Schwachstellen/en

In HITGuard a vulnerability analysis is a record of deviations from a desired target state. It is also called a "review". It is the central building block for detecting, assessing and specifically treating problems, weaknesses or deviations. This article describes how you carry out a review from initial creation to completion, how you reassess results later and how you evaluate the results.

As an expert or professional user you will find all reviews under Risk management → Vulnerabilities. You see all reviews that were created in this management system. You can create new reviews or send them out to be answered. Likewise, you can also download the reviews as a PDF or Word report.

Deviation analysis and review result

A review records the deviations from the target state. This often takes place in the form of questionnaires, whereby audit questions answered negatively are then treated as deviations. Detected deviations can be provided directly with measures (for elimination) and controls (for monitoring) and assigned to a risk.

HITGuard distinguishes two types, which run largely the same in the wizard:

• Gap analysis: A questionnaire-supported review on the basis of a knowledge base. With the structured questionnaires you can, for example, determine the degree of fulfillment of a norm. As a result, changes in the template knowledge base later impact the gap analysis, for example when the template is revised and updated. In deviation analyses, this can play a role, for example, in reassessments (see below).
• Review result: Entering findings without a template, for example from the report of an external auditor. Here you do not access a knowledge base, but enter everything - question answer and justiication - directly into the system.

Example: You enter the findings from an external pentest as a review result. If you instead want to check the maturity level according to ISO 27001 or the BSI IT-Grundschutz compendium yourself, you choose a deviation analysis with the appropriate knowledge base.

Step-by-step guide

Overview of the reviews

Regardless of the type of review, the steps in the wizard are essentially the same:

1. Create and save review
2. Add test objects and activate review
3. Answer review objects (or request answering in the self assessment)
4. Treat deviations
5. Complete review

Step 1: Create review

Under Risk management → Vulnerabilities Experts and Professionals can create reviews. To edit, double-click a review. You create a new review via the Plus button:

• Gap analysis: Click directly on the Plus button.
• Review result: Open the dropdown menu with the small triangle on the plus button and select Enter review results.

Create review – step 1

In the first step you record the master data of the review. Here we explain all fields:

Mandatory fields:

• OrgUnit: The organizational unit responsible for the review, or the organizational unit being reviewed.
• Name & description: Record here what the purpose of the review is.
• Interview partner: These are the people who give you the answers to the questions in the review. If you set "Self-Assessment" for the type of review, the users in this field later receive the e-mails that request them to answer the questions. As with the responsible person, HITGuard fills this field with the responsible person from the organizational unit. However, you can also enter any number of other regular HITGuard users.

Further fields:

• Note: Further notes, e.g. on the execution.
• Lead auditor: Main responsible person of a review. When you create the review, HITGuard automatically enters your user here.
• Co-auditors / accompaniment: Subject matter experts who are brought in to the review for special topics.
• Responsible persons: The responsible persons of the organizational unit or the area. Just as with the Interview partner field, HITGuard fills this field with the responsible person from the organizational unit.
• Start and end date: Planned time span. Every review requires both dates. For self assessments (see below) the end date is called answering deadline.
• Type: Controls how the review is carried out (see below). This setting can only be changed in the Draft status.
• Workflow plans: Shows in how many workflow plans the review occurs as active or paused. Links can be set, removed or paused here.
• Created by workflow plan: Refers to the triggering workflow, if the review was created automatically.
• Change log: Records who edited, changed the status or completed it, and when.

Type of review:

• Interview: The review is carried out together with the interview partner. The interview partner can view it, but not change it.
• Self assessment: The interview partner answers the topics independently. The lead auditor requests the answering via the Request answering button (after activation) and then reviews it.

Special fields for the Audit management add-on module::

• Audit: Links the review with an audit. If the review arises from an audit, lead auditor, interview partner as well as start and end date are pre-filled. Via the button next to it, the master data can be loaded from the audit. (See Audit planning.)
• Function: Optionally defines the context more precisely. Only appears if the option is activated under Audit management → Settings. You manage functions under Audit management → Functions.

Special fields for the Supply Chain Risk Management module:

• Supplier review:By default, only HITGuard users can be selected as interview partners. In a Supply Chain Risk Management (SRM) management system, a checkbox is available for this that marks the review as a supplier assessment. If it is active, only suppliers can be selected instead. This checkbox is only available if the option under Risk management → Settings is active and the SRM license is present.

