SGC²-PNT – Effizientes Penetrationstest-Management (v1.2)
Skalierbares, auslagerungsfähiges Operating Model für Planung, Steuerung und Nachweis von Penetrationstests. Boutique-Beratung (executive-led, tief technisch) mit klaren Rollen, Eskalationswegen, Ticket-Flow, KPIs und evidenzfähigen Artefakten – tool-agnostisch, mit Tracking-Sheet-Fallback, sofort messbar.
Positionierung & Abgrenzung
- Kategorie: Security Operating Model / Security Process Enablement.
- Was es ist: kundenspezifisch angepasstes Pentest-Operating-Model mit standardisierten Abläufen, Rollen/Eskalationen, Ticket-Flow, KPI/Reporting und Enablement; Evidence-fähige Artefakte (Vorlagen, Logs, Register) zur messbaren Steuerung der Pentest-Abdeckung.
- Was es nicht ist: keine Durchführung von Pentests; kein Broker/Verkauf von Dienstleistern; keine Auditierung/Zertifizierung, keine Rechtsberatung oder Garantien für Audit- oder Compliance-Ergebnisse.
Kundenproblem & Treiber
- Symptome: hoher Koordinationsaufwand und Medienbrüche, unklare Verantwortlichkeiten/Eskalationen, geringe Planungssicherheit vor Go-Lives, fehlende Messbarkeit/Nachweisfähigkeit der Pentest-Abdeckung, operative Überlastung von CISO/ISB/Security.
- Treiber: viele externe Webauftritte/Produkte/APIs, regulatorische/vertragliche Anforderungen oder Cyber-Versicherungen, Fachkräfte-Engpässe.
Für wen geeignet?
- Passt, wenn: wiederkehrender Pentest-Bedarf; planbare Go-Live-Timelines und definierte Durchlaufzeiten erforderlich; operative Koordination soll delegierbar sein; Evidence-fähige Steuerung mit Register/Tickets/Logs/KPIs wird benötigt.
- Passt nicht, wenn: primär die Durchführung von Pentests oder eine Audit-/Zertifizierungsleistung erwartet wird.
Scope
- In Scope: Design & kundenspezifische Anpassung des Pentest-Operating-Models (BPMN, Runbook, Gates, Lead-Times); RACI/Rollen- & Kommunikationssystem inkl. Eskalation/Decision-Log; tool-agnostischer Ticket-Flow; Coverage-Register mit Gewichtungsmodell, KPI-Katalog, Reporting-Templates; Handover & Enablement (Ready-to-Run, Dry-Run, Szenario-Test).
- Out of Scope: Durchführung/Vermittlung von Pentests; Auditierung/Zertifizierung oder Rechtsberatung; technische Tool-Implementierung/Konfiguration (z. B. Jira/ServiceNow/BI) nur als optionales Add-on; keine Broker-Leistung.