1. Scope
Scope definiert eindeutig, welche Organisationseinheiten, Standorte, Dienste, Prozesse, Identitäten, Anwendungen, Cloud-Tenants, Datenflüsse und Lieferantenabhängigkeiten Bestandteil der Bewertung sind. Ein Control- oder Compliance-Status ist ohne Scope nicht belastbar, weil derselbe technische Zustand innerhalb und außerhalb eines definierten Geltungsbereichs unterschiedlich relevant sein kann.
2. Requirement
Eine Requirement ist eine externe oder interne Verpflichtung. Quellen sind gesetzliche Vorgaben, vertragliche Pflichten, Managementsystemstandards, Kundenanforderungen oder interne Policies. Requirements werden nicht direkt als technische Findings behandelt, sondern in überprüfbare Kontrollziele übersetzt.
3. Risk
Risk beschreibt die Auswirkung von Unsicherheit auf Ziele. Für Security-Assurance müssen Asset oder Dienst, Bedrohung, Exposition oder Schwachstelle, Eintrittswahrscheinlichkeit, Auswirkung, bestehende Maßnahmen, Restrisiko, Risk Owner und Behandlungsentscheidung nachvollziehbar sein.
4. Control Objective
Ein Control Objective beschreibt den gewünschten Sicherheitszustand. Es ist stabiler als ein einzelnes Produktfeature und erlaubt, unterschiedliche technische Umsetzungen gegen dasselbe Ziel zu bewerten.
5. Control
Eine Control ist die konkrete organisatorische, technische, personelle oder physische Maßnahme. Sie benötigt Owner, Zweck, Scope, Betriebsfrequenz, Prüffrequenz, Evidenzquelle, Testkriterium, Ausnahmelogik und Verbindung zu Risiken und Requirements.
6. Test Criterion
Ein Test Criterion definiert eindeutig, unter welchen Bedingungen eine Kontrolle als erfüllt, beeinträchtigt, fehlgeschlagen oder nicht prüfbar gilt. Dadurch wird verhindert, dass ein subjektiver Eindruck mit einem reproduzierbaren Prüfergebnis verwechselt wird.
7. Evidence
Evidenz ist überprüfbares Material zur Bewertung eines Prüfkriteriums. Aussagekräftige Evidenz besitzt nachvollziehbare Herkunft, Zeitbezug, Scope, Integrität, ausreichende Detailtiefe und einen dokumentierten Bezug zur jeweiligen Kontrolle.
8. Control Health
Control Health ist der bewertete Betriebszustand einer Kontrolle. Er kombiniert aktuelle Evidenz, Testresultate, akzeptierte Ausnahmen und bekannte Findings. Ein hoher Score ist keine rechtliche Konformitätsgarantie; er beschreibt den dokumentierten Assurance-Zustand innerhalb des vereinbarten Scopes.
9. Finding
Ein Finding ist eine festgestellte Abweichung zwischen erwartetem und beobachtetem Zustand. Es enthält Beschreibung, betroffenen Scope, Risiko, Schwere, Evidenz, Root Cause soweit bekannt, Owner, Zielzustand und Behandlung.
10. Exception
Eine Exception ist eine bewusst genehmigte Abweichung. Sie benötigt Begründung, Risk Owner, Genehmiger, Ablaufdatum, kompensierende Maßnahmen soweit erforderlich und eine erneute Bewertung vor Verlängerung.
11. Remediation
Remediation ist die kontrollierte Überführung vom Ist-Zustand zum Zielzustand. Sie umfasst technische oder organisatorische Maßnahmen, Verantwortlichkeit, Frist, Abhängigkeiten, Change-Risiko und Abschlussverifikation.
12. Verification
Eine Maßnahme gilt nicht allein deshalb als abgeschlossen, weil ein Ticket geschlossen wurde. Verification prüft den erreichten Zielzustand erneut gegen das definierte Kriterium und dokumentiert die Abschluss-Evidenz.
13. Assurance
Assurance ist die fortlaufende, nachvollziehbare Vertrauensbildung darüber, dass relevante Kontrollen wirksam betrieben, Abweichungen erkannt und Risiken gesteuert werden. Continuous Assurance erhöht die Frequenz und Aktualität dieser Aussage, ersetzt aber keine Managementverantwortung, Rechtsberatung oder unabhängige Zertifizierung.