Was bleibt beim Vorstand von Ihrem letzten Pentest hängen: eine Ampel oder eine Entscheidung?
Die Management-Präsentation zum Pentest, aufbereitet für Geschäftsführung und Vorstand: Angriffsverlauf entlang Ihrer Geschäftsprozesse, Befundentwicklung und Behebungsdauer, eingeordnet nach NIST CSF 2.0 und CVSS. Festgehaltene Entscheidungen können zugleich die Überwachung durch die Geschäftsleitung nach § 38 BSIG dokumentieren.
Die IT-Sicherheit leistet viel, im Vorstand kommt davon oft nur eine Ampel an oder eine Budgetforderung ohne Kontext. Technische Berichte sind für diesen Kreis zu tief, Folien ohne Substanz überzeugen nicht. Nach § 38 BSIG sind Geschäftsleitungen wichtiger und besonders wichtiger Einrichtungen verpflichtet, Risikomanagementmaßnahmen umzusetzen und ihre Umsetzung zu überwachen. Dafür brauchen sie Vorlagen, mit denen sie entscheiden können.
Die Management-Präsentation übersetzt die Pentest-Ergebnisse in Geschäftssprache, ohne die Substanz zu vereinfachen. Im Mittelpunkt stehen Ihre eigenen Zahlen: was geprüft wurde, wie weit ein Angreifer kam, was seit dem letzten Test besser geworden ist und was jetzt zu entscheiden ist. Dabei wählen wir eine Ebene, die technische Ergebnisse in relevante Geschäftsentscheidungen überführt.
Wie ein Angriff verlaufen wäre, erzählt entlang Ihrer Geschäftsprozesse und kritischen Werte statt in Schwachstellenbezeichnungen.
Befunde nach Schwere, geschlossene Befunde, Behebungsdauer und Veränderung seit dem letzten Test. Die Leistung Ihres Teams wird sichtbar.
Priorisierte Optionen mit Aufwand und Konsequenz: was jetzt, was später und was bewusst akzeptiert wird.
Entscheidungen können im Termin fallen, weil die richtigen Personen im Raum sind, und werden festgehalten. Die in der Präsentation festgehaltenen Entscheidungen können zugleich belegen, dass die Geschäftsleitung ihre Überwachungsaufgabe wahrnimmt.
Vorher stimmen wir in einem Termin Botschaften, Schwerpunkte und Zahlen ab, um vorgelagerte Informationen sauber einfließen zu lassen.
Die Management-Präsentation zum Pentest übersetzt Testergebnisse in Geschäftssprache: wie weit ein Angreifer kam, was sich seit dem letzten Test verbessert hat und was jetzt zu entscheiden ist. Gedacht ist sie für CISO, CIO und IT-Leitung, die vor Geschäftsführung oder Vorstand berichten. Die Arbeit an einzelnen Befunden liegt im Technischen Workshop. Aus getroffenen Entscheidungen macht die Security-Roadmap einen Plan, die Umsetzungsbegleitung hält den Fortschritt nachweisbar.
Ein Termin mit IT-Leitung, CIO oder CISO vor der Präsentation: Botschaften, Schwerpunkte und Zahlen.
Wir erarbeiten die Präsentation gemeinsam mit Ihnen auf Basis der Assessment-Ergebnisse und Ihrer Schwerpunkte.
Projekt und Angreiferperspektive, Zusammenfassung, Handlungsbedarf mit Entscheidungsvorlagen und nächste Schritte.
Getroffene Entscheidungen und nächste Schritte ergänzen wir direkt in der Präsentation.
Die Management-Präsentation ist eine optionale Erweiterung eines Assessments. Es entsteht eine Unterlage: die Präsentation, die wir gemeinsam mit Ihnen erarbeiten und vortragen.
Eine Präsentation, die wir gemeinsam mit Ihnen erarbeiten: Projekt und Angreiferperspektive, Zusammenfassung, Handlungsbedarf mit Entscheidungsvorlagen und nächste Schritte. Weitere Unterlagen entstehen nicht, Grundlage sind Bericht und Management Summary des zugrunde liegenden Assessments.
„Besonders überzeugt an den Projekten mit der ProSec hat mich der strukturierte Aufbau der bisher durchgeführten Pentests und die sehr gut vorbereiteten und durchgeführten Ergebnispräsentationen. Mit den dargelegten Ergebnissen und den übermittelten Dokumenten konnten wir sehr gut die Schwachstellen bearbeiten und Maßnahmen ergreifen.“
Borris Hoffmeister, IT-Continuity & -Security Manager, Deutsche GigaNetz GmbH
Die Management-Präsentation bereitet Ergebnisse auf und führt zu Entscheidungen, die Umsetzung selbst liegt außerhalb. Diese Leistungen setzen davor oder danach an.
