CISO-Dashboard

Das CISO-Dashboard bietet Ihnen einen Überblick aus der Vogelperspektive darüber, wie sich das Risikoprofil aller Assets in Ihrem Unternehmen Monat für Monat entwickelt. Anstatt jedes Asset einzeln aufzurufen, sehen Sie das gesamte Asset-Portfolio in aggregierter Form, bewertet anhand eines gewählten Risikostandards — zum Beispiel ISO 27001 oder DSGVO. Sie erkennen auf einen Blick, wo das durchschnittliche Risiko liegt, wie viele Szenarien oberhalb der akzeptablen Schwelle liegen und in welche Richtung sich diese Werte entwickeln. Es ist der Bildschirm, den die meisten Verantwortlichen für Informationssicherheit und Datenschutz vor Steuerungsausschüssen, Audits oder Quartalsreviews öffnen.

Diese Seite ist außerdem eine Sprungstelle. Sie können einzelne Risikoszenarien hervorheben und im Detail betrachten und — sofern Ihre Rolle dies erlaubt — direkt in die Risikoeinstellungen springen, um die Schwelle anzupassen, die allen Berechnungen hinter dem Diagramm zugrunde liegt.

So öffnen Sie die Seite

Öffnen Sie das linke Hauptmenü und klicken Sie auf Asset Risk Treatment → CISO Console. Die URL lautet /ciso.

Das CISO-Dashboard steht allen Personen zur Verfügung, deren Rolle den Zugang zum Bereich Asset-Risikomanagement erlaubt — typischerweise CISOs, Manager und Koordinatoren für Informationssicherheit, Risikomanager, Datenschutzbeauftragte sowie Auditoren mit Lesezugriff. Einige Steuerelemente auf der Seite (insbesondere der Link zum Bearbeiten der Schwelle) erscheinen nur dann als anklickbare Links, wenn Sie zusätzlich die Berechtigung zum Verwalten der Risikoeinstellungen besitzen. Verfügen Sie nur über Leseberechtigung, sehen Sie dieselbe Information, der Link wird aber als reiner Text dargestellt.

Was Sie sehen

Die Seite öffnet mit einer dunkelblauen Kopfzeile, in der links der Titel Asset Risk Treatment und darunter der Untertitel CISO Console zu sehen sind. Rechts neben dem Titel befindet sich die Standard-Auswahl, mit der Sie steuern, gegen welches Risikoframework (ISO 27001, NIST, DSGVO oder ein von Ihrem Unternehmen konfigurierter eigener Standard) das Dashboard ausgewertet wird, sowie ein eigenes Suchfeld zum Eingrenzen der zugrundeliegenden Daten.

Unter der Kopfzeile ist die Seite in zwei große übereinanderliegende Karten gegliedert:

• Risk Monitor — All Assets: das Hauptdiagramm, das die Verteilung des Risikos über alle Assets monatsweise zeigt. Eine kleine Legende links erklärt die Farben und Markierungen; das Diagramm rechts zeigt einen gestapelten Balken pro Monat, mit einem Informationsbereich, der sich öffnet, sobald Sie einen Balken auswählen.
• Spotlighted Scenarios: eine zweite Karte, in der Sie einzelne Risikoszenarien auswählen und deren individuellen Verlauf nebeneinander betrachten können. Jedes hervorgehobene Szenario erhält seine eigene Mini-Zeitreihe.

Während die Daten geladen werden, sehen Sie einen mittig platzierten Ladekreis. Wenn der gewählte Standard noch kein Risikomodell besitzt, wird statt der Karten der Hinweis No data found angezeigt.

So arbeiten Sie mit diesem Bildschirm

Aktuelle Risikolage vor einem Steuerungsmeeting prüfen

Beim Öffnen der Seite sollten Sie zuerst prüfen, ob die Standard-Auswahl oben rechts in der Kopfzeile das Framework anzeigt, über das Sie berichten möchten. Wenn Sie Compliance gegen mehrere Frameworks pflegen — zum Beispiel ISO 27001 für Informationssicherheit und einen internen Eigenstandard — lädt das Umschalten in der Auswahl das gesamte Dashboard mit dem Risikomodell und der Schwelle des neuen Standards neu.

