Start / Leistungen / Clarity Assessment / Die Baseline
Methodik Veröffentlichte Maßstäbe, keine Tagesmeinung
Jede Bewertung in einem Clarity Assessment wird an etwas gemessen, das Sie nachschlagen können. Keine proprietäre Blackbox, kein Bauchgefühl. Diese Seite listet die Maßstäbe, die Hausregeln, die wir darauflegen, und wie aus beidem eine Prioritätsreihenfolge wird.
Die Maßstäbe
Der Konsens-Härtungsstandard für Betriebssysteme, Cloud-Plattformen und SaaS. Ihre AWS-, GCP-, Azure- und M365-Konfiguration wird Zeile für Zeile mit dem jeweiligen Benchmark verglichen – die Lücken werden aufgelistet, nicht zusammengefasst.
Das Kontrollset hinter der weltweit meistverlangten Sicherheitszertifizierung. Wir bewerten, welche Kontrollen existieren, welche nur auf dem Papier existieren und welche fehlen – ein späteres Zertifizierungsprojekt startet damit aus einer bekannten Position.
Sind Sie betroffen, werden Befunde auf die Artikel gemappt, die eine Aufsicht zitieren würde: IKT-Assetregister, Drittparteienregister, Bereitschaft zur Vorfallsmeldung. Das Assessment-Ergebnis ist so formatiert, dass es direkt als DORA-Register dient.
AWS, Google und Microsoft veröffentlichen selbst, wie ihre Plattformen gebaut sein sollten. Wir messen Sie an der veröffentlichten Architektur des Herstellers, nicht am Bundle eines Resellers – was uns leichtfällt, weil wir keines davon verkaufen.
Unsere Hausskala für den Joiner-Mover-Leaver-Lebenszyklus und das Gerätemanagement, von Grad 0, alles von Hand, bis Grad 4, zero-touch. Die meisten Firmen, die wir prüfen, stehen bei 1. Die Skala ist unten veröffentlicht – ordnen Sie sich ein, bevor wir es tun.
Die Regeln, die eine Umgebung erfüllen muss, bevor irgendjemand sie automatisieren oder zertifizieren sollte. Sie sind kurz, sie sind streng, und sie stehen weiter unten auf dieser Seite vollständig.
Der Automatisierungsgrad
Eine Frage platziert die meisten Unternehmen auf dieser Leiter. Der Grad misst, wie viel des Identitäts- und Gerätelebenszyklus läuft, ohne dass ein Mensch klickt.
„Wenn jemand geht: Wie lange dauert es, bis alle Zugänge entzogen sind? Grad 1 antwortet in Wochen. Grad 4 antwortet in Minuten – mit Protokoll.“
Schatten-IT
Jede Umgebung hat Software, die die Finanzabteilung bezahlt und von der die IT nie gehört hat – oder die ein Team vor drei Jahren mit einer Kreditkarte eingeführt hat. Ein DDQ, der beantwortet wird, ohne sie zu finden, ist ein falsch beantworteter DDQ.
Prinzipien sauberen Designs
Von der Bewertung zur Priorität
Jede Domäne bekommt aus den Maßstäben oben einen Ist-Grad und einen Ziel-Grad. Jede Lücke wird zu einem Befund mit zwei Eigenschaften: Exponierung – was es Sie kostet, wenn sie bleibt – und Aufwand – was es braucht, sie zu schließen. Hohe Exponierung bei geringem Aufwand kommt zuerst. Die schriftliche Begründung jeder Einstufung steht im Bericht, damit Ihr Team oder Ihr Vorstand uns in der Sache widersprechen kann.
Was wir bewusst nicht tun: gegen ein Rahmenwerk bewerten, das für Sie nicht gilt, die Befundliste aufblähen, um ein größeres Mandat zu rechtfertigen, oder danach sortieren, was für uns am profitabelsten zu beheben wäre. Die Baseline ist öffentlich, damit Sie uns daran festhalten können.
Nächster Schritt
Das Clarity Assessment legt jeden Maßstab dieser Seite an Ihre Umgebung an. €4,000–6,000, fix, Ihres zum Behalten.