Seminar Detectify – Compliance-Mapping, Reporting und Nachweisführung

Das Seminar zeigt, wie technische Detectify-Ergebnisse kontrolliert für Sicherheits- und Compliance-Nachweise genutzt werden. Findings, Assets, Scanabdeckung, Statusverläufe und Berichte werden auf Kontrollziele abgebildet, ohne eine formale Zertifizierung oder rechtliche Bewertung zu ersetzen.

Inhaltsübersicht

• Lernziele und fachliche Einordnung
• Schrittweise Seminarinhalte
• Praxisübungen und Laborszenarien
• Zielgruppe und Voraussetzungen
• Didaktik und Arbeitsweise

Lernziele

• Technische Scan- und Assetdaten auf überprüfbare Kontrollziele abbilden.
• Abdeckung, Frequenz, Befundstatus und Remediation als Evidenz strukturieren.
• Berichte für unterschiedliche Prüf- und Managementadressaten aufbereiten.
• Ausnahmen, akzeptierte Risiken und fehlende Abdeckung transparent dokumentieren.
• Einen wiederholbaren Auditvorbereitungs- und Evidenzpflegeprozess etablieren.

Schrittweise Seminarinhalte

1. Kontrollziele und Evidenzmodell

Schwerpunkt: Kontrollanforderung, technische Prüfung, Scope, Frequenz, Eigentümer, Evidenzobjekt, Aufbewahrung und Prüfbarkeit.

1. Ausgangslage, Schutzbedarf und messbare Zielkriterien für den Themenblock „Kontrollziele und Evidenzmodell“ erfassen.
2. Relevante Objekte, Rollen, Datenflüsse und Abhängigkeiten anhand von Kontrollanforderung, technische Prüfung, Scope, Frequenz, Eigentümer, Evidenzobjekt, Aufbewahrung und Prüfbarkeit modellieren.
3. Die erforderliche Konfiguration beziehungsweise Prozessfolge im Laborsystem schrittweise umsetzen und jeden sicherheitsrelevanten Zwischenschritt protokollieren.
4. Funktion, Berechtigungen, Abdeckung, Protokollierung und Fehlerverhalten mit definierten Positiv-, Negativ- und Grenzfällen prüfen.
5. Als Arbeitsergebnis ein standardisiertes Kontroll- und Evidenzmapping dokumentieren, fachlich abnehmen und in einen wiederholbaren Standard überführen.

2. OWASP Top 10 und ASVS

Schwerpunkt: Web- und API-Risiken, dynamische Prüfungen, Coverage-Grenzen, technische Nachweise, Ergänzungskontrollen und Testfrequenz.

1. Ausgangslage, Schutzbedarf und messbare Zielkriterien für den Themenblock „OWASP Top 10 und ASVS“ erfassen.
2. Relevante Objekte, Rollen, Datenflüsse und Abhängigkeiten anhand von Web- und API-Risiken, dynamische Prüfungen, Coverage-Grenzen, technische Nachweise, Ergänzungskontrollen und Testfrequenz modellieren.
3. Die erforderliche Konfiguration beziehungsweise Prozessfolge im Laborsystem schrittweise umsetzen und jeden sicherheitsrelevanten Zwischenschritt protokollieren.
4. Funktion, Berechtigungen, Abdeckung, Protokollierung und Fehlerverhalten mit definierten Positiv-, Negativ- und Grenzfällen prüfen.
5. Als Arbeitsergebnis eine belastbare Zuordnung von DAST-Ergebnissen zu OWASP-Kontrollzielen dokumentieren, fachlich abnehmen und in einen wiederholbaren Standard überführen.

3. ISO 27001, SOC 2 und NIST-orientierte Kontrollen

Schwerpunkt: Assetinventar, Schwachstellenmanagement, Überwachung, Änderungsnachweis, Zugriffskontrolle, Behandlung und Wirksamkeit.

