Information wird erstim Kontext zur Lage.
Ein Feed ist noch kein Bedrohungsbild. Relevanz entsteht erst, wenn eine Beobachtung mit eigenen Leistungen, Objekten und Veränderungen verbunden wird. Der Prozess verdichtet Hinweise zu einem priorisierten Lagebild und löst damit begründete Prüfungen in den zuständigen Prozessen aus.
Quelle, Kontext,
Prüfanlass.
Der Prozess will keine möglichst grosse Sammlung von Indikatoren. Er soll zeigen, welche Lageänderung für den eigenen Bestand relevant sein kann, warum sie geprüft werden muss und wo diese Prüfung stattfindet.
Aufnehmen
Behörden, Fachquellen, Brancheninformationen, Vorfälle und technische Beobachtungen nachvollziehbar erfassen.
belegter Hinweis
Lesen
Akteur, Vorgehensweise, betroffene Technologie, Zeitpunkt und Vertrauensgrad bestimmen.
verständlicher Kontext
Verbinden
Hinweis gegen Inventar, Architektur, Lieferanten, Daten und aktuelle Veränderungen prüfen.
eigene Betroffenheitshypothese
Verdichten
Relevanz, Dringlichkeit und angemessenen nächsten Prüfschritt festlegen.
priorisiertes Lagebild
Auslösen
Begründete Prüfanlässe an Risiko, Schwachstellen, Monitoring, Architektur oder Steuerung geben.
verantwortete Folgearbeit
Weniger Signale.
Mehr Bedeutung.
Ein Lagebild darf Unsicherheit ausweisen. Es muss nicht beweisen, dass ein Angriff stattfindet. Es soll transparent machen, warum ein bestimmter Bestand, eine Abhängigkeit oder eine Kontrolle nun geprüft wird.
Quelle
Ursprung, Aktualität, Vertrauensgrad und Bezug zur eigenen Branche oder Technologie.
Akteur
Soweit belegbar: Motivation, Fähigkeiten, Ziele und beobachtete Vorgehensweisen.
Methode
Taktiken, Techniken, Verfahren oder betroffene Produkt und Serviceklassen.
Bezug
Betroffene Leistungen, Assets, Lieferanten, Daten oder geplante Veränderungen.
Priorität
Warum jetzt gehandelt wird, wer prüft und wann eine Rückmeldung erwartet wird.
Rücklauf
Prüfergebnis, offene Unsicherheit und daraus abgeleitete Folgeentscheidung.
Ein Hinweis führt
zu einem Auftrag.
Die Übergabe muss präzise genug sein, damit der Empfänger keinen allgemeinen Rechercheauftrag erhält. Ein nachvollziehbarer Prüfanlass enthält die Quelle, die betroffenen Objekte und die erwartete Rückmeldung.
| Empfänger | Bedrohungsprozess liefert | Ergebnis beim Empfänger |
|---|---|---|
| Schwachstellen | Hinweis auf aktiv ausgenutzte oder relevante Technik, mit betroffener Produkt oder Assetklasse. | Prüfung eigener Betroffenheit und Entscheidung über Behandlung. |
| Monitoring | Beobachtete Methoden, mögliche Indikatoren und priorisierte Angriffswege. | Prüfung von Detection Coverage, Use Cases oder konkreten Signalen. |
| Risiko | Veränderte Bedrohungslage, betroffene Leistung und begründete Unsicherheit. | Aktualisierte Risikobewertung oder dokumentierte Beobachtung. |
| Architektur | Angriffsmuster und relevante Schwachpunkte einer Technologie oder Abhängigkeit. | Prüfung von Zielbild, Schutzprinzip oder technischem Entscheid. |
| Steuerung | Wesentliche Lageänderung mit möglicher Wirkung auf Ziele, Ressourcen oder Risikotoleranz. | Entscheid über Priorität, Auftrag oder Eskalation. |
Relevanz ist
begründbar.
Ein guter Lageeintrag konzentriert sich auf die Veränderung, die für das eigene Unternehmen geprüft werden muss. Er hält die Quelle, die betroffene Fläche und den erwarteten Rücklauf in einem nachvollziehbaren Zusammenhang.
| Bestandteil | Der Eintrag beantwortet | Der nächste Prozess prüft |
|---|---|---|
| Quelle | Woher die Information stammt, wie aktuell sie ist und wie verlässlich sie eingeordnet wird. | Ob der Hinweis für die eigene Branche, Technologie oder Lieferkette überhaupt relevant ist. |
| Angriffsmuster | Welche Akteure, Methoden, Produkte oder Abhängigkeiten im Hinweis vorkommen. | Monitoring auf Erkennungsmöglichkeiten, Architektur auf Schwachpunkte und Schwachstellen auf technische Betroffenheit. |
| Eigener Bezug | Welche Leistungen, Assets, Daten oder Drittbeziehungen potenziell berührt sind. | Inventar, Risiko oder Lieferanten auf tatsächliche Exposition und geschäftliche Wirkung. |
| Prüfanlass | Wer welche Rückmeldung bis wann liefern soll und welche Unsicherheit offen bleibt. | Die zuständige Prozessstelle auf konkrete Folgearbeit, nicht auf allgemeine Recherche. |
Lage wird zum
Prüfanlass.
Der Prozess verdichtet externe und interne Hinweise zu einer begründeten Lageänderung. Er behandelt weder einen Vorfall noch einen technischen Befund, sondern liefert einen präzisen Anlass für die zuständige Folgearbeit.
| Referenz | Beitrag zum Prozess | Grenze |
|---|---|---|
| ISO/IEC 27001:2022 | Adressiert Threat Intelligence, Kontakte zu Behörden und Fachgruppen sowie sicherheitsrelevante Überwachung. | Schreibt keine bestimmte Lagebildplattform oder ein festes Analyseverfahren vor. |
| NIST CSF 2.0 | Ordnet Bedrohungsinformationen der Risikoanalyse und dem kontinuierlichen Monitoring zu. | Ersetzt weder den Asset-Kontext noch die Entscheidung, welcher Hinweis priorisiert wird. |
| CIS Controls v8.1 | Stützt die Verbindung von Governance, Monitoring und Incident Response. | Ist kein Ersatz für eigene Quellenbewertung oder ein organisationsspezifisches Bedrohungsbild. |
| Inhalt | Beitrag für Bedrohungen | Weiter |
|---|---|---|
| Schwachstellen | Prüft technische Betroffenheit, wenn Lagehinweise Produkte, Versionen oder Ausnutzung betreffen. | Prozess öffnen → |
| Monitoring | Prüft Erkennungsmöglichkeiten, Coverage und technische Signale gegen relevante Vorgehensweisen. | Prozess öffnen → |
| 02 Risiko | Bewertet, ob eine Lageänderung bestehende Risikopositionen oder Prioritäten verändert. | Prozess öffnen → |
Security Tool Navigator · Werkzeuge zum Prozess
Werkzeuge nach Gebiet einordnen.
Die Werkzeugklassen dieses Prozesses sind im Security Tool Navigator nach Sicherheitsgebieten geordnet. Die Gebietsseiten zeigen Abgrenzung, Auswahlfragen für CIO und CISO und alle Werkzeugklassen im Zusammenhang.