Reports for measures

Measure reports

Detail report

On this page, you can create, view, and download reports about measures within an analysis period for selected organizational units.

The reports offer an evaluation of the measures and the project progress. The evaluation of the measures deals with their criticality and recommends an implementation timeframe on the basis of that. The evaluation of the project progress shows, using traffic light colors, the evaluation of the progress of individual measures and the project as a whole. Finished and suspended measures are displayed as crossed out text in this report.

Reports already created are listed to the left. A click on such an entry shows the report's revision information and it can be generated anew, if any modification is necessary. Clicking the blue name in the list opens an online preview of the report. If the name is blac, the report was prepared but not yet generated. Clicking the download symbol downloads a generated report.

Measure reports

In the tab Data selection, you can configure which organizational units are to be included in the report. The list "Included OUs" shows all organizational units that are currently considered for the report. The list "Current OUs" shows all organizational units that are available in the current analysis period of the active management system. Current OrgUnits that are not yet selected, can be added to to the included OUs via drag & drop.

Data selection

Evaluation systematics

The following evaluation systematics are applied in the detail report for measures and also added to the report as an appendix.

Evaluation of the measures

Jede Maßnahme wird hinsichtlich ihrer Kritikalität bewertet. Wie kritisch eine Maßnahme ist, hängt davon ab, wie hoch der potentielle Schaden durch die erkannte Schwachstelle ist bzw. wie hoch die Wahrscheinlichkeit des Eintretens des Ereignisses ist. Aus der Kritikalität der Maßnahme ergibt sich daher die Dringlichkeit der Behebung dieser Schwachstelle.

Measure criticality

Die Kritikalität einer Maßnahme hängt vom betroffenen IT-System bzw. den damit verbundenen Daten ab. Dies kann anhand der durchgeführten Business Impact Analyse und Risikoanalysen erhoben werden. Sollte es für den betroffenen Service keine solche Bewertung geben, so ist folgende Abwägung vorzunehmen:

1. Betrifft die Maßnahme IT Kernservices (wie z.B. das Netzwerk, die Firewall, das E-Mail Service oder gar die physische Sicherheit wie Zutritt zum Serverraum), dann ist immer von einer Kritikalitätsstufe HOCH auszugehen
2. Für alle nicht unter 1) fallende IT-Services ist folgende Überlegung zu treffen:
   • Das Bedrohungspotential ist NIEDRIG wenn,
     • einer Gesellschaft ein monetärer Schaden von <300 Tsd. EUR entstehen könnte
     • ein in begrenzten Maße nach außen wirkenden Imageverlust entstehen könnte
     • die Gefährdung der körperlichen Unversehrtheit von Menschen nicht garantiert werden könnte, auch wenn das Eintreten ist allerdings unwahrscheinlich gilt
   • Das Bedrohungspotential ist MITTEL wenn,
     • einer Gesellschaft ein monetärer Schaden von >300 Tsd. EUR bis max. 5 Mio. EUR entstehen könnte
     • ein Imageverlust bei Kunden und Partnern entstehen könnte, der durch mittelfristige Maßnahmen kompensiert werden müsste
     • die Gefährdung der körperliche Unversehrtheit von Menschen nicht garantiert werden könnte und das Eintreten des Falles als nicht unwahrscheinlich gilt
   • Das Bedrohungspotential ist HOCH wenn
     • einer Gesellschaft ein monetärer Schaden von >5Mio EUR entstehen könnte
     • eine negativen mediale Berichterstattung nicht ausschließbar wäre (mit nicht auszuschließenden mittel- bis längerfristigen Folgewirkungen)
     • Menschen definitiv an Leib & Leben gefährdet wären
3. Wenn keine entsprechende Risikoanalyse vorliegt gilt es auch die Eintrittswahrscheinlichkeit der Bedrohung zu berücksichtigen. Wenn das Eintreten der Risikosituation als sehr unwahrscheinlich gilt (ggf. durch eine Verkettung von Umständen ausgelöst werden müsste) oder zur Reduktion des Risikos kompensierende Maßnahmen ergriffen wurden, so kann die getroffene Risikoeinstufung auch reduziert werden. Ist eine Schwachstelle von Extern ausnutzbar, so darf die Risikoeinschätzung nicht reduziert werden.

Empfohlener Umsetzungszeitraum

Abhängig von der Kritikalität der Maßnahme ergibt sich der empfohlene Startzeitpunkt für die Behebung der Maßnahme.

