Das Modell hinter Kantyra: vom Signal zum Nachweis

Wer für die Informationssicherheit verantwortlich ist, jongliert schnell mit einzelnen Listen: hier ein Risikoregister, dort ein Normenrahmen, Richtlinien im Intranet und Nachweise verstreut in Ordnern und Postfächern. Jede Liste stimmt für sich, und dennoch fehlt der Überblick. Deshalb arbeitet Kantyra mit einem einzigen Modell, das alles verbindet, in vier Phasen: Erfassen, Bewerten, Lösen und Nachweisen.

Erfassen: die Fakten aus der Praxis

Alles beginnt mit dem, was tatsächlich ist und geschieht. Sie erfassen Ihre Unternehmenswerte und Prozesse, Sie registrieren Ihre Lieferanten mit ihrer Kritikalität, und Sie halten Vorfälle in dem Moment fest, in dem sie auftreten. Diese Phase liefert kein Urteil; sie liefert die Fakten, auf denen jedes Urteil ruhen muss.

Bewerten: wissen, wo Sie stehen

Mit den Fakten auf dem Tisch können Sie abwägen. Sie bewerten Risiken nach Eintrittswahrscheinlichkeit und Auswirkung, Sie bestimmen je Anforderung, ob Sie sie erfüllen, und Sie halten zu jeder Abwägung eine Begründung fest. Das Ergebnis dieser Phase ist ein ehrliches Bild: das haben wir im Griff, hier klafft eine Lücke, und diese Lücke hat einen Verantwortlichen.

Lösen: Abdeckung, die funktioniert

Jede Lücke verdient eine Lösung, die Sie aufrechterhalten können. Das ist eine Maßnahme mit einem Wirksamkeitstest, eine Richtlinie mit einem Genehmigungs-Workflow und einem Überprüfungszyklus oder ein Projekt für das, was noch aufgebaut werden muss. Für Risiken, die Sie bewusst akzeptieren, gibt es die Ausnahme: eine formell genehmigte Abweichung mit einem Enddatum, damit das Akzeptieren nie unbemerkt dauerhaft wird.

Nachweisen: der Nachweis auf Abruf

Die letzte Phase macht bei jedem Audit und jeder Kundenanfrage den Unterschied. Weil jedes Urteil seine Begründung und jede Maßnahme ihre Nachweise trägt, ist die Erklärung zur Anwendbarkeit keine jährliche Rekonstruktion mehr, sondern ein Export. Wer danach fragt, erhält sie noch am selben Tag.

Der Motor unter dem Modell

Zwischen den Phasen läuft ein stiller Motor. Aufgaben und automatische Überwachung halten das Modell aktuell, denn Überprüfungstermine, Testtermine und Enddaten führen von selbst zu einem Hinweis bei der richtigen Person. Und die Phasen speisen einander zurück. Ein schwerwiegender Vorfall erzwingt eine Neubewertung des verknüpften Risikos, und ein abgeschlossenes Projekt wird mit einem Klick zu einer aktiven Maßnahme, samt allen Verknüpfungen.

So wird Informationssicherheit kein Projekt mit einem Enddatum, sondern ein Rhythmus, der weiterläuft. In den Artikeln je Phase arbeiten wir jeden Bestandteil weiter aus.