Seminar cysmo Cyber Risk Rating – Outside-In Scanning und Ratingmethodik

Outside-In Scanning liefert eine standardisierte Sicht auf öffentlich erkennbare Angriffsflächen, ersetzt aber weder interne Prüfung noch Penetrationstest oder Forensik. Das Seminar vermittelt die technische und fachliche Logik der Bewertung so weit, dass Ratings belastbar interpretiert, verglichen und in Entscheidungen eingebunden werden können.

Inhaltsverzeichnis

1. Einordnung und Lernziele
2. Kapitel 1: Outside-In-Prinzip und Prüfgrenzen
3. Kapitel 2: Scope und digitale Angriffsfläche
4. Kapitel 3: Teilratings im Detail
5. Kapitel 4: Datenqualität und Zero-False-Positive-Anspruch
6. Kapitel 5: Zeitbezug, Vergleich und Entscheidung
7. Praxisübungen
8. Arbeitsweise und Dokumentation

Einordnung und Lernziele

Das Seminar verbindet fachliche Einordnung, systematische Arbeitsschritte und praktische Übungen in einer bereitgestellten Schulungsumgebung. Im Mittelpunkt stehen reproduzierbare Entscheidungen und eine nachvollziehbare Dokumentation.

• Outside-In Scanning gegenüber aktiven Prüfverfahren und Selbstauskünften abgrenzen.
• Scope, Domainbezug und öffentlich sichtbare Infrastruktur methodisch beurteilen.
• Teilratings und ihre technische Aussagekraft strukturiert interpretieren.
• Datenqualität, Aktualität, Unsicherheit und mögliche Fehlinterpretationen erkennen.
• Bewertungen über Zeit und zwischen Unternehmen nachvollziehbar vergleichen.

Seminarinhalte

Kapitel 1: Outside-In-Prinzip und Prüfgrenzen

1. Schritt 1: Angreiferperspektive, passive Analyse und nicht intrusive Vorgehensweise erklären.
2. Schritt 2: Nicht sichtbare interne Kontrollen, Prozesse und Netzwerkbereiche als Grenze benennen.
3. Schritt 3: Outside-In Rating, Vulnerability Scan, Penetrationstest, Audit und Fragebogen unterscheiden.
4. Schritt 4: Zulässige Entscheidungsnutzung und notwendige Ergänzungsprüfungen festlegen.

Kapitel 2: Scope und digitale Angriffsfläche

1. Schritt 1: Hauptdomain, Subdomains, Marken, Länderauftritte und Konzernbezüge strukturieren.
2. Schritt 2: Öffentlich erreichbare Dienste, Providerbezüge und technische Abhängigkeiten einordnen.
3. Schritt 3: Gemeinsam genutzte Infrastruktur und ausgelagerte Dienste erkennen.
4. Schritt 4: Scope-Fehler und deren Auswirkung auf Bewertung und Vergleichbarkeit dokumentieren.

Kapitel 3: Teilratings im Detail

1. Schritt 1: Attack Resilience als sichtbare Angriffsfläche und technische Widerstandsfähigkeit interpretieren.
2. Schritt 2: DDoS Stability als Hinweis auf Widerstandsfähigkeit der erreichbaren Infrastruktur einordnen.
3. Schritt 3: DNS Config und Mail Config anhand typischer Konfigurations- und Schutzthemen bewerten.
4. Schritt 4: Privacy and Reputation sowie DarkNet als ergänzende Außenindikatoren mit eigenen Grenzen behandeln.

Kapitel 4: Datenqualität und Zero-False-Positive-Anspruch

1. Schritt 1: Befund, Evidenz, Interpretation und Entscheidung voneinander trennen.
2. Schritt 2: Plausibilitätsprüfung ohne Veränderung der Quellbewertung durchführen.
3. Schritt 3: Mehrdeutige technische Zuordnungen und vorübergehende Zustände erkennen.
4. Schritt 4: Qualitätsabweichungen strukturiert dokumentieren und in einen Prüfprozess übergeben.

Kapitel 5: Zeitbezug, Vergleich und Entscheidung

1. Schritt 1: Momentaufnahme und kontinuierliche Bewertung auseinanderhalten.
2. Schritt 2: Scoreänderungen, neue Befunde und Scopeänderungen getrennt analysieren.
3. Schritt 3: Vergleichsgruppen nach Branche, Größe und Entscheidungszweck sinnvoll bilden.
4. Schritt 4: Rating als einen Baustein in Underwriting, Portfolio, Lieferkette oder Due Diligence verwenden.

Praxisübungen

• Scope-Prüfung für mehrere Unternehmen mit Marken- und Konzernstruktur.
• Technische Interpretation eines Reports entlang aller Teilratings.
• Vergleich zweier Bewertungen mit ähnlichem Gesamtscore, aber unterschiedlicher Risikostruktur.
• Analyse einer zeitlichen Veränderung einschließlich möglicher Scope- und Datenqualitätsursachen.

Arbeitsweise und Dokumentation

Vortrag, geführte Demonstration, strukturierte Einzel- und Gruppenübungen sowie Fallbearbeitung wechseln sich ab. Arbeitsschritte, Annahmen, Entscheidungen und offene Punkte werden in Checklisten und Vorlagen festgehalten. Produktfunktionen werden entsprechend der in der Schulungsumgebung freigeschalteten Lizenz und Rollen ausgeführt.