ControlKontrollen belegen.
Control Validation prüft, ob eine festgelegte Sicherheitskontrolle tatsächlich umgesetzt ist und unter definierten Bedingungen die erwartete Wirkung zeigt. Sie verbindet technische Prüfung, Nachweis und verantwortete Verbesserung.
Marktbild: Für technische Kontrollen überschneidet sich die Klasse mit BAS. Für organisatorische und Compliance-Kontrollen gehören Evidence Management, Audit Management und GRC hinzu. Der Seitenzweck ist die Auswahl entlang dieser Grenze.
Prüfen, was
tatsächlich wirkt.
Für Teams, die technische und organisatorische Kontrollen mit wiederholbaren Prüfkriterien, Evidenz und einem nachvollziehbaren Retest führen müssen.
Ein Kontrollkatalog oder hochgeladenes Dokument beweist keine Wirksamkeit. Ebenso ersetzt ein technischer Test keine verantwortete Prüfung von Design, Geltung und Ausnahme.
Hersteller und
Werkzeuge.
| Hersteller und Produkt | Einordnung | Geeignet für | Vor Auswahl prüfen |
|---|---|---|---|
| AttackIQ · AttackIQ Platform | Technische Control Validation | ATT&CK-orientierte Sicherheitskontrollen | Abdeckung nur technischer Controls |
| Picus Security · Picus Platform | Technische Security Validation | EDR, SIEM, Firewall und E-Mail-Kontrollen | Mapping zu eigenen Kontrollzielen |
| ServiceNow · Integrated Risk Management | GRC- und Kontrollmanagement | Kontrollen, Tests, Issues und Evidenz | Konfiguration und Qualität des Kontrollmodells |
| AuditBoard · AuditBoard | Kontroll- und Prüfungsmanagement | Kontrolltests, Nachweise und Audit-Workflows | Abgrenzung zu technischen Laufzeittests |
| Diligent · HighBond | GRC und Assurance | Kontrolltests und Nachweisführung | Datenmodell und Prüfungsprozesse |
| OneTrust · GRC and Security Assurance | Kontroll- und Compliance-Management | Kontrollkataloge, Evidenz und Risiko | Integration in technische Prüfdaten |
Vom Katalog
zur belegten Wirkung.
- Kontrollen nach Prüfbarkeit einteilen: automatisch prüfbar (z. B. Konfiguration, Abdeckung), per Simulation prüfbar oder nur durch Stichprobe und Interview prüfbar.
- Für automatisch prüfbare Kontrollen die Datenquellen direkt anbinden (z. B. EDR-Konsole, Verzeichnisdienst, Cloud-API), statt Screenshots einzusammeln.
- Für manuelle Prüfungen Stichprobenumfang und Prüfzeitraum festlegen, damit Ergebnisse über mehrere Perioden vergleichbar bleiben.
- Abweichungen direkt als Massnahme mit Owner und Frist ins Risiko- oder Ticketsystem überführen; die Kontrolle bleibt bis zum bestandenen Retest als unwirksam markiert.
- Anteil Schlüsselkontrollen mit automatischer, laufender Prüfung
- Abdeckungslücke je Kontrolle: Differenz zwischen Soll-Inventar und tatsächlich erfassten Systemen
- Alter der jüngsten gültigen Evidenz je Schlüsselkontrolle
Kontrollowner in der Linie liefern Evidenz und beheben Abweichungen; die zweite Linie (Security, Risk, Compliance) legt Prüfkriterien fest und bewertet. Die interne Revision prüft unabhängig und stützt sich nur auf Evidenz mit nachvollziehbarer Herkunft.
ISO/IEC 27001:2022 Kap. 9.1 verlangt festgelegte Methoden für Überwachung, Messung, Analyse und Bewertung; Annex A 5.35 (unabhängige Überprüfung) und 5.36 (Einhaltung von Richtlinien und Standards) adressieren die Prüfung selbst.
NIS2 Art. 21 Abs. 2 lit. f fordert Verfahren zur Bewertung der Wirksamkeit der Massnahmen. Prüfberichte nach ISAE 3402 Typ 2 beurteilen ebenfalls Ausgestaltung und Wirksamkeit der Kontrollen über einen Zeitraum, nicht nur zu einem Stichtag.
Eine grüne Kontrolle im Tool belegt nur, was die angebundene Quelle sieht. Systeme, die im Inventar fehlen, erscheinen weder als Lücke noch als Abweichung.
Vom Test
zum Nachweis.
- Prüfkriterium, Kontrollowner, Evidenz und Wiederholungsintervall pro Kontrolle festlegen.
- Designprüfung von Betriebsprüfung trennen und Ausnahmen befristen.
- Technische Kontrolllücken gegen ein realistisches Szenario erneut testen.
Control & Evidence Management · Audit Management · Breach & Attack Simulation
Die Herstellerangaben beschreiben Produktfunktionen. Ob ein Produkt den eigenen Scope abdeckt, zeigt erst ein kontrollierter Test mit den relevanten Datenquellen, Kontrollen und Betriebsgrenzen.
Security Tool Navigator · Gebiet 10
Im Gebiet Security Testing und Validation einordnen.
Diese Werkzeugklasse gehört zum Gebiet Security Testing und Validation. Der Gebietshub zeigt, wie die Werkzeugklassen zusammenwirken, wo sie sich abgrenzen und welche Fragen CIO und CISO jeweils klären.