassende Kontrolle festlegen

03OwnerVerantwortung eindeutig zuordnen

04EvidenzWirksamkeit nachvollziehbar belegen

05WirksamkeitTatsächliche Wirkung überprüfen

Die Schritte greifen ineinander. Erkenntnisse und Veränderungen führen zurück in den Kreislauf.

BEISPIEL AUS DEM ALLTAG

Ein ausgeschiedener Mitarbeiter hat noch ein aktives Benutzerkonto

01 Risiko / Ziel

Das Ziel festlegen: Konten ausgeschiedener Mitarbeitender dürfen nicht unbemerkt aktiv bleiben.

02 Kontrolle

Als Kontrolle den regelmäßigen Abgleich zwischen aktuellem Personalbestand und vorhandenen Benutzerkonten festlegen.

03 Owner

Verantwortung dafür benennen, wer den Abgleich durchführt und wer gefundene Abweichungen entscheidet beziehungsweise behebt.

04 Nachweise

Abgleich, Treffer und Bearbeitung so dokumentieren, dass später nachvollziehbar ist, was geprüft wurde.

05 Wirksamkeit

Regelmäßig bewerten, ob die Kontrolle verwaiste Konten zuverlässig und rechtzeitig erkennt.

Wichtig: Eine Kontrolle ist kein Selbstzweck. Sie muss zu einem konkreten Risiko oder Ziel passen und später erkennen lassen, ob sie tatsächlich wirkt.

FÄHIGKEITEN

Welche Fähigkeiten müssen zusammenspielen?

CAPABILITYGovernance & SicherheitssteuerungRichtung, Verantwortung, Entscheidungen und Aufsicht wirksam verbinden.→CAPABILITYTransparenz, Nachweis & VerbesserungWirksamkeit durch Evidenz, Prüfung, Kennzahlen und Verbesserung sichtbar machen.→CAPABILITYRisiko- & ResilienzmanagementRisiken verstehen und kritische Leistungen auch unter Störung steuerbar halten.→

VERNETZEN

Im Framework weiterarbeiten

Risk ManagementKontrollen aus Risiken ableiten→NachweiseEvidenz sichern→Testing & AssuranceWirksamkeit prüfen→OwnershipKontrollverantwortung→

MERKSATZ

Kontrollen

Eine Kontrolle ist kein Häkchen. Sie muss einen bekannten Zweck erfüllen und ihre Wirksamkeit belegbar machen.