Sobald der richtige Standard geladen ist, betrachten Sie die Karte Risk Monitor — All Assets. Standardmäßig ist der Balken für den aktuellen Monat bereits ausgewählt (hellgrau hinterlegt) und rechts daneben öffnet sich ein Informationsbereich mit den wichtigsten Kennzahlen für diesen Monat:

• Der Pfeil bei Risk Trend zeigt, ob das durchschnittliche Restrisiko im Vergleich zum Vormonat gestiegen, gleichgeblieben oder gesunken ist.
• Assets gibt die Anzahl der für diesen Monat relevanten Assets an, und Assets with asset-specific risk management zeigt, wie viele davon das Gruppen-Risikomodell durch ein eigenes überschreiben.
• Scenarios above threshold und Scenarios below threshold zählen die Risikoszenarien, die Aufmerksamkeit erfordern, im Vergleich zu jenen, die bereits im akzeptablen Bereich liegen.
• Scenarios insured und Residual risk(s) accepted fassen zusammen, wie viele Risiken über Versicherung übertragen oder formell akzeptiert wurden.
• TOMs to be implemented zeigt, wie viele technischen und organisatorischen Maßnahmen im Behandlungsplan noch ausstehen.

Um mit dem Vormonat zu vergleichen, klicken Sie einfach den Balken links neben dem ausgewählten — der Informationsbereich aktualisiert sich sofort. Um weiter in die Vergangenheit zu blicken, nutzen Sie den linken Pfeil (◀) unter dem Diagramm; sobald Sie das Ende des bereits geladenen Bereichs erreichen, lädt die Plattform automatisch den nächsten Monat nach. Mit dem rechten Pfeil (▶) gelangen Sie in die projizierten Monate — das sind zukünftige Monate, für die das Restrisiko anhand des aktuellen Behandlungsplans prognostiziert wurde, gekennzeichnet mit dem kleinen Hinweis PROJECTION unter dem Balken. Prognosen reichen bis zu sechs Monate in die Zukunft.

Ein bestimmtes Risikoszenario hervorheben

Wenn Sie tiefer einsteigen möchten als das aggregierte Bild — etwa um zu verstehen, wie sich Ihr Szenario "Ransomware" oder "Unbefugter Datenzugriff" entwickelt — scrollen Sie nach unten zur Karte Spotlighted Scenarios.

• Geben Sie den Namen oder die Kennung des Szenarios in das Suchfeld am oberen Kartenrand ein (Platzhaltertext: "Spotlight a Scenario by searching the Scenario name or ID."). Das System sucht während der Eingabe, mit einer kurzen Ladeanzeige rechts.
• Wählen Sie aus der Dropdown-Liste das gewünschte Szenario. Jeder Eintrag zeigt einen kleinen Farbbalken in der Farbe der durchschnittlichen Risikokategorie sowie Code und Name.
• Nach der Auswahl erscheint das Szenario direkt unter dem Suchfeld als kleine Markierung, und darunter erscheint ein neues Diagramm — eine Mini-Verlaufsdarstellung nur für dieses Szenario, scrollbar über Monate und Prognosen mit eigenen Pfeilen.
• Klicken Sie auf einen beliebigen Balken in diesem Mini-Diagramm, um den szenarioweisen Informationsbereich zu sehen: betroffene Assets gesamt, wie viele davon über oder unter dem Zielwert liegen, versicherte Szenarien, akzeptierte Restrisiken und ausstehende TOMs.
• Sie können bis zu fünf Szenarien gleichzeitig hinzufügen, um sie nebeneinander zu vergleichen. Jedes erhält eine eigene Zeile.
• Um ein Szenario zu entfernen, klicken Sie das kleine X auf der Markierung — sein Diagramm verschwindet sofort.

