Seminar WithSecure Elements Exposure Management – Compliance, Governance und Nachweisführung

Eine Plattform erzeugt Daten und Handlungsvorschläge, aber keine automatische Konformität. Erst definierte Kontrollziele, klare Verantwortlichkeiten und belastbare Nachweise machen Exposure Management zu einem steuerbaren Bestandteil der Sicherheitsgovernance.

Inhaltsübersicht

• Zielsetzung
• Zielgruppe
• Voraussetzungen
• Seminarinhalte
• Praxisübungen
• Methodik

Zielsetzung

• Exposure-Management-Scope und Kontrollziele aus Schutzbedarf und Geschäftsrisiken ableiten
• Verantwortlichkeiten, Freigaben, Eskalationen und Risikobehandlung verbindlich festlegen
• Technische Plattformdaten in belastbare Nachweise und Managementaussagen überführen
• Ausnahmen, Auditfragen und Wirksamkeitsprüfungen ohne Scheinkonformität bearbeiten

Zielgruppe

Informationssicherheit, Governance Risk and Compliance, CISO-Organisation, Datenschutz, IT-Risikomanagement, interne Revision, Service Management und Plattformverantwortung.

Voraussetzungen

Grundkenntnisse in Informationssicherheitsmanagement, Risikobehandlung und organisatorischen Kontrollsystemen.

Seminarinhalte

Tag 1 – Governance-Modell und Kontrollziele

1. Geschäftsprozesse, kritische Services und relevante technische Bereiche in den Scope aufnehmen.
2. Schutzbedarf, Risikotoleranz und regulatorische oder vertragliche Anforderungen erfassen.
3. Kontrollziele für Asset-Abdeckung, Scan-Aktualität, Priorisierung, Bearbeitung und Nachprüfung formulieren.
4. Rollen für Eigentum, Analyse, Freigabe, Remediation, Risikoakzeptanz und Kontrolle zuordnen.
5. Bearbeitungsfristen nach Risikoklasse und Geschäftsrelevanz festlegen.
6. Ausnahmeprozess mit Begründung, kompensierender Kontrolle, Ablaufdatum und Genehmigung definieren.
7. Governance-Modell gegen praktische Betriebsfähigkeit und messbare Datenquellen prüfen.

Tag 2 – Nachweise, Audit und kontinuierliche Kontrolle

1. Plattformberichte und technische Evidenz einem Kontrollziel eindeutig zuordnen.
2. Nachweispaket aus Scope, Methode, Zeitraum, Befundstatus, Entscheidung und Nachkontrolle zusammenstellen.
3. Datenlücken und nicht abgedeckte Systeme transparent ausweisen.
4. Managementbericht mit Risikoentwicklung, Ausnahmen und erforderlichen Entscheidungen strukturieren.
5. Auditfragen zu Vollständigkeit, Aktualität und Wirksamkeit anhand gespeicherter Nachweise beantworten.
6. Kontrollversagen von bloßen Einzelbefunden unterscheiden und Korrekturmaßnahmen ableiten.
7. Reviewkalender für operative, taktische und strategische Governance-Sitzungen aufbauen.

Praxisübungen

Übung 1: Kontrollmatrix für Exposure Management

Ein Unternehmen muss technische Exposition regelmäßig prüfen und die Bearbeitung kritischer Risiken nachweisen.

1. Kontrollziele nach Asset-Abdeckung, Bewertung, Remediation und Nachkontrolle gliedern.
2. Pro Kontrollziel Verantwortlichen, Frequenz, Datenquelle und Nachweis festlegen.
3. Grenzwerte und Eskalationsregeln ergänzen.
4. Ausnahme- und Vertretungsregeln aufnehmen.
5. Matrix auf Lücken und nicht messbare Formulierungen prüfen.

Kontrollpunkt: Jedes Kontrollziel ist messbar, besitzt einen eindeutigen Eigentümer und kann mit konkreter Plattform- oder Prozessinformation belegt werden.

Übung 2: Auditfähiges Nachweispaket zusammenstellen

Für einen kritischen Service wird die Risikobehandlung eines Quartals geprüft.

1. Scope und technische Abdeckung dokumentieren.
2. Wesentliche Befunde und Angriffspfade mit Bewertungsdatum erfassen.
3. Entscheidungen, Verantwortliche und Fristen nachweisen.
4. Umgesetzte Maßnahmen und erneute Prüfung zuordnen.
5. Restexposition und genehmigte Ausnahmen transparent darstellen.

Kontrollpunkt: Das Paket ermöglicht die Rückverfolgung vom Kontrollziel über den Befund und die Entscheidung bis zur Wirksamkeitsprüfung.

Methodik

Governance-Modelle werden nicht abstrakt behandelt, sondern mit Kontrollmatrizen, Rollenmodellen, Ausnahmefällen und Nachweispaketen aufgebaut. Die Schulung trennt technische Unterstützung ausdrücklich von rechtlicher oder regulatorischer Garantie.