Anforderungen & SoA
Massnahmen und Kontrollen als Nachweis je Anforderung.
FUNKTIONEN · MASSNAHMEN & KONTROLLEN
Umsetzen, belegen, regelmässig prüfen.
Massnahmen haben Verantwortliche und Termine, wiederkehrende Aufgaben einen festen Rhythmus mit Nachweis je Durchführung. Wo eine Vorgabe nicht erfüllt werden kann, gibt es eine befristete, genehmigte Ausnahme.
Massnahmen mit klarem Stand
Jede Massnahme durchläuft Geplant, In Umsetzung und Umgesetzt. Wer sie als umgesetzt meldet, beschreibt, wie, und legt bei Bedarf einen Nachweis bei. Überfällige Massnahmen sind sofort sichtbar.
- Verantwortliche Personen und Termine
- Verknüpfung mit Risiken und Anforderungen
- Verantwortliche sehen den Zweck, auch ohne weitere Rechte
Wiederkehrende Massnahmen
Aufgaben wie das Einspielen von Patches erhalten einen Rhythmus. Jede Durchführung wird mit Datum und PDF-Nachweis festgehalten, versäumte Termine sind sofort sichtbar.
- Rhythmus von einem Monat bis fünf Jahren
- Nachweis je Durchführung, unveränderlich
- Pendenz vor der Fälligkeit
Interne Kontrollen
Prüfhandlungen wie die quartalsweise Überprüfung von Berechtigungen werden als Kontrollen mit Ziel, Durchführung und erwartetem Nachweis geführt. Ein Mangel führt zu einer Korrekturmassnahme und bei Bedarf zu einer Nachprüfung.
- Ergebnis wirksam oder mangelhaft
- Jahresplan aus dem Rhythmus
- Zuordnung zu Anforderungen und Risiken
Ausnahmen mit Ablaufdatum
Eine Ausnahme ist eine bewusste, befristete Abweichung von einer Vorgabe. Sie braucht ein verknüpftes Risiko und gilt erst, wenn der Freigabeweg unterschrieben und das Risiko akzeptiert ist.
- Gültig bis, mit Erinnerung vor dem Ablauf
- Freigabeweg je Organisation
- Verlängern nur über eine erneute Genehmigung
Passend dazu
Risikomanagement
Warum eine Massnahme nötig ist.
Häufige Fragen
Was ist der Unterschied zwischen Massnahme und Kontrolle?
Eine Massnahme verändert etwas, zum Beispiel eine neue Firewall-Regel. Eine interne Kontrolle prüft regelmässig, ob etwas wirkt, zum Beispiel ob die Datensicherung wiederherstellbar ist. Beide lassen sich mit Risiken und Anforderungen verknüpfen.
Wie lange gilt eine Ausnahme?
Bis zum Datum, das bei der Genehmigung festgelegt wurde. Vor dem Ablauf erhalten die Verantwortlichen eine Erinnerung; verlängert wird nur über eine erneute Genehmigung.
Sehen Sie es an Ihrem eigenen Beispiel.
In einer persönlichen Demo gehen wir Ihre Fragestellungen durch, unverbindlich. Oder Sie starten sofort mit dem Paket Free.