1. HOCH: unmittelbar nach der Übermittlung der Auditfeststellungen
2. MITTEL: 1 bis spätestens 2 Monate nach der Übermittlung der Auditfeststellungen
3. NIEDRIG: 2 bis spätestens 4 Monate nach der Übermittlung der Auditfeststellungen

K.O. Maßnahmen gelten immer als HOCH und sind solche, die unmittelbar zu beheben sind, da die Schwachstelle mit sehr großem Angriffspotential verbunden ist.

Natürlich kann nicht vom gleichen Aufwand für die Behebung jeder Maßnahme ausgegangen werden. Projekte werden daher abhängig von ihrer geplanten Projektlaufzeit und den geschätzten Projekttagen wie folgt klassifiziert:

1. KLEIN: <1 Monat Laufzeit; <= 2 PT Aufwand
2. MITTEL: <3 Monate Laufzeit; <= 10 PT Aufwand
3. GROSS: > 3 Monate Laufzeit; >10 PT Aufwand

Daher wird hier nur eine empfohlene Umsetzungsdauer angegeben.

Unter Berücksichtigung der Faktoren Kritikalität und Aufwand ergibt sich folgender empfohlener maximaler Umsetzungszeitraum:

	Aufwand
Kritikalität	GROSS	MITTEL	KLEIN
NIEDRIG	4 Monate + Projektaufwand	7 Monate	5 Monate
MITTEL	2 Monate + Projektaufwand	5 Monate	3 Monate
HOCH	Projektaufwand	3 Monate	1 Monate

Bei Projekten mit großem Aufwand sollte berücksichtigt werden, dass kurzfristig zu treffende risikoreduzierende Maßnahmen jedenfalls zu Projektbeginn umgesetzt werden. Die Projektdauer folgender langfristig wirkender Lösung ist dann unter wirtschaftlichen Gesichtspunkten und der Berücksichtigung der wirtschaftlichen Gesamtsituation des Unternehmens zu planen.

Bewertung des Projektfortschritts

Bewertung des Fortschritts einzelner Maßnahmen

Solange eine Aufgabe zeitlich innerhalb der empfohlenen Frist liegt, ist die Ampel zum Projektfortschritt grün. Wenn eine Aufgabe erstmals als überfällig gilt, so wird die Ampel gelb. Wenn beim nächsten Berichtsintervall die Aufgabe immer noch nicht erledigt ist, so wird die Ampel rot und bleibt es solange, bis die Maßnahme behoben oder ein Follow Up Audit durchgeführt wurde, da die Bewertung des Projektfortschritts im Zuge eines Follow Up Audittermins zurückgesetzt wird. Es werden bei diesem Audit neue Umsetzungstermine vereinbart. Am „erkannt am“ Datum einer Maßnahme ist allerdings ersichtlich seit wann die Maßnahme offen ist.

Bewertung des Fortschritts im Gesamtprojekt

Auch für den Fortschritt im gesamten Projektverlauf gibt es eine Bewertung über Ampelfarben.

• KEINER
  • Wenn im aktuellen Berichtszeitraum 0 Feststellungen als abgeschlossen berichtet wurden ACHTUNG: Wenn Keiner in ROT statt schwarz geschrieben steht bedeutet dies, dass eine Verzögerung bzw. Überfälligkeit hinsichtlich der Erledigung von Feststellungen droht. Andernfalls kann es auch daran liegen, dass derzeit zwar an Maßnahmen gearbeitet wird, diese aber z.B. aufgrund ihrer aufwendigen Natur von längerer Bearbeitungsdauer sind.
• GERING
  • Wenn im aktuellen Berichtszeitraum weniger bzw. genau 10 % der Feststellung als abgeschlossen berichtet wurden und / oder
  • mehr als 33% der Feststellungen als überfällig gelten
• MITTEL
  • Wenn im aktuellen Berichtszeitraum mehr als 10% aber weniger bzw. genau 20 % der Feststellung als abgeschlossen berichtet wurden und / oder
  • mehr als 20%, aber weniger als 33% der Feststellungen als überfällig gelten
• HOCH
  • Wenn im aktuellen Berichtszeitraum mehr als 20 % der Feststellung als abgeschlossen berichtet wurden und / oder
  • maximal 20% der Feststellungen als überfällig gelten 2.3 Abgeschlossene / Ausgesetzte Maßnahmen Eine durchgestrichene Zeile ist eine, im aktuellen Analysezeitraum erledigte Aufgabe und entfällt beim nächsten Bericht. Eine kursive Zeile ist ein unter Begründung ausgesetzte Aufgabe.