Wenn der Vorstand ein Mandat erteilt, das über die nächsten Monate hinausreicht, bringt die Security-Roadmap die Maßnahmen in eine realistische Reihenfolge.
Zur LeistungWenn dieselben Ergebnisse auch Aufsicht, Auditor oder Kunden erreichen sollen, liefert die Prüfbescheinigung den Nachweis ohne Befunddetails.
Zur LeistungKombinierbar, sobald die Entscheidungen gefallen sind und Ihr IT-Team die priorisierten Befunde selbst schließen soll.
Zur LeistungWenn Ihnen für den Vorstand noch eine aktuelle Grundlage fehlt, zeigt der interne Test, wie weit ein Angreifer bis zu Ihren kritischen Werten käme.
Zur LeistungSchildern Sie kurz, worum es geht. Den Zuschnitt erarbeiten wir mit Ihnen im Scoping. Für das Beratungsgespräch müssen
Sie nichts vorbereiten. Basierend auf Ihren Unternehmensabläufen und IT-Assets ermitteln wir gemeinsam das passende Vorgehen.
Diese Fragen erreichen uns zu dieser Leistung am häufigsten. Was fehlt, klären wir gern persönlich im Beratungsgespräch.
Wir gemeinsam mit Ihnen. Wir liefern die Angreiferperspektive und beantworten Fachfragen, Sie führen durch Ihre Ergebnisse und Empfehlungen. So bleiben Sie der Ansprechpartner des Vorstands, auch nach dem Termin.
Nein. Die Präsentation ist für Entscheider ohne technischen Hintergrund gebaut. Für Rückfragen bleibt die technische Tiefe im Raum, sie steht aber nicht im Vordergrund.
Ja. Für diesen Kreis verdichten wir stärker auf Risikolage, Entwicklung und getroffene Entscheidungen. Den Zuschnitt stimmen wir im Vorbereitungstermin ab.
Der Bericht dokumentiert Befunde für die Behebung, die Management Summary darin fasst sie auf wenigen Seiten zusammen. Unsere Management-Präsentation baut darauf eine Management Summary für das Gremium, die zu Entscheidungen führt: Es übersetzt Angriffswege in Geschäftsauswirkungen, zeigt die Entwicklung Ihrer Kennzahlen und legt Optionen mit Aufwand und Konsequenz vor. Die technische Tiefe bleibt im Bericht und steht für Rückfragen bereit.
Nach § 38 BSIG muss die Geschäftsleitung wichtiger und besonders wichtiger Einrichtungen die Risikomanagementmaßnahmen umsetzen und ihre Umsetzung überwachen. Das Gesetz regelt außerdem die Haftung gegenüber der Einrichtung bei Pflichtverletzungen (§ 38 Abs. 2) und verpflichtet die Geschäftsleitung, regelmäßig an Schulungen teilzunehmen (§ 38 Abs. 3). Dokumentierte Entscheidungen auf Grundlage geprüfter Ergebnisse können zeigen, dass die Geschäftsleitung ihre Überwachungsaufgabe wahrnimmt. Eine rechtliche Bewertung im Einzelfall ersetzt das nicht.
Vor allem Ihre Einschätzung, was der Vorstand wissen muss und welche Entscheidungen anstehen. Im Vorbereitungstermin rund zwei Wochen vorher stimmen wir Botschaften, Schwerpunkte und Zahlen mit Ihnen ab. Liegen Kennzahlen aus früheren Tests vor, wird damit die Entwicklung sichtbar.
Dann zeigen wir sie, mit Einordnung und Optionen. Ein Vorstand kann mit einer klaren Risikolage und einem Plan mehr anfangen als mit geschönten Werten. Wie Sie Ergebnisse und die Leistung Ihres Teams zusammen darstellen, stimmen wir vorab mit Ihnen ab.
Mindestens nach jedem größeren Test und bei wesentlichen Veränderungen der Risikolage. § 38 BSIG nennt keinen festen Turnus, verlangt aber die Überwachung der Umsetzung. Im Programm bietet sich eine regelmäßige Vorlage an, die jeweils die Entwicklung seit dem letzten Termin zeigt.
Er ist planbar: ein einstündiger Vorbereitungstermin rund zwei Wochen vor der Präsentation und die Präsentation selbst. Die Unterlage erstellen wir auf Basis der Assessment-Ergebnisse. Mehr Aufwand entsteht, wenn Kennzahlen aus früheren Tests erst zusammengetragen werden müssen.