Step 2: Add review objects

Review objects are question sets on a special topic. You add these review objects in the second step, because you want to assess them. Review objects that you have added will appear in the upper bar and may be removed there.

It is a crucial difference whether a review object is assessed for the first time (initial assessment/new creation) or whether an already existing review object is assessed again (reassessment), or whether an entirely new review object is created. Several tabs are available for this:

Initial assessment using a knowledge base (for the gap analysis)

Initial assessment using a knowledge base

In the tab Initial assessment using a knowledge base, select the desired knowledge base in the dropdown and then look for the topics that you want to assess. To add a topic, click the Plus next to it.

Note

• The plus only appears for topics that also contain review questions. If topics have no plus, they only serve to structure other topics. Expand them via the triangle arrow to see the topics contained in them.
• If the knowledge base is available in several languages, the translation matching the user language is displayed, provided there is an translation available.
• "Initial assessment" does not mean that the topic from the knowledge base is used for the first time, but only that this review is the first in the series. Let's say you have already used a knowledge base topic "Awareness" to review five other organizational units (OU). If you want to review OU Number six, you have to create the review object via this tab.

Initial assessment based on a template (only for the Audit management add-on)

In the tab Initial assessment based on a template, select the desired topic collection. With the green Plus you add all contained topics, with a white Plus individual topics. More on this under topic collections.

Note: This option is only available if the Audit management add-on is activated in the management system and the user has the required role.

Create new review object (for review results)

New creation of a test object

In the tab create new review object' you create a review object without a knowledge base. Assign a name and a responsible user and click Add new review object. With this function you can then create your own review questions in the review object. You can then enter external review results (e.g. pentest) in the questions.

Revaluation of existing review objects

Via the tab Reassessment of existing review objects you look for review objects that have already been fully assessed. instead of creating them anew, you take new versions into the review instead. The options and the exact procedure are described in the section Reassessments. Alternatively, you can also always use the Reassess button in the grid overview to reassess an entire review.

Step 3: Edit and answer review objects

Overview of review objects

After adding, you see all review objects in the overview under step 3. Here you can only adjust the order. Mark a review object with a click and move it in the order with the arrows at the top right. Save also transfers the sorting order into the left content overview.

Step 3.1: Details of a review object

Detail view of a review object

In the detail page of the individual review objects you see its header data as well as a list of the review questions assigned to it.

Core data:

• With the trash can button you remove the review object from the review again.
• The responsible person and the interview partner are taken over from the master data page (see above at step 1). However, you can also still make changes here. The interview partner is intended here purely for documentation. HITGuard will automatically take the responsible person and enter them as the measure responsible when you create measures from the review questions of this review object.
• You can link the review object with master data, i.e. the entities in the views of the structure analysis. As a result, all review questions including measures and controls are connected directly with the entity and are visible in the entity and in the structural analysis.
• With the Clarification needed switch you mark the entire review object; in doing so, all associated review questions and review results are marked as requiring clarification.

List of review questions:

• Here you see the review questions that were created from knowledge base templates.
• Via the plus button you can enter additional review results. Even if you originally created the review object from the knowledge base, you can add new questions or results here.

Detail pages of the review questions

If the review object comes from a knowledge base, you will answer the individual review questons. You will find more details in the dedicated article Answering review questions. If you instead enter review results, you will find more information here.

Wenn SIe den Typ Interview ausgewählt haben, werden SIe die Prüffragen als Expert oder Professional beantworten. Wenn SIe den Typ Self-Assessment ausgewählt haben, wird der Practitioner die Überprüfung erhalten und die Fragen selbstständig beantworten.

