Rechner

Zwei Balken und ein Anschlag.

Ein Modell, das nicht bewertet, sondern zeigt, was wie wirkt. Unternehmenszahlen hinein, Budget verteilen nach NIST CSF 2.0, und sehen, wohin die Wirkung faellt. Jede Annahme steht offen darunter.

NIST CSF 2.0
Monte Carlo geprueft
Anschlag aus der Bilanz

Eintritt nietrifft sicher

In 10 Jahren mindestens einmal getroffen: –

Schadenpotenzial 0Anschlag

laeuft darueber hinaus

Anschlag bei – CHF, erreicht ueber –. Ein Vorfall reisst ihn mit –.

–Tage unbemerkt und bis zur Eindaemmung

–davon lahmgelegt

–davon abgeflossen

–Tage Stillstand

–CHF Median je Vorfall

–Ruin in zehn Jahren

Schadenhoehe eines Vorfalls. Die helle Flaeche liegt jenseits des Anschlags.

Lage und Einsatz

Bedrohungslage– Vorfaelle pro Jahr ohne zusaetzliche Investition. Die beiden Marken sind Selbstauskuenfte aus Befragungen und messen nicht dasselbe. Budget– Anteil vom Umsatz, der jaehrlich in Cybersecurity fliesst. Gerechnet wird von vorhandener Grundhygiene aus, nicht von null.

Startwerte gewaehlt, damit beide Richtungen spuerbar sind. Die Bedrohungslage steht zwischen den beiden Marken, weil keine der beiden diesen Betrieb meint. Keiner der Werte ist eine Aussage ueber Sie.

Der obere Balken zaehlt, wie oft es beginnt. Rechts aussen wuerde es jede Firma innerhalb des Zeitraums treffen.

Der untere Balken misst, wie weit ein einzelner Vorfall kommt. Der helle Streifen dahinter reicht bis zum neunten von zehn Faellen. Rechts aussen steht kein Urteil, sondern ein Zustand: Liquiditaet oder Eigenkapital sind aufgebraucht, je nachdem, was zuerst reisst.

Kein Regler ist richtig oder falsch. Jeder verschiebt nur, was er verschiebt.

Verteilung nach NIST CSF 2.0

Die Anteile werden auf hundert Prozent normiert. Es zaehlt nur ihr Verhaeltnis.

Govern– Wirkungsgrad aller anderen Identify– Wirkungsgrad von Detect, dazu die Angriffsflaeche Protect– wie oft es beginnt, wie weit es sich ausbreitet Detect– wie lange es unbemerkt laeuft Respond– wie lange es bis zur Eindaemmung dauert Recover– wie lange der Betrieb steht

Unternehmenszahlen

Umsatz– Jahresumsatz in CHF, logarithmische Skala. Deckungsbeitrag– Anteil vom Umsatz, der bei Stillstand entgeht. Fixkosten im Stillstand– Anteil vom Umsatz, der weiterlaeuft, auch wenn nichts produziert wird. Eigenkapital– Anteil vom Umsatz. Ist es aufgebraucht, liegt Ueberschuldung vor. Freie Liquiditaet– Anteil vom Umsatz. Ist sie aufgebraucht, liegt Zahlungsunfaehigkeit vor.

Zwei Kriterien, zwei Antworten

Budget erwarteter Schaden Summe

Tiefster Gesamtaufwand –

Noetig fuer ein Ruinrisiko unter fuenf Prozent –

Dieselben Zahlen, anderes Kriterium. Der Unterschied zwischen beiden Betraegen ist der Preis dafuer, nicht auf den Durchschnitt zu wetten.

Was hier gerechnet wird und was gesetzt ist

Belastbar ist die Struktur. Dass jede Massnahme saettigt, dass Erkennung und Wiederherstellung sich gegenseitig entwerten, dass der Engpass wandert, und dass der Anschlag aus der Bilanz kommt und nicht aus einer Meinung.

Gesetzt ist die Steilheit. Wie viel Wirkung ein Franken in einer Funktion bringt, publiziert niemand. Die sechs Kostenkonstanten sind gewaehlt, nicht gemessen. Sie sind die groesste Annahme im ganzen Modell.

Gesetzt ist die Ausgangslage. Ausgangspunkt ist ein Betrieb mit Firewall, Virenschutz, keinem offenen Exposure und irgendeinem Backup. Von dort wird gerechnet, nicht von null.

Schweizer Zahlen gibt es nur fuer die Haeufigkeit. Die beiden Marken auf dem Bedrohungsregler stammen aus Befragungen; zu Erkennungs- und Wiederherstellungszeiten publiziert die Schweiz nichts. Deshalb sind auch diese Regler frei.

Nicht enthalten: mehrere Vorfaelle im selben Jahr, Abhaengigkeiten zwischen Vorfaellen, Versicherung, Bussen, und der Teil des Reputationsschadens, der erst Jahre spaeter sichtbar wird.

Welche Regler es gibt, ist selbst eine Aussage. Die Auswahl folgt NIST CSF 2.0. Ein anderes Rahmenwerk haette andere Hebel.