Blog
Die einzigen CTEM-Kennzahlen, die die Führung liest
Die meisten Exposure-Berichte sind Zählungen. Gefundene Befunde, behobene Befunde, offene Kritische, eine Trendlinie, die steigt, wenn der Scanner besser wird, und fällt, wenn jemand den Schweregrad-Schwellenwert ändert. Die Führung hat gelernt, dass diese Zahlen nichts bedeuten, und sie hat recht.
CTEM (kontinuierliches Threat-Exposure-Management) gibt Ihnen die Möglichkeit, über etwas anderes zu berichten, weil zwei seiner fünf Phasen Belege liefern, die das Schwachstellenmanagement nie geliefert hat: Die Validierung sagt Ihnen, was wirklich ausnutzbar ist, und die Mobilisierung sagt Ihnen, ob es behoben wurde. Die fünf Kennzahlen unten bauen auf diesen beiden Phasen auf. Sie passen auf eine Seite.
Warum Schwachstellenzählungen versagen
Die Zahl offener Schwachstellen steigt mit der Discovery-Abdeckung. Schließen Sie einen Cloud-Posture-Feed an, und die Zahl verdoppelt sich. Die Organisation ist nicht sicherer oder unsicherer als am Vortag, aber das Diagramm sagt, es sei schlimmer geworden. Das Umgekehrte passiert auch: Schalten Sie eine Scanner-Integration ab, und die Zahl sinkt.
Eine Zählung unterscheidet nicht zwischen erreichbar und unerreichbar. Eine CVSS 9.8 auf einem Host, zu dem von keiner Angreiferposition aus eine Route führt, wiegt genauso viel wie eine auf dem VPN-Konzentrator. Wie hoch die Summe auch ist, die Führung kann nicht erkennen, was sie bedeutet.
Zählungen verbergen außerdem das Versagen, auf das es ankommt. Verizons Data Breach Investigations Report 2025 stellte fest, dass die Ausnutzung von Schwachstellen an etwa jedem fünften Sicherheitsvorfall beteiligt war und dass von den beobachteten Edge-Device-Schwachstellen aus dem CISA-KEV-Katalog nur 54 % vollständig behoben wurden, mit einem Median von 32 Tagen (Verizon, 2025 DBIR). Eine Zählung „diesen Monat geschlossene Kritische“ hätte in diesen Organisationen gesund ausgesehen. Eine Kennzahl zur Behebungszeit derjenigen, die tatsächlich ausnutzbar waren, nicht.
Die fünf Kennzahlen
| Kennzahl | Definition | Gewünschte Richtung |
|---|---|---|
| Offene validierte Exposures | Exposures, die in Ihrer Umgebung nachweislich ausnutzbar sind und deren Behebung noch nicht verifiziert ist | Abwärts, und klein |
| Mediane Behebungszeit, je Klasse | Tage von der Validierung bis zur verifizierten Behebung, aufgeteilt nach Exposure-Klasse | Abwärts, je Klasse |
| Kritische Prozesse ohne validierten Angriffspfad | Wie viele der im Scope als kritisch eingestuften Geschäftsprozesse keinen nachgewiesenen Pfad zu sich haben | Aufwärts, in Richtung aller |
| Abdeckung des Scopes | Anteil der Assets im Scope, die von mindestens zwei Discovery-Quellen gesehen und in diesem Zyklus bewertet wurden | Aufwärts, in Richtung 100 % |
| Validierungsquote | Anteil der priorisierten Exposures, die getestet statt angenommen wurden | Aufwärts |
Offene validierte Exposures
Das ist die Schlagzeilenzahl. Sie zählt nur Exposures, die die Validierung bestanden haben: Jemand oder etwas hat sie in Ihrer Umgebung sicher ausgenutzt. Die Meinung des Scanners ist ausgeschlossen.
Sie ist konstruktionsbedingt klein, meist Dutzende statt Tausende, und genau das macht sie lesbar. Wenn sie steigt, hat sich entweder die Validierungsabdeckung erweitert oder etwas Neues ist hinzugekommen. Sagen Sie, was davon.
Die Falle besteht darin, sie wieder zu einer Zählung verkommen zu lassen. Wenn die Validierungsphase schwächer wird, schleichen sich unvalidierte Befunde ein und die Zahl bedeutet nichts mehr. Weisen Sie die Validierungsquote daneben aus, damit die Leser das erkennen können.
Mediane Behebungszeit, je Klasse
Zeit von der Validierung bis zur verifizierten Behebung, wobei verifiziert „erneut getestet“ heißt und nicht „Ticket als erledigt markiert“. Aufgeteilt nach Klasse, weil die Klassen unterschiedliche Verantwortliche und unterschiedliche Fixes haben: ein exponierter Dienst am Perimeter, eine überprivilegierte Identität, ein fehlender Patch auf einem Server, eine Cloud-Fehlkonfiguration.
Verwenden Sie den Median. Durchschnitte werden von dem einen Eintrag verzerrt, der ein Jahr lang in einem Change Freeze feststeckt. Zeigen Sie die langsamste Klasse separat und benennen Sie, warum sie langsam ist. Oft ist der Grund, dass dem zuständigen Team nie gesagt wurde, dass es zuständig ist.