• Antwort: Hier können Sie im Drop-Down auswählen, wie sehr sie Die Prüffrage erfüllen. Für gewöhnlich wird das als Ja/Nein/Teilweise oder als Reifegrad von 1 bis 5 bewertet.
• Entbehrlich: Mit diesem Button nehmen Sie die Frage aus der Bewertung aus. Sie trifft auf diese Überprüfung nicht zu.
• Begründung:Hier können Sie mit schriftlichen Angaben festhalten und rechtfertigen weshalb Sie sich für die Antwortmöglichkeit oben entscheiden haben.
• Abklärungsbedarf: Markieren Sie eine Prüffrage oder ein Prüfergebnis mit Abklärungsbedarf, wenn Sie die Antwort noch nicht festlegen können. DIes kann zB passieren weil Sie eine andere Person hinzuziehen oder Informationen recherchieren müssen.
• Dokument hochladen:Hier können Sie evidenzen für die Beantwortung hochladen.
• Bedrohungen, Maßnahmen & Kontrollen: Über diese Buttons können Sie Direkt Elemente anlegen, die dann direkt mit der Prüffrage verknüpft sind. Mehr über diese Elemente erfahren Sie auf den Spezialseiten für Maßnahmen, Kontrollen & Bedrohungen. Legen Sie eine Maßnahme an, können Sie danach einen Nacher-Wert auswählen, der angibt wie die Antwort ausfällt nachdem die Maßnahme umgesetzt wurde. Mehr Details finden Sie im Artikel Prüffragen beantworten. (Pracitioner können nur Vorschläge für Maßnahmen einreichen).
• Sie müssen nicht alle Prüffragen oder Prüfergebnisse beantworten, um eine Überprüfung abzuschließen. Beim Abschluss mit offenen Punkten erscheint jedoch eine Warnung.
• Im Add-on Auditmanagement können Sie sich neben der Antwort noch ein zweites Drop-Down "Feststellungsart" einblenden lassen. Damit können Sie zB kennzeichnen ob es sich um eine Haupt- oder Nebenabweichung handelt.

Schritt 4: Abweichungen behandeln

Abweichungen einem Risiko zuordnen

Eine Abweichung ist eine negativ Beantwortete Prüffrage. Konkret erkennt HITGuard diese negativen Antworten so:
Der Target Score ist der definierte Sollwert, der den gewünschten Zielzustand für die Bewertung von Prüffragen oder Prüfergebnissen vorgibt. Er dient als Referenzpunkt, um Abweichungen vom Idealzustand zu erkennen. Jede Antwort auf eine Prüffrage wird mit dem Target Score verglichen. Liegt der Antwortwert unter dem Target Score, gilt die Prüffrage als Abweichung. Die Antworten „Ja“ „Nein“ und „Teilweise“ werden hierfür in die Zahlenwerte "5", "1" und "3" übersetzt. Sie können den Target Score im Managementsystem festlegen.

Abweichungen werden von HITGuard speziell behandelt. Vor allem können Sie sie in Schritt 4 zu Risiken zuweisen. HITGuard erkennt auch Übererfüllungen, diese können im Chancenmanagement nützlich sein. Um diese zuzuweisen müssen Sie jedoch zu Risikomanagement > Schwachstellen > Abweichungen navigieren Sie können Abweichungen und Risiken hier auf Zwei Arten verknüpfen:

• Wählen Sie im Dropdown unten ein bestehendes Risiko, markieren Sie die Abweichungen und klicken Sie auf Ausgewählte Abweichungen gewähltem Risiko zuweisen.
• Markieren Sie die Abweichungen und klicken Sie auf Risiko zu Prüfgegenstand anlegen. Im Dialog erstellen Sie ein neues Risiko und weisen es den Abweichungen zu.
• Best Practise: Da sie den Detailüberblick ohnehin über die Abweichungen behalten, ist es ratsam nur wenige Risiken anzulegen, die große Themenbereiche abdecken. Auch für große Organisationen reichen idR wnige dutzend Risiken.

Überprüfung abschließen

Eine Überprüfung kann von einem Experten oder Professional durchgeführt werden. Optional fordert er die Beantwortung beim Interviewpartner an: Dieser erhält per Workflow eine Aufforderung, beantwortet die Prüffragen und sendet die Überprüfung zurück. Der Experte prüft die Ergebnisse und schließt die Überprüfung ab.

Die Behandlung von Abweichungen sowie das Verknüpfen von Maßnahmen und Kontrollen ist jederzeit möglich – auch nach dem Abschluss.

