Compliance-Lexikon · Praxis
Security Posture – Praxis
Security Posture ist im Audit der Pruefpunkt fuer die Governance-Ebene: Weiss das Leitungsorgan, wie sicher die Organisation ist? Was Auditoren pruefen und welche Evidence benoetigt wird, zeigt dieser Abschnitt.
Was Auditoren konkret pruefen
Bei einer Pruefung der Security Posture prueft der Auditor, ob Security-Metriken definiert, gemessen und an das Leitungsorgan kommuniziert werden. Das BAM-Objekt CROSS-SP-01 definiert, was konkret vorgelegt werden muss.
Haeufige Fehler
- Keine Security-KPIs definiert – Sicherheitslage subjektiv beurteilt
- Security-Reporting nur an IT-Leitung, nicht an Vorstand oder Aufsichtsrat
- Metriken zeigen nur Aktivitaeten (Anzahl Schulungen), nicht Wirksamkeit (Phishing-Klickrate)
- Kein Benchmark-Vergleich – keine externe Einordnung der eigenen Lage
Praxis-Tipp
Fuer Security Posture gilt: Das Leitungsorgan braucht keine technischen Detailmetriken – es braucht klare Aussagen ueber Risikolage und Handlungsbedarf. „5.000 Sicherheitsereignisse im letzten Monat“ ist keine nuetzliche KPI. „Kritische Schwachstellen: 3 (Vormonat: 7), Massnahmenplan laeuft“ ist eine nuetzliche KPI.
Umsetzung: Security-Posture-Programm aufbauen
Erster Schritt: Relevante KPIs aus den fuenf NIST-CSF-Funktionen ableiten. Zweiter Schritt: Messsysteme aufbauen (automatisierte Reports aus Toollandschaft). Dritter Schritt: Reporting-Format fuer das Leitungsorgan entwickeln (executive summary, geschaeftsbezogen). Vierter Schritt: Quartalsmaessiges Reporting etablieren. Fuenfter Schritt: Benchmarks einbeziehen (Branchenvergleiche, BSI-Lagebericht).
Evidence-Anforderungen im Audit
Der Auditor erwartet: definierte Security-KPIs, Reporting-Dokumente fuer das Leitungsorgan (mindestens jaehrlich, besser quartalsmaessig) mit Datum und Empfaengern, Nachweise der Leitungsorgandiskussion (Protokollauszug) und Trendanalyse ueber mehrere Berichtsperioden.
Naechster Schritt
Stresstest starten
Kostenloser Compliance-Stresstest – NIS-2 und DORA Governance in 20 Minuten.
Die strategische Einordnung – warum Security Posture langfristig mehr als ein Reporting-Thema ist – findet sich auf Ebene 3.