Kritische Prozesse ohne validierten Angriffspfad
Das ist die Kennzahl, bei der die Fachverantwortlichen aufschauen. Das Scoping hat eine Rangliste kritischer Prozesse ergeben. Angriffspfadanalyse und Validierung haben Belege dafür geliefert, welche davon ein Angreifer erreichen könnte. Die Kennzahl ist die Anzahl der Prozesse, für die derzeit kein validierter Pfad existiert, gemessen an der Gesamtzahl.
„Drei von sieben“ ist ein Satz, den ein Mitglied des Leitungsgremiums versteht, und „drei von sieben, nach einem von sieben im letzten Quartal“ ist ein Satz, der Budget rechtfertigt. Er hält das Programm auch ehrlich in Bezug auf den Scope: Ein Prozess, der nicht bewertet wurde, zählt nicht als geschützt.
Abdeckung des Scopes
Der Prozentsatz der Assets im Scope, die von mindestens zwei Discovery-Quellen gesehen und im aktuellen Zyklus bewertet wurden. Es ist die Kennzahl, die verhindert, dass die anderen vier durch Unwissenheit geschönt werden.
Weisen Sie sie zusammen mit der Abgleichslücke aus: Assets, die eine Quelle sieht und eine andere nicht. Ein Programm, das 98 % Abdeckung bei einer unerklärten Lücke von vierhundert Hosts ausweist, berichtet über die Landschaft, die es sieht, nicht über die, die es hat.
Validierungsquote
Welcher Anteil der in diesem Zyklus priorisierten Exposures wurde durch Test validiert statt aufgrund des Schweregrads akzeptiert. Gartners Market Guide zu Adversarial Exposure Validation vom März 2025 schätzt, dass bis 2027 40 % der Organisationen formale Validierungsinitiativen haben werden, was eine höfliche Art ist zu sagen, dass die meisten sie noch nicht haben. Ihre Validierungsquote zeigt, auf welcher Seite dieser Linie Sie stehen.
Frühe Programme validieren die Top Ten und sonst nichts, also ist die Quote niedrig. Das ist in Ordnung. Der Trend zählt, und die Zahl erlaubt Ihnen zu erklären, warum die Schlagzeilenkennzahl klein ist.
Wie Sie sie präsentieren
Eine Seite. Fünf Zahlen, jede mit diesem Quartal, dem letzten Quartal und einem Satz dazu, was sich bewegt hat und warum. Keine Dashboard-Screenshots, kein Schweregrad-Tortendiagramm, keine Liste von CVEs.
Beginnen Sie mit den kritischen Prozessen ohne validierten Angriffspfad, weil diese Kennzahl in der Sprache des Unternehmens formuliert ist. Danach die offenen validierten Exposures und die mediane Behebungszeit, weil sie zeigen, dass das Programm arbeitet. Zum Schluss Abdeckung und Validierungsquote, weil sie zeigen, dass die ersten drei vertrauenswürdig sind.
Nennen Sie den Scope oben auf der Seite. „Diese Zahlen decken die externe Angriffsfläche und die Zahlungsplattform ab“ ist das, was „drei von sieben“ bedeutungsvoll macht und den Leser davon abhält anzunehmen, es gehe um alles.
Bringen Sie eine Geschichte mit. Die Exposure, die sich in der Validierung als nicht ausnutzbar erwies und herabgestuft wurde, was ein Wochenende Patchen sparte. Die, die schlimmer war, als der Scanner sagte. Die Klasse, die schneller wurde, weil ein Team endlich einen benannten Verantwortlichen hatte. Eine Geschichte, einen Absatz lang, neben der Zahl, die sie erklärt.
Was Sie nicht hinzufügen sollten
Widerstehen Sie der Bitte um einen einzelnen Risikoscore. Eine Zahl von 0 bis 1.000, die steigt und fällt, ist eine Zählung mit Umwegen, und niemand kann sagen, was ein Rückgang um vierzig Punkte gebracht hat. Wenn eine Plattform einen erzeugt, kann er auf dem operativen Dashboard bleiben.
Widerstehen Sie der mittleren Zeit bis zur Detektion und Reaktion. Das sind Vorfallskennzahlen, und sie gehören in einen anderen Bericht. Die Ausnahme ist das Detektionsergebnis aus der Validierung: der Anteil der validierten Exposures, bei denen nichts angeschlagen hat. Der gehört hierher, als Fußnote zur Validierungsquote, weil er das stärkste Argument ist, das Sie für Budget im Detection Engineering haben werden.
Widerstehen Sie der Versuchung, jedes Quartal eine sechste Kennzahl hinzuzufügen. Die Seite ist eine Seite, weil die Führung eine Seite lesen wird.
Weiter
Wenn Ihr Programm diese Zahlen noch nicht liefern kann, endet der 90-Tage-Plan mit einer ersten Version genau dieses Berichts. Das Reifegradmodell zeigt, auf welcher Stufe jede Kennzahl verfügbar wird, und die Selbstbewertung sagt Ihnen, wo Sie jetzt stehen.