Status einer Überprüfung

Status wechseln

Den Status wechseln Sie über den blauen Button rechts oben. Sind die E-Mail-Benachrichtigungen im Managementsystem aktiv, werden bei jedem Statuswechsel die im Workflow relevanten Personen informiert.

• Entwurf: Diesen Status hat die Überprüfung beim ersten Anlegen (oder beim Deaktivieren aus In Bearbeitung). Die Überprüfung ist noch nicht aktiv; niemand wurde informiert. Mit dem blauen Button Überprüfung aktivieren aktivieren Sie sie.
• In Bearbeitung: Jetzt ist die Überprüfung aktiv. Interviewpartner und Auditoren sehen die Überprüfung unter Meine Aufgaben, können sie aber noch nicht bearbeiten. Der Typ der Überprüfung lässt sich nun nicht mehr ändern. Ist der Typ ein Self Assessment, kann der Lead-Auditor über Beantwortung anfordern den Interviewpartner dazu aufrufen die Fragen zu Beantworten. Ist der Typ ein Interview, geht es über Überprüfung abschließen in den Status Geschlossen. Über Überprüfung deaktivieren geht es zurück zu Entwurf.
• Angefordert (nur bei Self Assessment): Nach Beantwortung anfordern. In diesem Status werden die Interviewpartner per E-Mail aufgefordert die Prüffragen zu beantworten. Angeforderte Self Assessments sind mit einem Badge gekennzeichnet. Sind die Interviewpartner fertig, setzen sie den Status mit Überprüfung absenden auf Beantwortet.
• Beantwortet (nur bei Self Assessment): Nach dem Absenden durch den Interviewpartner wird der Lead-Auditor automatisch per E-Mail informiert. Der Interviewpartner und der Verantwortliche können die Überprüfung nun nicht mehr bearbeiten. Über Überprüfung abschließen können Expert- und Professional-User die Überprüfung in den Status Geschlossen versetzen.
• Geschlossen: Die Überprüfung ist jetzt schreibgeschützt. Kein User kann die Überprüfung und die Prüffragen darin bearbeiten. Verknüpfungen von Prüffragen mit Risiken, Maßnahmen, Kontrollen und Bedrohungen können aber weiter hinzugefügt und bearbeitet werden.

Überprüfungstyp wechseln (Interview und Self Assessment): Der Typ lässt sich nur im Status Entwurf ändern. War der Typ falsch und die Überprüfung bereits aktiviert, müssen Sie sie zunächst über Überprüfung deaktivieren zurück auf Entwurf setzen und dann .

Tipps & Infos

Überprüfung kopieren (Duplikat)

Auf Knopfdruck auf den Button über der Grid-Übersicht erstellen Sie ein Duplikat einer Überprüfung. Übernommen wird nur die Struktur der Prüfobjekte – nicht die Antworten und nicht die verknüpften Elemente wie Maßnahmen oder Kontrollen. Das Duplikat trägt den Zusatz - Kopie und wird im Status Entwurf angelegt. Das Original darf sich in jedem Status befinden.

Möchten Sie die Antworten übernehmen, verwenden Sie stattdessen eine Neubewertung.

Überprüfung löschen

Über Überprüfung löschen entfernen Sie Überprüfungen, die noch nicht abgeschlossen sind.

Achtung: Beim Löschen werden auch die über diese Überprüfung angelegten Prüfobjekte sowie bereits zu Risiken zugewiesene Abweichungen gelöscht.

Navigation im Assistenten

Überprüfungs-Assistent

• Weiter / Zurück: Zum nächsten bzw. vorherigen Schritt oder zur nächsten/vorherigen Prüffrage.
• Navigationsbaum (links): Direkter Sprung zur gewünschten Stelle. Der rechte Bereich zeigt immer die Prüffragen bzw. Prüfergebnisse des gewählten Knotens.
• Checkbox „Prüffragen“ (unten links): Blendet die Prüffragen im Navigationsbaum ein oder aus. Der Assistent merkt sich diese Einstellung. Bei eingeblendeten Prüffragen springt der Assistent automatisch zur richtigen Frage zurück, wenn Sie ihn z. B. zum Anlegen einer Maßnahme oder Kontrolle verlassen haben.
• Speichern und Schließen verhalten sich selbsterklärend.

