Skip to content

Commit 053fc82

Browse files
juliankoehnjuliankoehn
committed
feat: add detailed documentation for Control Implementations and Controls in Kopexa
1 parent 22228f9 commit 053fc82

2 files changed

Lines changed: 238 additions & 0 deletions

File tree

‎content/docs/platform/compliance/controls/control-implementations/index.mdx‎

Lines changed: 82 additions & 0 deletions
Original file line numberDiff line numberDiff line change
@@ -0,0 +1,82 @@
1+
---
2+
title: Control Implementations
3+
description: Konkrete technische und organisatorische Maßnahmen (TOMs) zur Umsetzung von Controls in Kopexa
4+
---
5+
6+
## Control Implementations: Der TOM-Ansatz für greifbare Compliance
7+
8+
Während Controls das **„Was“** definieren, beschreiben **Control Implementations** das **„Wie“**.
9+
Sie stellen die konkreten **technischen und organisatorischen Maßnahmen (TOMs)** dar, mit denen Unternehmen die Anforderungen von Frameworks wie ISO 27001, DSGVO, TISAX oder NIS 2 praktisch umsetzen.
10+
11+
## Was sind Control Implementations?
12+
13+
Eine **Control Implementation** dokumentiert, wie ein Control im Unternehmen realisiert wird.
14+
Sie kann technisch, organisatorisch oder prozessual sein und ist damit der entscheidende Schritt von der Theorie in die Praxis.
15+
16+
### Beispiele
17+
- **Control:** „Zutrittskontrollen müssen eingerichtet werden“
18+
**Implementation:** „Elektronische Schließanlage mit Chipkarten und Besucher-Logs“
19+
20+
- **Control:** „Datenübertragung muss verschlüsselt sein“
21+
**Implementation:** „TLS 1.3 für alle externen Verbindungen, enforced via Load Balancer Policy“
22+
23+
- **Control:** „Benutzerzugriffe werden regelmäßig überprüft“
24+
**Implementation:** „Quartalsweiser Access Review im Identity Management System“
25+
26+
## Wiederverwendbarkeit über mehrere Controls
27+
28+
Eine Implementation kann mehrere Controls gleichzeitig abdecken:
29+
- *„MFA via Entra ID“* erfüllt sowohl ISO 27001 A.9.4.2 als auch SOC 2 CC6.2 und TISAX 3.2.1.
30+
- *„Zentrales Patch-Management“* erfüllt Anforderungen aus ISO 27001, NIS 2 und BSI IT-Grundschutz.
31+
32+
<Callout>
33+
In Kopexa kannst du eine Implementation einmal anlegen und mehreren Controls zuordnen.
34+
Das spart Pflegeaufwand und sorgt für konsistente Nachweise.
35+
</Callout>
36+
37+
## Implementations & Evidences
38+
39+
<Mermaid
40+
chart={`
41+
graph TD
42+
A[Control<br/>„Was soll erreicht werden?“] --> B[Implementation<br/>„Wie setzen wir es um?“]
43+
B --> C[Evidence<br/>„Womit belegen wir das?“]
44+
`}
45+
/>
46+
47+
- Control: Zielvorgabe auf Framework-Ebene
48+
- Implementation (TOM): Maßnahme zur praktischen Umsetzung
49+
- Evidence: Nachweis, dass die Maßnahme tatsächlich umgesetzt und wirksam ist
50+
51+
Evidences können z. B. Wartungsverträge, System-Logs, Audit-Reports oder Fotos sein.
52+
53+
## **Best Practices für Control Implementations**
54+
### **1. Titel auf Maßnahmen-Ebene halten**
55+
56+
- ❌ Zu granular: „Azure AD mit MFA, Passwort-Policy 12 Zeichen, automatische Session Timeouts“
57+
- ✅ Prägnant: „Azure AD MFA & Identity Management“
58+
59+
<Callout>
60+
Details wie Passwortrichtlinien, Timeout-Werte oder Logs gehören in die **Description** oder **Evidences**.
61+
</Callout>
62+
63+
### **2. Description für Details nutzen**
64+
65+
- Hier beschreibst du den genauen Umsetzungsansatz.
66+
- Enthält technische Parameter, Abläufe, Verantwortlichkeiten.
67+
68+
### **3. Evidences zur Nachweisführung nutzen**
69+
70+
- Dokumentarische Evidenz: Policies, Prozessbeschreibungen
71+
- Technische Evidenz: Screenshots, Konfigurationsdateien, Logs
72+
- Testimoniale Evidenz: Interviews, Bestätigungen
73+
74+
## **In Kopexa**
75+
76+
- **Erstellen:** Implementations können direkt aus einem Control heraus oder unabhängig angelegt werden.
77+
- **Bearbeiten:** Änderungen wirken automatisch auf alle verknüpften Controls.
78+
- **Verknüpfen:** Eine Implementation kann mehreren Controls zugeordnet werden.
79+
- **Nachweise:** Evidences hängen an der Implementation und fließen automatisch in Audit-Reports ein.
80+
<Callout>
81+
Control Implementations machen Compliance in Kopexa greifbar: Sie zeigen, wie abstrakte Anforderungen durch konkrete TOMs umgesetzt und nachweisbar werden.
82+
</Callout>