Wenn ein hervorgehobenes Szenario noch keinem Asset zugeordnet ist, wird das Diagramm durch einen kleinen Warnhinweis mit dem Text "Not applied to any asset" ersetzt. Das ist ein Hinweis, dass Sie das Szenario im Modul Risikoszenarien zuerst mit den relevanten Assets verknüpfen sollten, bevor Sie hier eine Zeitreihe erwarten.

Die allgemeine Schwelle direkt vom Dashboard aus anpassen

Die gestrichelte schwarze Linie, die jeden Balken durchquert — in der Legende links als Applicable Threshold bezeichnet — ist die Mitigationsschwelle des gewählten Standards. Balkenanteile oberhalb der Linie liegen im Bereich oberhalb der Schwelle (Restrisiko nicht akzeptabel), Anteile unterhalb im Bereich unterhalb der Schwelle (akzeptabel).

Wenn Ihre Rolle das Ändern der Risikoeinstellungen erlaubt, wird das General Threshold-Etikett unter dem Legendeneintrag als anklickbarer Link dargestellt. Ein Klick darauf führt Sie direkt zur Seite Risk Settings → Edit Asset Risk für den aktuell betrachteten Standard, wo Sie den Schwellenwert ändern können. Nach dem Speichern und Zurückkehren zum CISO-Dashboard ist die neue Schwelle als gestrichelte Linie auf jedem Monatsbalken zu sehen.

Verfügen Sie nur über Leseberechtigung für Risikoeinstellungen, erscheint dasselbe Etikett, jedoch als reiner Text — das ist eine Berechtigungsfrage, kein Bildschirmproblem. Bitten Sie Ihren Administrator um die entsprechende Rolle, falls Sie Änderungen vornehmen müssen.

Ein Quartal für ein Audit prüfen

Auditoren folgen auf diesem Bildschirm typischerweise einem einfachen Ablauf:

• Sicherstellen, dass die Standard-Auswahl mit dem Framework im Audit-Umfang übereinstimmt.
• Mit dem linken Pfeil durch die letzten drei (oder mehr) Monate zurückgehen und jeden Balken nacheinander anklicken.
• Für jeden Monat die Werte aus dem Informationsbereich erfassen — Risk Trend, Scenarios above threshold / below threshold, TOMs to be implemented und Residual risk(s) accepted.
• Falls bestimmte Szenarien im Audit-Umfang sind, diese in der zweiten Karte hervorheben und auch deren szenariobezogene Verläufe erfassen.

Da der Bildschirm immer den aktuellen Datenstand zeigt, sind Ihre Screenshots und Notizen mit dem konsistent, was andere Anwender zum selben Zeitpunkt sehen.

Feldreferenz

Die Standard-Auswahl und das Suchfeld in der Kopfzeile wirken wie Filter und beeinflussen alles auf der Seite:

• Standard — das Risikoframework, gegen das das Dashboard ausgewertet wird. Eine Änderung lädt alle Diagramme und Informationsbereiche mit dem Risikomodell und der Schwelle des gewählten Standards neu. Ihre letzte Auswahl wird beim nächsten Öffnen wiederhergestellt.
• Suche (Kopfzeile) — schränkt die im Dashboard angezeigten Daten auf eine Teilmenge von Szenarien ein, ohne den Standard zu ändern. Die Suche ist deaktiviert, bis ein Standard gewählt wurde.
• Spotlight a Scenario (Suchfeld in der zweiten Karte) — filtert während der Eingabe den Katalog der Risikoszenarien und erlaubt das Hinzufügen von bis zu fünf Szenarien zum Dashboard. Bereits ausgewählte Szenarien werden aus der Dropdown-Liste ausgeschlossen, um Duplikate zu vermeiden.

Der Informationsbereich, der beim Klick auf einen Monatsbalken erscheint, dient ausschließlich der Information und ist nicht editierbar. Singular- und Pluralbezeichnungen (z. B. 1 Asset gegenüber 3 Assets) wechseln automatisch je nach Anzahl.

