InfoSec, AppSec und AISec
fĂŒr Menschen
- Wenn jeder alles findet
Oversharing in Microsoft 365 war ein schlafendes Risiko â bis Copilot die Summe offener Freigaben in Sekunden durchsuchbar macht.
- Compliance als Waffe
Wenn Admins Security ablehnen und ISMS-Specs wörtlich befolgen, wird Compliance zur Sabotage in BĂŒrokratie-Verkleidung.
- Richtlinien fĂŒr alle â Richtlinien fĂŒr keinen
Wer alle Richtlinien fĂŒr alle zur PflichtlektĂŒre macht, erzeugt Compliance-Nachweise â aber keine Awareness.
- Goodhart's Falle
Sobald eine Metrik zum Ziel wird, optimiert man die Metrik â nicht das dahinterliegende Risiko.
- Risiko ohne Ziel
Wer Risiken ohne Organisationsziele bewertet, misst eine Abweichung von nichts.
- Die unsichtbaren Stakeholder
Wer Clause 4.2 als Formalie abhandelt, baut ein ISMS, das Audits besteht â aber keine echten Erwartungen erfĂŒllt.
- Die KI-Richtlinie
KI-generierte ISO-27001-Policies klingen richtig â aber niemand kann im Audit die Entscheidungen dahinter erklĂ€ren.
- Die Angstmaschine
FUD als Budget-Strategie erzeugt kein Vertrauen, sondern Management-Taubheit gegenĂŒber Security.
- Security-Team: Toll, ein anderer macht's
Wer Security ans Sicherheitsteam delegiert, gibt zu, dass es nicht zur eigenen Fachkompetenz gehört.
- Securitas â das verlorene Versprechen
Security, die Angst produziert statt HandlungsfĂ€higkeit zu fördern, verfehlt ihr ursprĂŒngliches Versprechen.
- Hire a Hero
Den CISO mit Cybersecurity-Verantwortung zu belasten, löst das Problem der verteilten RisikoeigentĂŒmerschaft nicht.
- Die Generalprobe, die niemand nutzt
Internes Auditing als Coaching nutzen, nicht als PrĂŒfung â die ehrlichste Bestandsaufnahme vor dem externen Audit.
- Die unmessbaren Versprechen
RTO-Zielwerte, die nie getestet werden, sind Papierlösungen â die RealitĂ€t liegt Faktor drei daneben.
- Die Lieferkette als blinder Fleck
SolarWinds, XZ Utils und OVH zeigen: Lieferantenvertrauen ohne Kontrolle ist Risikomanagement auf Papier.
