msolarczekandClaude Opus 5
c8e6f30a27
Unveränderter Stand von certvia/dev (a48c5fb) plus Craftvia-Spezifikation und Brandbook unter docs/craftvia/. ISMS-Module werden im Folgecommit entfernt. Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>
2.9 KiB
C8 — Priorisierungslogik Gap + Quick-Wins
Schaltet frei: A8 (Gap-Konsolidierung, Schritt 8). Grundlage: Ergebnisse aus Schritt 6 (Risiko) und 7 (Control-Assessment), Aufgaben-Modul.
1. Prioritätsregeln (deterministisch)
Priorität eines offenen Punkts = höchste zutreffende Regel:
| Priorität | Bedingung |
|---|---|
| Hoch | Offene MUSS-Anforderung (Reifegrad < 2) · oder offene AL3-Zusatzanforderung (HOCH/SEHR HOCH) bei entsprechendem Schutzbedarf · oder Behandlungsmaßnahme zu einem Risiko oberhalb der Akzeptanzlinie · oder fehlende Muss-Rolle/Funktionstrennungs-Konflikt (C7 FT-01/03/04) |
| Mittel | Offene SOLL-Anforderung · Reifegrad = 2 aber unter Zielreifegrad 3 · Nachweis vorhanden aber nicht validiert · Dokument im Entwurf/nur als Vorlage |
| Niedrig | Redaktioneller/formaler Punkt · Optimierung ohne Reifegrad-Wirkung · Nachweis nur zu aktualisieren |
Zusatzgewichtung (Sortierung innerhalb gleicher Priorität): (1) Anzahl betroffener Controls, (2) Risikohöhe des verknüpften Risikos, (3) Aufwand aufsteigend (Quick-Wins zuerst).
2. Deduplizierung
Offene Punkte aus Schritt 6 und 7 werden zusammengeführt. Dedup-Schlüssel = (Control + Teilanforderungs-ID) bzw. (verknüpfte Maßnahme/Aufgabe). Regeln:
- Gleiche Teilanforderung aus mehreren Quellen → ein Punkt, höchste Priorität gewinnt, Quellen werden verknüpft.
- Ein offener Punkt, für den bereits eine Aufgabe existiert → keine neue Aufgabe, bestehende verknüpfen.
- Risiko-Maßnahme und Control-Gap, die dieselbe Maßnahme adressieren (z. B. „Patchmanagement einführen" für Risiko R-OPS-03 und Controls 5.2.3/5.2.5) → zusammenführen, alle Bezüge an die eine Aufgabe hängen.
3. Quick-Wins
Ein offener Punkt ist Quick-Win, wenn: geringer Aufwand (organisatorisch/redaktionell, kein Tool-/Budgetbedarf) und Reifegrad-Wirkung ≥ +1 auf mindestens ein Control und keine Abhängigkeit von anderer offener Maßnahme. Typische Quick-Wins: Freigabe/Validierung eines bereits erstellten Dokuments, Befüllen einer vorhandenen Vorlage (Konten-Review, Rezertifizierung), Rollen-/Funktionstrennungs-Dokumentation, Redaktionslücken schließen. Der Wizard hebt Quick-Wins im Maßnahmenplan gesondert hervor (Reihenfolge-Empfehlung „erst Quick-Wins, dann Hoch-Aufwand").
4. Beispiel-Priorisierung
| Offener Punkt | Regel | Priorität | Quick-Win? |
|---|---|---|---|
| Kein Patchmanagement (Controls 5.2.3/5.2.5, Risiko R-OPS-03) | MUSS < 2 + Risiko | Hoch | nein (Tool) |
| Restore-Test nicht durchgeführt (5.2.9, BL-OPS-06) | MUSS-Nachweis fehlt | Hoch | ja (organisatorisch) |
| ISB = IT-Verantwortung (FT-01) | Funktionstrennungs-Konflikt | Hoch | teils (extern/kompensieren) |
| SOLL Berechtigungs-Review nur als Vorlage (4.2.1) | SOLL, nicht validiert | Mittel | ja |
| Zonenbezeichnung inkonsistent (3.1.1) | redaktionell | Niedrig | ja |