Wichtige Begriffe

• Prüfobjekt: Der Gegenstand, der überprüft wird (z. B. ein Thema aus einer Wissensdatenbank oder ein frei angelegtes Objekt). Ein Prüfobjekt enthält Prüffragen und/oder Prüfergebnisse.
• Prüffrage: Eine einzelne Frage aus einer Wissensdatenbank.
• Abweichung: Eine Prüffrage oder ein Prüfergebnis, das schlechter als der Zielzustand bewertet wurde.
• Wissensdatenbank: Eine strukturierte Sammlung von Themen und Prüffragen (z. B. zu einer Norm).
• Organisationseinheit: Der für die Überprüfung zuständige Unternehmensbereich.
• Target Score (Zielzustand): Der gewünschte Zielzustand heißt in HITGuard Target Score. Er bestimmt, ab wann eine Antwort als Abweichung gilt. Eine Antwort mit Nein entspricht Score 1, Teilweise entspricht Score 3, Ja entspricht 1. Er ist je Managementsystem separat einstellbar. Nur Experten oder Administratoren können den Target Score unter Administration → Managementsysteme festlegen und ändern.

Neubewertungen

Es gibt unterschiedliche Möglichkeiten für die Neubewertung, die ihre jeweiligen Vorteile bieten. In jedem Fall muss die ursprüngliche Überprüfung allerdings abgeschlossen sein.

Manuelle Neubewertung mit dem Neubewerten-Button

Plus- und Neubewerten-Button

Wählen Sie im Grid eine abgeschlossene Überprüfung und klicken Sie auf den Neubewerten-Button, wird wird eine Neue Schutzbedarfs- bzw. Schwachstellenanalyse erstellt, die auf der Vorlage der alten basiert. die ursprüngliche Analyse bleibt unangetastet und schreibgeschützt im System. Diese Neubewertung trägt den Zusatz "- Neubewertung" und wird im Status Entwurf angelegt.

Diese Variante ist schnell und einfach durchzuführen. Sie erlaubt allerdings nur die Neubewertung der gesamten Überprüfung mit all ihren Prüfobjekten.

Neubewertung mit Workflowplänen

Button für Workflowpläne

Ein Workflowplan stößt die Neubewertung von Schwachstellenanalysen automatisch an und sendet sie als Self-Assessment an die Interviewpartner. So lassen sich Neubewertungen zB jährlich aussenden, um zu prüfen ob die Inhalte noch gültig sind. Details und generelles zu Workflowplänen besprechen wir auf der Seite Workflowpläne.

Workflowpläne für Analysen funktionieren mit Neubewertungen. Wenn der Workflowplan auslöst, funktioniert das ähnlich wie bei der manuellen Neubewertung mit dem Button. HITGuard erstellt eine Neue Schutzbedarfs- bzw. Schwachstellenanalyse erstellt, die auf der Vorlage der alten basiert. die ursprüngliche Analyse bleibt unangetastet und schreibgeschützt im System.

Diese Variante lässt Sie neubewertungen im voraus planen und automatisieren.

Manuelle Neubewertung bestehender Prüfobjekte (im Assistenten)

Neubewertung bestehender Prüfobjekte

Beim Hinzufügen von Prüfobjekten können Sie zum Tab Neubewertung bestehender Prüfobjekte wechseln. Hier sehen Sie alle Prüfobjekte die in abgeschlossenen Überprüfungen sind. Sie können sich die Prüfobjekte, die Sie neubewerten wollen, auswählen und klicken dann auf Ausgewählte Prüfobjekte einer Neubewertung unterziehen.

Diese Variante gibt ihnen mehr Flexibilität beim Erstellen der Neubewertung. Soll zB nur eines von mehreren Prüfobjekten einer Überprüfung neubewertet werden, können Sie sich mit dieser Variante das Prüfobjekt herauspicken, ohne die andern überarbeiten zu müssen.

Ergebnisse übernehmen

Bei der manuellen Neubewertung haben sie einige Einstellungen, die steuern wie sie die alten Ergebnisse verwenden.

