InfoSec, AppSec und AISec
für Menschen
- Die SLA-Lücke
Nach außen lesen wir jede Verantwortungsgrenze genau. Nach innen ersetzt Vertrauen die Vereinbarung.
- Das Budget ist die ehrlichere Risikoanalyse
Das Risikoregister zeigt, was eine Organisation zu Protokoll gibt. Das Budget zeigt, was sie wirklich vorzieht.
- Warten auf den großen Wurf
Wer auf die perfekte Lösung wartet, schützt niemanden. Der große Wurf ist der unwahrscheinlichere Weg.
- Bericht statt Beschluss
ISO 27001 verlangt in der Managementbewertung Entscheidungen, keinen Jahresbericht. Reden schlägt Nicht-Lesen.
- Das macht man so
Best Practices ohne Risikofrage werden zu Ritualen ohne Wirkung. Was billig wirkt, anwenden; Teures und Zweifelhaftes prüfen.
- Der übergriffige Auditor
Wenn die Prüfung mehr verlangt, als die Norm fordert, wird sie selbst zum Regulierungsreflex – und schadet der Sicherheit.
- Regeln auf Vorrat
Warum gute ISMS nicht jede Selbstverständlichkeit regeln – und ISO 27001 risikobasiert dokumentiert statt auf Verdacht.
- Ein Befund, vier Wahrheiten
Im Sicherheitskonflikt streiten alle über denselben Befund und meinen verschiedene Wirklichkeiten. Warum mehr Fakten den Streit verschärfen statt schlichten.
- Tektonik der Interessen
Security-Vorhaben scheitern an Interessenkonflikten, nicht an Technik. Wer Stakeholder nicht kartiert, baut auf der Verwerfungslinie.
- Der leere Stuhl
Die Stakeholder-Analyse versammelt nur Wohlgesonnene. Die am stärksten interessierte Partei fehlt: der Angreifer.
- Mehr Deckblatt als Inhalt
Sicherheitsrichtlinien ersticken unter Versionstabellen und Freigabematrizen – Metainformation gehört ins Dokumentenmanagement, nicht in den Text.
- Die Nebenwirkung ohne Beipackzettel
Jede Schutzmaßnahme ist ein Eingriff mit Nebenwirkungen – wer nur das gelöste Risiko sieht, übersieht das neu geschaffene.
- Karte des Unbekannten
Asset-Inventar als Kartografie: Wer nur Server zählt, hat ein Verkehrsdiagramm – nicht die Karte, die Risikomanagement braucht.
- Schulung aus der Konserve
Eingekaufte eLearnings ohne Bezug zur eigenen Organisation. Wissen wächst nicht, die Haltung zur Sicherheit kippt fast immer.
- Das Gift ist leise
Nicht die Lautstärke trennt gesunden von vergiftetem Streit, sondern der Bezug – und es braucht Gespür und Mut, ihn zu benennen.