1. Ausgangslage, Schutzbedarf und messbare Zielkriterien für den Themenblock „ISO 27001, SOC 2 und NIST-orientierte Kontrollen“ erfassen.
2. Relevante Objekte, Rollen, Datenflüsse und Abhängigkeiten anhand von Assetinventar, Schwachstellenmanagement, Überwachung, Änderungsnachweis, Zugriffskontrolle, Behandlung und Wirksamkeit modellieren.
3. Die erforderliche Konfiguration beziehungsweise Prozessfolge im Laborsystem schrittweise umsetzen und jeden sicherheitsrelevanten Zwischenschritt protokollieren.
4. Funktion, Berechtigungen, Abdeckung, Protokollierung und Fehlerverhalten mit definierten Positiv-, Negativ- und Grenzfällen prüfen.
5. Als Arbeitsergebnis eine wiederverwendbare technische Kontrollmatrix dokumentieren, fachlich abnehmen und in einen wiederholbaren Standard überführen.

4. NIS2, DORA und risikobasierte Nachweise

Schwerpunkt: Angriffsflächenkontrolle, technische Resilienz, Schwachstellenbehandlung, Drittparteien, Meldewege, Wiederholungsprüfung und Managementsicht.

1. Ausgangslage, Schutzbedarf und messbare Zielkriterien für den Themenblock „NIS2, DORA und risikobasierte Nachweise“ erfassen.
2. Relevante Objekte, Rollen, Datenflüsse und Abhängigkeiten anhand von Angriffsflächenkontrolle, technische Resilienz, Schwachstellenbehandlung, Drittparteien, Meldewege, Wiederholungsprüfung und Managementsicht modellieren.
3. Die erforderliche Konfiguration beziehungsweise Prozessfolge im Laborsystem schrittweise umsetzen und jeden sicherheitsrelevanten Zwischenschritt protokollieren.
4. Funktion, Berechtigungen, Abdeckung, Protokollierung und Fehlerverhalten mit definierten Positiv-, Negativ- und Grenzfällen prüfen.
5. Als Arbeitsergebnis ein risikobasiertes Nachweismodell für regulatorische Anforderungen dokumentieren, fachlich abnehmen und in einen wiederholbaren Standard überführen.

5. PCI DSS und Abgrenzung zur ASV-Prüfung

Schwerpunkt: externe ASV-Scans, interne Scans, reguläre Detectify-Scans, Scope, Verantwortlichkeiten, Quartalsrhythmus und offizielle Nachweise.

1. Ausgangslage, Schutzbedarf und messbare Zielkriterien für den Themenblock „PCI DSS und Abgrenzung zur ASV-Prüfung“ erfassen.
2. Relevante Objekte, Rollen, Datenflüsse und Abhängigkeiten anhand von externe ASV-Scans, interne Scans, reguläre Detectify-Scans, Scope, Verantwortlichkeiten, Quartalsrhythmus und offizielle Nachweise modellieren.
3. Die erforderliche Konfiguration beziehungsweise Prozessfolge im Laborsystem schrittweise umsetzen und jeden sicherheitsrelevanten Zwischenschritt protokollieren.
4. Funktion, Berechtigungen, Abdeckung, Protokollierung und Fehlerverhalten mit definierten Positiv-, Negativ- und Grenzfällen prüfen.
5. Als Arbeitsergebnis eine klare Abgrenzungs- und Verantwortungsmatrix für PCI-bezogene Prüfungen dokumentieren, fachlich abnehmen und in einen wiederholbaren Standard überführen.

6. Reporting, Export und Evidenzpakete

Schwerpunkt: Assetlisten, Scanprofile, Zeitstempel, Findings, Statushistorie, Remediation, Retest, Exporte, Managementbericht und technische Anlagen.

1. Ausgangslage, Schutzbedarf und messbare Zielkriterien für den Themenblock „Reporting, Export und Evidenzpakete“ erfassen.
2. Relevante Objekte, Rollen, Datenflüsse und Abhängigkeiten anhand von Assetlisten, Scanprofile, Zeitstempel, Findings, Statushistorie, Remediation, Retest, Exporte, Managementbericht und technische Anlagen modellieren.
3. Die erforderliche Konfiguration beziehungsweise Prozessfolge im Laborsystem schrittweise umsetzen und jeden sicherheitsrelevanten Zwischenschritt protokollieren.
4. Funktion, Berechtigungen, Abdeckung, Protokollierung und Fehlerverhalten mit definierten Positiv-, Negativ- und Grenzfällen prüfen.
5. Als Arbeitsergebnis ein vollständiges, adressatengerechtes Evidenzpaket dokumentieren, fachlich abnehmen und in einen wiederholbaren Standard überführen.