• Aktuelle Wissensdatenbank: Wissensdatenbanken dienen als Vorlage für die Fragenbatterien in Schwachstellenanalysen. Manchmal hat sich die Vorlage weiterentwickelt, nachdem die ursprügliche Überprüfung angelegt wurde. Mit diesem Häkchen bestimmen Sie, ob HITguard bei der Neubewertung die alte Version der Vorlage verwenden soll, oder ob es die neueste Version der Wissensdatenbank verwenden soll.
• Antwortübernahme: Hier können Sie entscheiden, ob HITGuard in der Neubewertung alle Antworten, keine Antwort oder nur positive Antworten der letzten Überprüfung übernehmen soll. Damit steuern Sie, wie gründlich man die Neubewertung durcharbeiten muss.
• Begründungsübernahme:Unabhängig davon, ob Sie Antworten übernehmen, oder nicht, können Sie die jeweiligen Begründungstexte aus der ursprünglichen Überprüfung übernehmen. Alternativ können Sie einen Standardtext eingeben, den HITGuard in jedes Begründungsfeld setzen wird.

Teil-automatische Neubewertung

Angabe des Nacher-Werts

Prüffragen können mit Maßnahmen verknüpft werden. Legen Sie eine Maßnahme an, können Sie danach einen Nacher-Wert auswählen, der angibt, wie die Antwort ausfällt, nachdem die Maßnahme umgesetzt wurde. (Siehe auch Prüffragen beantworten) Bei der Teil-automatischen Neubewertung (TAN) können Sie auf diese Nachher-Werte zugreifen.

Für die TAN navigieren Sie zunächst zu Risikomanagement > Prüfobjekte. Wurde eine verknüpfte Maßnahme umgesetzt (für die auch ein Nachher-Werte der Schwachstellenreduktion gesetzt wurde) markiert HITGuard hier die betroffenen Prüfobjekte mit Neubewertung empfohlen.

1. Starten sie die Neubewertung indem sie die markierten Prüfobjekte auswählen und auf den gelben Neubewertungs-Button klicken. (HITGuard wird den Button nur verfügbar machen, wenn das Prüfobjekt Maßnahmen enthält, die schon erledigt sind.)
2. HITGuard listet nun die Nachher-Werte, die sie bei den verknüpften Maßnahmen angegeben haben, auf. (HITGuard listet hier nur die Prüffragen, deren Maßnahmen bereits erledigt sind.)
3. Mit einem zweiten Klick auf den Neubewertungs-Button schließen Sie den Prozess ab. HIGuard wird nun eine neue, bereits geschlossene Überprüfung mit dem Titel „Teil-Automatische Neubewertung“ erzeugen, in der die Nachher-Werte eingetragen sind.

Teil-automatische Neubewertung

Übersichten und Auswertungen

Neben den einzelnen Überprüfungen bietet HITGuard übergreifende Listen, um Ergebnisse über alle Überprüfungen hinweg auszuwerten. Sie finden sie unter Risikomanagement → Schwachstellen über die Tabs Überprüfungen | Prüfobjekte | Abweichungen | Abklärungsbedarf.

Prüfobjekte

Übersicht der Prüfobjekte

Die Prüfobjekt-Übersicht listet alle Prüfobjekte des aktuellen Managementsystems. Ein Klick öffnet die Detailansicht.

Prüfobjekt-Detailansicht

Dort sehen Sie, wie das Prüfobjekt beantwortet wurde, und – bei mehreren Versionen – wie sich die Beurteilung von Version zu Version entwickelt hat. In dieser Maske sind nur die Kopfdaten bearbeitbar; zum Beantworten eines Prüfobjekts ist sie nicht vorgesehen.

Abweichungen

Übersicht der Abweichungen

Die Abweichungs-Übersicht zeigt alle bei Überprüfungen festgestellten Abweichungen. Über die Spalten Maßnahme fehlt, Zielwert fehlt und Zielwert zu niedrig erkennen Sie, wo noch zu wenig unternommen wurde – betroffene Abweichungen erhalten einen entsprechenden Tag. Eine Abweichung ohne Tag bedeutet, dass alles bereits angelegt wurde und an ihrer Behebung gearbeitet wird.

In dieser Übersicht können Sie auch - Wie sonst in Schritt 4 - noch nicht zugeordnete Abweichungen einem Risiko zuweisen. Ein Doppelklick öffnet die Überprüfung an der Stelle der Abweichung, wo Sie Maßnahmen und Kontrollen festlegen können (siehe Prüffragen beantworten).

