Punktzahlen und Noten verstehen

Schritte

1. Öffnen Sie einen abgeschlossenen Bericht und prüfen Sie die Punktzahlen der Prüfgruppen und Kategorien. Nur abgedeckte, bewertete Kategorien fließen ein; eine fehlende Kategorie entspricht nicht 100 Punkten.
2. Lesen Sie die Abzüge je Kategorie und die zugrunde liegenden Befunde. Kategorien beginnen bei 100; nach Schweregrad gewichtete Abzüge sind begrenzt, und unterdrückte Befunde werden von den Abzügen ausgeschlossen.
3. Untersuchen Sie kritische Befunde auch bei einer hohen Punktzahl. Ein offener kritischer Befund begrenzt die Note auf höchstens D.
4. Vergleichen Sie Berichte erst nach Prüfung ihres Umfangs und ihrer Bewertungsversion. Eine Änderung der Prüfungen kann die Punktzahl ändern, ohne dass der Code verbessert wurde.

Das Ergebnis lesen

Das aktuelle Bewertungsmodell fasst abgedeckte Kategorien in fünf gewichteten Prüfgruppen zusammen. Die Notengrenzen liegen bei 90 für A, 80 für B, 70 für C und 60 für D; niedrigere Werte erhalten F, vorbehaltlich der Begrenzung durch kritische Befunde. Datenschutzprüfungen und Git-Verlaufsanalysen werden nicht numerisch bewertet; aus dem Git-Verlauf wiederhergestellte Geheimnisse zählen unter Sicherheit.

Grenzen und Verfügbarkeit

Ein Teilscan oder eine kleinere Prüfauswahl kann Risiken hinter einer guten Punktzahl verbergen. Nicht numerisch bewertete Prüfungen sind keine durchgefallenen Noten und müssen anhand ihrer eigenen Nachweise gelesen werden. Eine Punktzahl ist weder ein Compliance-Urteil noch die Wahrscheinlichkeit eines erfolgreichen Angriffs.

Dieser Leitfaden beschreibt den implementierten Ablauf. Die verfügbaren Funktionen Ihres Arbeitsbereichs hängen von Kontoberechtigungen und Konfiguration ab; Free Quick Scan umfasst nicht alle erweiterten Abläufe. Prüfen Sie die verfügbaren Kontrollen und die Nachweise jedes Laufs.

Weiterführende Dokumentation

• Audit-Abdeckung
• Richtlinienprüfungen und Ausnahmen
• Dokumentationsübersicht