148 lines
6.9 KiB
Markdown
148 lines
6.9 KiB
Markdown
---
|
||
doc_key: at_assessment_guide
|
||
title: "Assessment Tool — Bewertungsanleitung"
|
||
description: "Detaillierte Anleitung: Control-Typen, Bewertungslogik, Scoring, Capability-Abhängigkeiten, Mehrfach-Assessments und Provider-Review."
|
||
audience: public
|
||
version: "1.0"
|
||
---
|
||
|
||
## Überblick: Der Bewertungsablauf
|
||
|
||
```mermaid
|
||
flowchart TD
|
||
SC["Scope & Perimeter\nfestlegen"] --> AS["Assessment starten\nDomain auswählen"]
|
||
AS --> EV["Fähigkeiten bewerten\n0–5 pro Control"]
|
||
EV --> SA["Speichern &\nfortsetzen"]
|
||
SA --> EV
|
||
EV --> CM["Assessment\nabschliessen"]
|
||
CM --> RV{"Provider\nReview aktiviert?"}
|
||
RV -->|Ja| PR["Provider-Review\ndurch SwissMax"]
|
||
RV -->|Nein| SC2["Scorecard &\nGap-Analyse"]
|
||
PR --> SC2
|
||
SC2 --> MP["Massnahmenplan\nerstellen"]
|
||
MP --> RA["Reassessment\n(nach Massnahmen)"]
|
||
```
|
||
|
||
## Das SBCF-Hierarchiemodell verstehen
|
||
|
||
Bevor Sie mit der Bewertung beginnen, ist es hilfreich, die Struktur des Frameworks zu verstehen:
|
||
|
||
```
|
||
L1 — Domain (z.B. 🔷 DT: Digital & Technologie)
|
||
L2 — Gruppe (z.B. DT.CS: Cloud & Sicherheit)
|
||
L3 — Fähigkeit (z.B. DT.CS.IAM: Identitäts- & Zugriffsmanagement)
|
||
L4 — Kontrollen (operative Prüfpunkte pro Fähigkeit)
|
||
```
|
||
|
||
**Was Sie bewerten:** Sie bewerten jede **L3-Fähigkeit** durch Beantwortung der zugehörigen Kontrollfragen (L4). Das Tool berechnet daraus automatisch den Reifegrad der Fähigkeit und aggregiert ihn zur Gruppen- und Domain-Bewertung.
|
||
|
||
## Control-Typen
|
||
|
||
Das Assessment verwendet zwei Typen von Kontrollen:
|
||
|
||
### Fragen-Kontrollen (Question Controls)
|
||
|
||
Sie wählen den aktuellen Reifegrad auf einer Skala von 0–5:
|
||
|
||
| Stufe | Bezeichnung | Typische Merkmale |
|
||
|-------|-------------|-------------------|
|
||
| **0** | Nicht vorhanden | Keine Aktivität, kein Bewusstsein |
|
||
| **1** | Initial | Einzelaktionen, stark personenabhängig, keine Dokumentation |
|
||
| **2** | Wiederholbar | Prozesse existieren, aber informal und inkonsistent umgesetzt |
|
||
| **3** | Definiert | Schriftlich dokumentiert, standardisiert, regelmässig angewendet |
|
||
| **4** | Gesteuert | Messbar mit KPIs, regelmässig überprüft, Abweichungen erkannt |
|
||
| **5** | Optimiert | Kontinuierliche Verbesserung etabliert, Best-Practice-Niveau |
|
||
|
||
> **Richtig bewerten:** Wählen Sie den Reifegrad, der *dauerhaft und verlässlich* erreicht wird — nicht den besten Einzelfall. Wenn eine Massnahme nur manchmal funktioniert, ist das Reifegrad 1–2, nicht 3.
|
||
|
||
### Technische Prüfungen (Technical Checks)
|
||
|
||
Für bestimmte Fähigkeiten (primär im Bereich Digital & Technologie) können technische Prüfungen integriert sein. Diese analysieren direkt Konfigurationen oder Systemzustände und liefern einen automatischen Score.
|
||
|
||
## Bewertungslogik und Scoring
|
||
|
||
### Score-Berechnung pro Fähigkeit
|
||
|
||
Der Score einer L3-Fähigkeit ergibt sich aus dem gewichteten Durchschnitt aller zugehörigen Kontrollen:
|
||
|
||
- Kontrollen mit höherer Kritikalität gehen stärker in den Score ein
|
||
- Technische Prüfungen und Fragen-Kontrollen werden kombiniert gewichtet
|
||
|
||
### Aggregation zur Domain
|
||
|
||
```
|
||
L4-Kontrollen → L3-Fähigkeit (gewichteter Ø)
|
||
L3-Fähigkeiten → L2-Gruppe (gewichteter Ø)
|
||
L2-Gruppen → L1-Domain (gewichteter Ø)
|
||
L1-Domains → Gesamtscore (branchengewichtet)
|
||
```
|
||
|
||
> **Branchengewichtung:** Für verschiedene Branchen und Unternehmenstypen haben unterschiedliche Domains unterschiedliche strategische Bedeutung. Ein Finanzdienstleister gewichtet RM höher als ein Handelsunternehmen. Das Tool berücksichtigt diese Gewichtung automatisch anhand Ihrer Branchenangabe.