Optional blenden Sie eine Spalte ein, die anzeigt, ob es sich um eine Prüffrage (aus einer Wissensdatenbank) oder ein frei angelegtes Prüfergebnis handelt. So können Experten ihre eigenen Wissensdatenbanken um häufig ergänzte Prüfergebnisse erweitern.

Abweichungen filtern

Abweichungsfilter

Der Filter steuert, welche Abweichungen angezeigt werden – jeweils im Vergleich zum Target Score:

• negative: < Target Score
• keine: = Target Score
• positive: > Target Score

Target Score Gewichtung

Target Score Gewichtung anwenden

Überall, wo Abweichungen vorkommen, bietet HITGuard zusätzlich die Sortierung nach Target Score Gewichtung an. Den Target Score definitern Sie im Managementsystem. Je größer die Abweichung vom Target Score und je höher die Gewichtung des Schutzziels, desto höher die Gewichtung:
Target Score Gewichtung = Abweichungsgrad × Gewichtung des Schutzziels

Beispiel (Gewichtung des Schutzziels: Mittel = 3):

• Score der Abweichung = 2, Target Score = 4 → Abweichungsgrad = 2 → Gewichtung = 2 × 3 = 6
• Score der Abweichung = 4, Target Score = 4 → Abweichungsgrad = 0 → Gewichtung = 0 × 3 = 0

Abklärungsbedarf

Übersicht der abklärungsbedürftigen Prüffragen / Prüfergebnisse

Die Übersicht Abklärungsbedarf listet alle Prüffragen und Prüfergebnisse, die im Zuge einer Überprüfung als abklärungsbedürftig markiert wurden. (siehe Detailseiten der Prüffragen) Ein Klick führt direkt zur jeweiligen Prüffrage bzw. zum Prüfergebnis. So sehen Sie nach einer Reihe von Überprüfungen auf einen Blick, welche Fragen noch recherchiert werden müssen. Über den Export-Button (neben der Suchleiste) erhalten Sie eine einfach verwendbare Auflistung.

Wichtige Hinweise und Best Practices

Best Practice

• Behandeln Sie Abweichungen direkt in der Analyse. Die Überprüfung ist der zentrale Punkt der Risikoidentifikation und -behandlung. Versehen Sie erkannte Abweichungen schon hier mit Maßnahmen (zur Beseitigung) und Kontrollen (zur Überwachung). So lassen sich Abweichung, Maßnahme und Kontrolle sauber dem identifizierten Risiko zuordnen. Verknüpfen Sie das Prüfobjekt zusätzlich mit einem Strukturelement (z. B. einer Applikation), erscheinen diese Informationen auch in dessen Detailansicht.
• Neubewertung statt neuer Bewertung. Erheben Sie den Ist-Zustand regelmäßig über eine Neubewertung, statt jedes Mal eine neue Analyse anzulegen. So bleiben alte Antworten und Begründungen sichtbar und die Entwicklung eines Prüfobjekts wird nachvollziehbar.
• Prüfobjekte mehrfach bewerten und sprechend benennen. Ein Prüfobjekt kann mehrmals in einer Analyse vorkommen. Beispiel: Das IT-Grundschutz-Kompendium enthält den Baustein „Web-Anwendungen“. Betreiben Sie mehrere Web-Anwendungen, beantworten Sie diesen Baustein je Anwendung und verknüpfen ihn mit der jeweiligen Anwendung. Tipp: Vergeben Sie sprechende Namen wie „Web-Anwendung 123_Cloud“ – so finden Sie die Prüfobjekte bei Neubewertungen leicht über die Suche.
• Self Assessment richtig vorbereiten. Ein Self Assessment lässt sich nur abschließen, wenn mindestens ein Interviewpartner hinterlegt ist. Der Interviewpartner ist außerdem Pflichtfeld, sobald die Überprüfung den Status Entwurf verlässt.
• Vor dem Löschen prüfen. Beim Löschen einer Überprüfung gehen auch die darüber angelegten Prüfobjekte und bereits zu Risiken zugewiesenen Abweichungen verloren. Abgeschlossene Überprüfungen können nicht gelöscht werden.