7. Ausnahmen, Risiken und Kontrolllücken

Schwerpunkt: False Positive, Accepted Risk, nicht erreichbare Assets, Scopeausschluss, befristete Ausnahme, Kompensationsmaßnahme und Genehmigung.

1. Ausgangslage, Schutzbedarf und messbare Zielkriterien für den Themenblock „Ausnahmen, Risiken und Kontrolllücken“ erfassen.
2. Relevante Objekte, Rollen, Datenflüsse und Abhängigkeiten anhand von False Positive, Accepted Risk, nicht erreichbare Assets, Scopeausschluss, befristete Ausnahme, Kompensationsmaßnahme und Genehmigung modellieren.
3. Die erforderliche Konfiguration beziehungsweise Prozessfolge im Laborsystem schrittweise umsetzen und jeden sicherheitsrelevanten Zwischenschritt protokollieren.
4. Funktion, Berechtigungen, Abdeckung, Protokollierung und Fehlerverhalten mit definierten Positiv-, Negativ- und Grenzfällen prüfen.
5. Als Arbeitsergebnis ein auditierbares Ausnahme- und Lückenregister dokumentieren, fachlich abnehmen und in einen wiederholbaren Standard überführen.

8. Auditvorbereitung und kontinuierliche Pflege

Schwerpunkt: Prüfkalender, Stichproben, Evidenzowner, Qualitätskontrolle, Versionsstand, Wiederholungsprüfung, Abweichung und Verbesserung.

1. Ausgangslage, Schutzbedarf und messbare Zielkriterien für den Themenblock „Auditvorbereitung und kontinuierliche Pflege“ erfassen.
2. Relevante Objekte, Rollen, Datenflüsse und Abhängigkeiten anhand von Prüfkalender, Stichproben, Evidenzowner, Qualitätskontrolle, Versionsstand, Wiederholungsprüfung, Abweichung und Verbesserung modellieren.
3. Die erforderliche Konfiguration beziehungsweise Prozessfolge im Laborsystem schrittweise umsetzen und jeden sicherheitsrelevanten Zwischenschritt protokollieren.
4. Funktion, Berechtigungen, Abdeckung, Protokollierung und Fehlerverhalten mit definierten Positiv-, Negativ- und Grenzfällen prüfen.
5. Als Arbeitsergebnis ein wiederholbares Auditvorbereitungs- und Pflegeverfahren dokumentieren, fachlich abnehmen und in einen wiederholbaren Standard überführen.

Praxisübungen und Laborszenarien

• Erstellung eines Kontrollmappings für Web-, API- und Angriffsflächenprüfungen.
• Zusammenstellung eines Evidenzpakets aus Asset-, Scan-, Finding- und Retestdaten.
• Bewertung einer Kontrolllücke und Dokumentation einer befristeten Ausnahme mit Kompensationsmaßnahmen.
• Entwurf eines quartalsweisen Audit- und Evidenzpflegekalenders.

Zielgruppe und Voraussetzungen

Zielgruppe: Informationssicherheit, Compliance, Audit, AppSec, Security Governance, Risikomanagement und technische Kontrollverantwortung.

Voraussetzungen: Grundkenntnisse in Schwachstellenmanagement und mindestens einem relevanten Sicherheits- oder Compliance-Rahmenwerk.

Didaktik und Arbeitsweise

Fachimpulse, Demonstrationen und geführte Konfigurationsschritte wechseln mit Praxisübungen, kontrollierten Fehlerfällen und Reviewphasen. Jede Übung verwendet definierte Ausgangswerte, Prüfpunkte und Dokumentationsanforderungen, damit die Abläufe wiederholbar bleiben.