|
||
|
||
## Capability-Abhängigkeiten
|
||
|
||
Das SBCF modelliert **29 Abhängigkeiten** zwischen Fähigkeiten. Diese zeigen Ihnen, in welcher Reihenfolge Sie Verbesserungen sinnvollerweise angehen sollten.
|
||
|
||
**Beispiel:** Bevor Sie *DT.CS.IRP (Incident Response)* verbessern können, brauchen Sie eine ausreichende Basis bei *DT.CS.VM (Schwachstellenmanagement)* — denn ohne Schwachstellenkenntnis ist Incident Response nicht effektiv (Typ: `prerequisite`).
|
||
|
||
Im Assessment-Tool sehen Sie diese Abhängigkeiten im **Capability-Detail-Panel** als Hinweis-Badges:
|
||
- 🔴 **Voraussetzung fehlt:** Eine erforderliche Basis-Fähigkeit ist unter Reifegrad 2
|
||
- 🟡 **Abhängigkeit vorhanden:** Eine ermöglichende Fähigkeit stärkt die Wirkung
|
||
|
||
## Kommentare und Nachweise
|
||
|
||
Nutzen Sie das **Kommentarfeld** bei jeder Kontrolle für:
|
||
- Belege und Nachweise (z.B. «ISO-Zertifikat vorhanden, Ref. #2024-027»)
|
||
- Hinweise auf laufende Projekte («Einführung SIEM geplant Q1/2027»)
|
||
- Unsicherheiten («Unklarheit ob Prozess tatsächlich gelebt wird»)
|
||
|
||
Kommentare sind nur für Ihre Organisation sichtbar (und den Provider, falls Review aktiviert).
|
||
|
||
## Mehrfach-Assessments und Re-Assessments
|
||
|
||
### Mehrere Assessment-Instanzen
|
||
|
||
Sie können mehrere parallele Assessments für verschiedene Organisationseinheiten führen (z.B. separate Bewertungen für verschiedene Geschäftsbereiche oder Tochtergesellschaften).
|
||
|
||
### Re-Assessment
|
||
|
||
Nach Abschluss von Massnahmen empfiehlt sich ein Re-Assessment:
|
||
|
||
1. Starten Sie ein **neues Assessment** (nicht das bestehende überschreiben)
|
||
2. Das System zeigt Ihnen den Fortschritt gegenüber dem Vorgänger-Assessment
|
||
3. Unterschiede in der Scorecard werden als Verbesserungen oder Rückschritte markiert
|
||
|
||
> **Empfehlung:** Mindestens **jährlich** ein vollständiges Re-Assessment, um Fortschritte messbar zu machen und den Massnahmenplan zu aktualisieren.
|
||
|
||
## Provider-Review (optional)
|
||
|
||
Bei aktiviertem Provider-Review-Modus werden Ihre Bewertungen von einem SwissMax-Experten überprüft und kommentiert. Der Ablauf:
|
||
|
||
```mermaid
|
||
sequenceDiagram
|
||
participant K as Kunde
|
||
participant S as SwissMax Provider
|
||
K->>S: Assessment abschliessen (Status: "Zur Review")
|
||
S->>S: Review & Kommentare
|
||
S->>K: Freigabe oder Überarbeitungsanfrage
|
||
K->>K: Anpassungen vornehmen
|
||
K->>S: Erneut einreichen
|
||
S->>K: Finale Freigabe (Scorecard wird freigeschaltet)
|
||
```
|
||
|
||
Die freigegebene Scorecard enthält die validierten Reifegrade und kann für externe Berichte und Compliance-Nachweise verwendet werden.
|
||
|
||
## Häufige Fragen zur Bewertung
|
||
|
||
**Muss ich alle 10 Domains bewerten?**
|
||
Nein — Sie können auch einzelne Domains separat bewerten. Für eine vollständige Scorecard und aussagekräftiges Benchmarking empfehlen wir jedoch alle 10 Domains zu bewerten. Nicht bewertete Fähigkeiten werden als Reifegrad 0 gewertet.
|
||
|
||
**Wie lange dauert ein vollständiges Assessment?**
|
||
Ein erstes vollständiges Assessment dauert ca. 60–90 Minuten. Re-Assessments sind oft schneller, da Sie Ihre Vorjahresbewertungen als Ausgangspunkt verwenden können.
|
||
|
||
**Können mehrere Personen gleichzeitig bewerten?**
|
||
Ja — mehrere Nutzer Ihrer Organisation können parallel an demselben Assessment arbeiten. Änderungen werden in Echtzeit synchronisiert.
|
||
|
||
**Was passiert bei Unklarheiten?**
|
||
Nutzen Sie das Kommentarfeld oder wählen Sie einen niedrigeren Reifegrad (im Zweifel ist eine konservative Einschätzung aussagekräftiger). Bei grosser Unsicherheit empfiehlt sich die Provider-Review-Option.
|