Wie diese Seite mit dem Rest von DPMS zusammenhängt

Das CISO-Dashboard sitzt an der Spitze einer Pyramide aus Risikobehandlungs-Bildschirmen. Die hier angezeigten Zahlen werden aus Daten berechnet, die an anderen Stellen der Plattform gepflegt werden:

• In Risk Settings werden das Risikomodell, die Kategorien und Farben sowie die allgemeine Schwelle je Standard definiert. Ohne Risikomodell hat das Dashboard keine Datengrundlage — genau das ist der Fall, in dem Sie No data found sehen.
• Das Modul Risk Scenarios füllt den Katalog, der in der Spotlight-Suche verwendet wird. Ein Szenario zeigt hier nur dann Zeitreihen, wenn es mit mindestens einem Asset verknüpft wurde.
• In den Modulen Asset und Asset Group werden einzelne Assets mit Szenarien verknüpft und assetspezifische Schwellen können die allgemeine überschreiben.
• Im Modul Risk Treatment Plan werden TOMs verfolgt, Restrisiken akzeptiert und Versicherungen erfasst — diese Werte speisen die Zähler TOMs to be implemented, Residual risk(s) accepted und Scenarios insured im Informationsbereich.

Nach Abschluss Ihrer Prüfung im CISO-Dashboard hängen die nächsten Schritte davon ab, was Sie gefunden haben:

• Liegen viele Szenarien oberhalb der Schwelle, öffnen Sie den Risk Treatment Plan, um zusätzliche TOMs einzuplanen.
• Ist ein bestimmtes Asset Quelle des Problems, öffnen Sie es im Modul Asset, um seine Szenarien zu prüfen und Maßnahmen direkt anzuwenden.
• Erscheint die Schwelle selbst zu eng oder zu locker, springen Sie über die Verknüpfung General Threshold direkt in die Risk Settings.

Tipps und häufige Stolpersteine

Tipp: Prüfen Sie immer die Standard-Auswahl, bevor Sie Zahlen interpretieren. Zwei verschiedene Standards können bei genau demselben Asset-Bestand sehr unterschiedliche Werte für oberhalb der Schwelle erzeugen.

Achtung: Prognosen reichen nur sechs Monate in die Zukunft. Wenn der rechte Pfeil nicht mehr reagiert, haben Sie den maximalen Prognosehorizont erreicht — auf dieser Seite gibt es keine Einstellung, um ihn zu erweitern.

• Der aktuelle Monat ist standardmäßig ausgewählt. Beim Öffnen zeigt der Informationsbereich immer diesen Monat. Um mit dem Vormonat zu vergleichen, klicken Sie den Balken links daneben — das Diagramm scrollt nicht automatisch.
• "Above" und "below" beziehen sich auf die Schwelle, nicht auf den Durchschnitt. Ein Szenario above threshold benötigt mehr Aufmerksamkeit; below threshold bedeutet im akzeptablen Bereich.
• Spotlight ist auf fünf Szenarien begrenzt. Sind fünf ausgewählt, wirkt die Suchliste leer. Entfernen Sie ein Szenario mit dem X, um ein weiteres hinzuzufügen.
• Sichtbarkeit des Schwellen-Links hängt von Ihrer Rolle ab. Wird General Threshold als reiner Text statt als Link angezeigt, fehlt Ihnen die Bearbeitungsberechtigung für Risikoeinstellungen — das ist eine Rollenzuweisung, kein Fehler.
• "Not applied to any asset" ist ein Hinweis. Ein Szenario kann im Katalog existieren, ohne bereits einem Asset zugeordnet zu sein; in diesem Fall meldet das Dashboard korrekt, dass keine Zeitreihe gezeichnet werden kann. Verknüpfen Sie es zuerst im Modul Risk Scenarios mit Assets.
• Ohne Risikomodell kein Diagramm. Häufigste Ursache für eine No data found-Anzeige ist ein Standard, dessen Risikomodell noch nie konfiguriert wurde. Wechseln Sie den Standard oder konfigurieren Sie eines in den Risk Settings.