System für Cybersicherheitsunternehmen

Jeder Sicherheitsauftrag beginnt als Karte in der „Prüfung“, wo die Pentester die technische Untersuchung der Zielsysteme im vereinbarten Umfang durchführen. Jede entdeckte Schwachstelle wechselt mit ihrer Karte zu „Schwachstelle dokumentieren“ – mit Beschreibung, Schweregrad, Ausnutzungsweg und Beweisen –, dann werden sie im „Bericht“ gebündelt, der in einer Sprache formuliert ist, die auch die Geschäftsführung des Kunden versteht, nicht nur die Techniker. Nach der Übergabe gehen die Karten in die „Behebung“, wo das Kundenteam die Schwachstellen schließt, dann in die „Verifizierung“ mit dem Retest zur Bestätigung der tatsächlichen Schließung, und schließlich in die „Zertifizierung“ mit der Ausstellung des Prüfzertifikats.

Das Forum ist die Wissensbasis des Teams: die ungewöhnlichen Fälle, die neuen Angriffstechniken und die Lehren jedes Auftrags – Wissen, das wächst und nicht bei denen bleibt, die die Prüfung durchgeführt haben. Die Forderungen verwalten die periodischen Prüfverträge: die viertel- oder halbjährliche Prüfung je Kunde mit Wert und Fälligkeitstermin. Der Chat dient der Abstimmung während sensibler Aufträge – mit strikter Disziplin: keine Details sensibler Schwachstellen im Chat, nur auf den Karten mit ihren Berechtigungen. Die Ankündigungen tragen die dringenden Sicherheitshinweise, die alle Kunden betreffen, etwa eine neu verbreitete Schwachstelle.

Der Teamleiter verteilt die Aufträge, gibt die Berichte vor der Übergabe frei und entscheidet den Schweregrad bei Dissens; die Pentester führen die Prüfung durch und dokumentieren die Schwachstellen mit Beweisen; die Reviewer sichten den „Bericht“ und wiederholen die Prüfung in der „Verifizierung“. Die sensible Information fließt strikt: vom Spezialisten auf die Karte in den Bericht zum Kunden – keine Screenshots im Chat und keine Schwachstellen in persönlichen Dateien.