Regulatorik, die steuerbar wird.
Aus Anforderungen werden Prozesse mit Besitzern, Fristen und Nachweis. Nicht ein Ordner, der beschreibt, was jemand tun sollte.
- ISMS
- ISO 27001 Lead Auditor
- DORA
- NIS2
- CRA
Risiko wird entscheidbar
Ein Cyberrisiko verhaelt sich wie ein Feuerrisiko: es tritt selten ein und kann alles kosten. Damit ist es fuer den Hausverstand schwer zu greifen, denn der rechnet mit Erfahrung, und Erfahrung entsteht nur aus Ereignissen, die man vermeiden will.
Daraus folgt ein Widerspruch, an dem viele haengenbleiben. Je besser die Mitigation wirkt, desto weniger laesst sie sich belegen. Wer zehn Jahre lang keinen Vorfall hatte, hat entweder gut gearbeitet oder Glueck gehabt, und von aussen sieht beides gleich aus. Die ausgebliebene Katastrophe ist kein Nachweis, sie ist nur eine Abwesenheit. Genau deshalb wird das Budget dort zuerst gekuerzt, wo es am besten gewirkt hat.
Der Ausweg ist nicht, den Nachweis zu erzwingen. Er ist, das Risiko rechenbar zu machen und die Rechnung offenzulegen. Unten stehen zwei Balken. Der eine zeigt, wie oft es beginnt, der andere, wie weit es kommt. Beide Enden sind definiert, keines ist bewertet: links ist nichts, rechts ist der Punkt, an dem die Firma nicht mehr existiert. Was dazwischen als richtig gilt, entscheidet die Geschaeftsleitung, weil sie das Risiko traegt, und niemand sonst.
In 10 Jahren mindestens einmal getroffen: –
Anschlag bei – CHF, erreicht ueber –. Ein Vorfall reisst ihn mit –.
Lage und Einsatz
Startwerte gewaehlt, damit beide Richtungen spuerbar sind. Die Bedrohungslage steht zwischen den beiden Marken, weil keine der beiden diesen Betrieb meint. Keiner der Werte ist eine Aussage ueber Sie.
Der obere Balken zaehlt, wie oft es beginnt. Rechts aussen wuerde es jede Firma innerhalb des Zeitraums treffen.
Der untere Balken misst, wie weit ein einzelner Vorfall kommt. Der helle Streifen dahinter reicht bis zum neunten von zehn Faellen. Rechts aussen steht kein Urteil, sondern ein Zustand: Liquiditaet oder Eigenkapital sind aufgebraucht, je nachdem, was zuerst reisst.
Kein Regler ist richtig oder falsch. Jeder verschiebt nur, was er verschiebt.
Verteilung nach NIST CSF 2.0
Die Anteile werden auf hundert Prozent normiert. Es zaehlt nur ihr Verhaeltnis.
Was hier gerechnet wird und was gesetzt ist
Belastbar ist die Struktur. Dass jede Massnahme saettigt, dass Erkennung und Wiederherstellung sich gegenseitig entwerten, dass der Engpass wandert, und dass der Anschlag aus der Bilanz kommt und nicht aus einer Meinung.
Gesetzt ist die Steilheit. Wie viel Wirkung ein Franken in einer Funktion bringt, publiziert niemand. Die sechs Kostenkonstanten sind gewaehlt, nicht gemessen. Sie sind die groesste Annahme im ganzen Modell.
Gesetzt ist die Ausgangslage. Ausgangspunkt ist ein Betrieb mit Firewall, Virenschutz, keinem offenen Exposure und irgendeinem Backup. Von dort wird gerechnet, nicht von null.
Schweizer Zahlen gibt es nur fuer die Haeufigkeit. Die beiden Marken auf dem Bedrohungsregler stammen aus Befragungen; zu Erkennungs- und Wiederherstellungszeiten publiziert die Schweiz nichts. Deshalb sind auch diese Regler frei.
Nicht enthalten: mehrere Vorfaelle im selben Jahr, Abhaengigkeiten zwischen Vorfaellen, Versicherung, Bussen, und der Teil des Reputationsschadens, der erst Jahre spaeter sichtbar wird.
Welche Regler es gibt, ist selbst eine Aussage. Die Auswahl folgt NIST CSF 2.0. Ein anderes Rahmenwerk haette andere Hebel.
Die vollstaendige Rechnung mit Unternehmenszahlen und der Frage, wie viel Aufwand pro Umsatz sinnvoll ist, steht unter Risiko, gerechnet.