‎content/docs/platform/compliance/controls/index.mdx‎

Lines changed: 156 additions & 0 deletions
Original file line numberDiff line numberDiff line change
@@ -0,0 +1,156 @@
1+
---
2+
title: Controls
3+
description: "Controls als Kernbaustein: Von Framework-Anforderungen über Implementierungen bis hin zu Evidences"
4+
---
5+
6+
## Controls: Der strukturierte Ansatz für nachweisbare Compliance
7+
8+
Controls bilden das strategische Fundament jeder effektiven Compliance-Strategie. Anders als bei traditionellen GRC-Tools, die sich auf das reine Hochladen von Policy-Dokumenten beschränken, implementiert Kopexa einen systematischen Control-basierten Ansatz, der messbare Sicherheitsziele mit konkreten Umsetzungsmaßnahmen verknüpft.
9+
10+
## Was sind Controls?
11+
12+
Ein **Control** definiert ein spezifisches Sicherheits- oder Compliance-Ziel, das erreicht werden soll. Controls beschreiben nicht das "Wie", sondern das "Was" - sie geben vor, welcher Sicherheitsstandard erfüllt werden muss, ohne die konkrete Implementierung zu diktieren.
13+
14+
15+
### Beispiele für Controls:
16+
17+
- **"Zugriffsrechte werden regelmäßig überprüft"**
18+
- **"Alle Systeme werden gegen Schadsoftware geschützt"**
19+
- **"Sensible Daten werden verschlüsselt übertragen"**
20+
- **"Backup-Verfahren werden monatlich getestet"**
21+
22+
23+
## Controls vs. traditionelle Policy-Uploads
24+
25+
| Traditioneller Ansatz | Control-basierter Ansatz (Kopexa) |
26+
|----------------------|-----------------------------------|
27+
| Statische PDF/Word-Dokumente | Strukturierte, messbare Ziele |
28+
| Keine Verknüpfung zu Umsetzung | Direkte Verbindung zu Implementations |
29+
| Schwer auditierbar | Automatisiert prüfbar |
30+
| Framework-agnostisch | Multi-Framework-Mapping |
31+
| Einmalige Uploads | Kontinuierliche Überwachung |
32+
33+
34+
## Framework-Integration: Ein Control, mehrere Standards
35+
36+
Ein Control in Kopexa kann mehrere Compliance-Frameworks gleichzeitig abdecken.
37+
38+
**Beispiel-Control:** *„Regelmäßige Überprüfung von Zugangsrechten“*
39+
- ISO 27001: A.9.2.5
40+
- SOC 2: CC6.2
41+
- NIST CSF: PR.AC-4
42+
- TISAX: 3.1.1
43+
44+
<Callout>
45+
So wird Doppelarbeit reduziert und ein einheitlicher Nachweis über mehrere Frameworks hinweg möglich.
46+
</Callout>
47+
48+
## Die Control-Hierarchie in Kopexa
49+
50+
<Mermaid
51+
chart={`
52+
graph TD
53+
A[Control<br/>„Was soll erreicht werden?“] --> B[Implementation<br/>„Wie setzen wir es um?“]
54+
B --> C[Evidence<br/>„Womit belegen wir das?“]
55+
`}
56+
/>
57+
58+
### 1. Control (Zielvorgabe)
59+
- **Definition**: Was soll erreicht werden?
60+
- **Beispiel**: "Alle Benutzerkonten müssen eindeutig identifizierbar sein"
61+
62+
### 2. Implementation (Umsetzungsmaßnahme)
63+
- **Definition**: Wie wird das Control umgesetzt?
64+
- **Beispiel**: "Active Directory-basierte Benutzerauthentifizierung mit eindeutigen Benutzernamen"
65+
66+
### 3. Evidence (Nachweis)
67+
- **Definition**: Womit wird die Umsetzung belegt?
68+
- **Beispiel**: "Screenshot der AD-Benutzerverwaltung + Audit-Log der letzten Zugangsüberprüfung"
