Seminar DORA Resilienztests und Testmanagement

Beschreibung

Ein Testprogramm muss die relevanten Risiken einer Geschäftsleistung abdecken und zu belastbaren Aussagen über die Wirksamkeit von Kontrollen führen. Das Seminar entwickelt diesen Ansatz aus dem Serviceportfolio eines fiktiven Finanzunternehmens. Die Auswahl reicht von technischen Prüfungen bis zu Wiederherstellungs- und szenariobasierten Übungen.

Im Mittelpunkt stehen nachvollziehbare Ziele, geeignete Prüfer, kontrollierte Durchführung und die konsequente Behandlung erkannter Schwächen. Die Auswahl von Testarten wird mit Kritikalität, Änderungen und verfügbaren Nachweisen begründet. Vertiefte bedrohungsgeleitete Penetrationstests werden als gesondertes Verfahren für die entsprechend bestimmten Unternehmen eingeordnet.

Lernziele

• Ein risikoorientiertes Testprogramm mit ausreichender Serviceabdeckung entwerfen.
• Testarten, Prüftiefe und Durchführungsvoraussetzungen sachgerecht auswählen.
• Testfälle mit messbaren Kriterien und dokumentierten Beobachtungen bearbeiten.
• Befunde bis zur überprüften Behebung und Wiederholungsprüfung verfolgen.

Seminarinhalte

Inhaltsübersicht: Testpflichten und Geltungsprofil; Testarten und Testmatrix; Organisation und sichere Durchführung; Testfälle und Dokumentation; Befunde und erneute Prüfung.

Testpflichten und Geltungsprofil

• Anforderungen nach Unternehmenskategorie und anwendbaren Erleichterungen einordnen.
• Risikobasierte Planung und erforderliche Abdeckung kritischer oder wichtiger Funktionen bestimmen.
• Testprogramm mit Risikomanagement, Änderungen und Kontrollsystem verbinden.

Testarten und Testmatrix

• Schwachstellenprüfungen, Konfigurationskontrollen, Leistungs- und Kompatibilitätstests zuordnen.
• Szenariobasierte Übungen, Wiederherstellungstests und Penetrationstests unterscheiden.
• Prüfziele, Abhängigkeiten und relevante Dienstleister in einer Testmatrix abbilden.

Organisation und sichere Durchführung

• Unabhängigkeit, Qualifikation und Interessenkonflikte der Prüfer berücksichtigen.
• Freigaben, Testdaten, Beobachtungsfenster und Rückfallmaßnahmen festlegen.
• Produktionsrisiken sowie den Umgang mit vertraulichen Ergebnissen kontrollieren.

Testfälle und Dokumentation

• Vorbedingungen, Schritte, Erwartungswerte und Abnahmekriterien präzisieren.
• Nachweise, Zeitpunkte und Abweichungen konsistent aufzeichnen.
• Nicht ausgeführte oder nicht aussagekräftige Tests als offene Punkte behandeln.

Befunde und erneute Prüfung

• Schweregrad, Geschäftsbezug und verbleibendes Risiko einer Feststellung bewerten.
• Korrekturmaßnahmen, Verantwortliche und Fristen mit Prüfbarkeit versehen.
• Nachtests und Managementberichte mit dem ursprünglichen Testziel abgleichen.

Praxisworkshop

1. Das vorgegebene Serviceportfolio in eine risikobasierte Testmatrix übertragen.
2. Testlücken erkennen und geeignete zusätzliche Prüfungen auswählen.
3. Zwei Testfälle mit Voraussetzungen, Schritten und Abnahmekriterien formulieren.
4. Einen Test anhand vorbereiteter Ereignis- und Messdaten durchführen.
5. Befunde priorisieren und ein Behebungs- sowie Nachtestverfahren festlegen.
6. Die Testabdeckung und Aussagegrenzen im gegenseitigen Review beurteilen.