69+
70+
71+
### Audit-Perspektive
72+
73+
Auditor:innen bewerten nicht nur Dokumente, sondern die Gesamtheit von Control → Implementation → Evidence.
74+
75+
<Mermaid chart={`
76+
graph LR
77+
A[Framework-Anforderung] --> B[Control-Mapping]
78+
B --> C[Implementation-Status]
79+
C --> D[Evidence-Sammlung]
80+
D --> E[Audit-Report]
81+
`} />
82+
83+
84+
85+
86+
## Best Practices für Control-Management
87+
88+
### 1. Granularität optimieren
89+
**Zu granular**: "Passwörter müssen mindestens 8 Zeichen haben"
90+
**Optimal**: "Authentifizierung erfolgt nach bewährten Sicherheitsstandards"
91+
92+
### 2. Implementation-Flexibilität gewährleisten
93+
Controls sollten verschiedene Implementierungsansätze zulassen:
94+
95+
**Control: "Sensible Daten werden gegen unbefugten Zugriff geschützt"**.
96+
Mögliche Implementations:
97+
98+
- Encryption-at-Rest via BitLocker
99+
- Database-Level-Encryption
100+
- Application-Level-Tokenisierung
101+
- Hardware Security Modules (HSM)
102+
103+
104+
### 3. Evidence-Anforderungen definieren
105+
Jeder Control sollte klare Kriterien für ausreichende Evidenz haben:
106+
107+
- **Dokumentarische Evidenz**: Policies, Prozessbeschreibungen
108+
- **Technische Evidenz**: Screenshots, Konfigurationsdateien, Logs
109+
- **Testimoniale Evidenz**: Interviews, Bestätigungen
110+
111+
112+
## Integration in Ihr bestehendes GRC-Ecosystem
113+
114+
Controls in Kopexa sind darauf ausgelegt, nahtlos in bestehende Compliance-Landschaften zu integrieren:
115+
116+
### API-basierte Integration
117+
```
118+
119+
// Beispiel: Control-Status via API abrufen
120+
const controlStatus = await kopexa.controls({
121+
where: {
122+
id: "AC-001",
123+
framework: "ISO27001"
124+
}
125+
});
126+
127+
console.log(`Control ${controlStatus.name}: ${controlStatus.status}`);
128+
129+
```
130+
131+
132+
### Reporting und Dashboards
133+
- **Executive Dashboards**: High-level Control-Compliance auf einen Blick
134+
- **Operational Views**: Detaillierte Implementation-Status für Teams
135+
- **Audit Reports**: Automatisch generierte Compliance-Nachweise
136+
137+
## Warum der Control-basierte Ansatz überlegen ist
138+
139+
### Traditionelle Policy-Uploads: Die Limitierungen
140+
- **Statischer Content**: Keine Verknüpfung zu aktuellen Implementierungen
141+
- **Audit-Ineffizienz**: Manuelle Prüfung jedes Dokuments erforderlich
142+
- **Redundanzen**: Gleiche Inhalte in verschiedenen Framework-Dokumenten
143+
- **Versionsprobleme**: Inkonsistente Policy-Versionen across Frameworks
144+
145+
146+
### Kopexa's Control-Ansatz: Die Vorteile
147+
148+
- **Dynamic Mapping**: Ein Control bedient multiple Frameworks
149+
- **Implementation-Tracking**: Direkte Verknüpfung zu Umsetzungsmaßnahmen
150+
- **Automated Evidence**: Continuous Compliance-Monitoring
151+
- **Audit-Readiness**: Jederzeit prüfbare Compliance-Status
152+
153+
154+
<Callout>
155+
Kopexa transformiert Compliance von einem dokumentenlastigen, reaktiven Prozess zu einem strukturierten, kontinuierlich überwachten System.
156+
</Callout>

0 commit comments

Comments
 (0)
⚡