Sophos CISO Advantage: Zweck, Leistungsgrenzen und Einführung

Sophos CISO Advantage hilft, Sicherheitsrisiken in einen priorisierten Verbesserungsplan und verständliche Managementberichte zu übersetzen. Das Angebot richtet sich sowohl an Organisationen ohne eigenen Chief Information Security Officer als auch an bestehende Sicherheitsteams. Es gehört zum Sophos-Fusion-Angebot und unterstützt die Planung eines Sicherheitsprogramms; es ist kein zusätzlicher Endpoint-Agent oder Ersatz für die Incident-Bearbeitung.

Verfügbarkeit, Prüfstand 28. Oktober 2026: Sophos beschreibt weiterhin einen Rollout in ausgewählten Regionen. Daraus folgt keine bestätigte Verfügbarkeit für die Schweiz, eine bestimmte Gesellschaft oder jeden Fusion-Tenant. Vor einer Planung lässt man Land, Bereitstellungsweg, bestellbare Leistung und tatsächlichen Starttermin bestätigen. Ein sichtbarer Produktname oder eine allgemeine Ankündigung reicht dafür nicht.

Für die technische Bereitstellung ist die Datenregion des Fusion-Tenants entscheidend; Firmenadresse und Tenantregion können verschieden sein. Vor Bestellung werden Tenant, Region, Lizenz und Zugriffsweg mit dem Partner abgeglichen. Bei einem Partnerbetrieb gehört auch die konkrete Kunden- und Estate-Struktur in diese Prüfung. Aus einer allgemeinen GA-Ankündigung folgt keine Freischaltung für jeden Tenant oder jede Verwaltungsstruktur. Fehlt My Products > CISO Advantage, werden diese Punkte und die ausführende Rolle geprüft, statt auf Verdacht einen zweiten Tenant anzulegen.

Welche Aufgabe das Angebot übernimmt

Sophos beschreibt vier zusammenhängende Arbeitsschritte: eine Ausgangsbewertung mit Umgebungsdaten und Geschäftskontext, Berichte für die Geschäftsleitung, einen priorisierten Verbesserungsplan und die wiederholte Fortschrittskontrolle. Die Zuordnung zu Rahmenwerken wie NIST und CIS kann bei der Strukturierung helfen; sie bescheinigt keine Zertifizierung oder rechtliche Konformität.

Der praktische Unterschied zu einer reinen Alarmübersicht liegt in der Entscheidung: Welches Risiko betrifft welchen Geschäftsprozess, welche Massnahme hat Vorrang und woran lässt sich später eine Verbesserung erkennen? Eine Empfehlung benötigt trotzdem einen internen Verantwortlichen, ein Budget und eine freigegebene Umsetzung.

CISO Advantage lässt sich laut Sophos durch ein internes Team oder mit einem Servicepartner nutzen. Daraus folgt kein automatisch enthaltenes persönliches CISO-Mandat, keine Übernahme der Geschäftsleitungsverantwortung und kein unbegrenztes Beratungskontingent. Welche Unterstützung tatsächlich erbracht wird, gehört in den konkreten Auftrag.

Von benachbarten Leistungen unterscheiden

Account Health Check prüft konkrete Sophos-Schutz- und Tenant-Einstellungen. CISO Advantage adressiert die übergreifende Bewertung und Priorisierung des Sicherheitsprogramms. Eine gute Health-Anzeige ersetzt diese Bewertung nicht.

MDR und MDR Plus betreffen die Überwachung und Reaktion auf aktive Bedrohungen. Managed Risk untersucht die vereinbarte Angriffsfläche auf Schwachstellen. Diese Leistungen werden durch einen strategischen Bericht weder automatisch aktiviert noch übernommen. Ebenso ist ein Security Services Retainer ein eigenes Beschaffungsmodell mit abzugrenzenden Aufträgen.

Lizenz und Leistungsumfang vorab abgleichen

Sophos bietet eine jährliche Term-Lizenz für den Betrieb im eigenen Unternehmen oder mit einem Servicepartner und eine monatliche Subscription über MSP Flex an. Diese Modelle beschreibt die öffentliche GA-Ankündigung. Die Plattform allein schliesst das Produkt oder persönliche Beratungsstunden nicht ein.

Die Modelle haben unterschiedliche Mengeneinheiten. Sophos erläutert im öffentlichen MSP Summit Term auf Benutzerbasis und MSP Flex pro betreutem Kunden, monatlich mit einer Lizenz unabhängig von dessen Organisationsgrösse. Die allgemeine Lizenzrichtlinie mit Stand 16. Oktober 2026 führt CISO Advantage als Subscription pro Benutzer, ohne diese Flex-Unterscheidung auszuführen. Deshalb wird das konkrete Modell im Angebot und License Schedule festgehalten. Ein Term-Angebot wird nicht anhand der Kundentenantzahl berechnet; bei Flex dürfen Benutzerzahl und monatliche Kundeneinheit nicht vermischt werden. Zusätzlich vereinbarte Beratungsleistung wird separat beschrieben. Die allgemeine Lizenzkontrolle in Sophos Fusion (ehemals Sophos Central) ersetzt diese produktbezogene Prüfung nicht.

Was man selbst erfasst und wobei KI hilft

Der heutige Ablauf beginnt mit einem Organisationsprofil und einem Fragenkatalog. Verantwortliche beschreiben den Zustand der Sicherheitskontrollen, bewerten ihn und hinterlegen Belege. CISO Advantage sammelt die Evidenz derzeit nicht automatisch aus Sophos- oder Drittprodukten ein. Ein vorhandenes Fusion-Produkt und dessen Telemetrie ersetzen deshalb weder Antworten noch Nachweise. Die Bedienungsübersicht von Sophos führt ausdrücklich Profil, beantwortetes Assessment, Evidenz und Ziele als Arbeitsschritte auf.

KI kann den Inhalt einer Kontrolle erklären und Formulierungen oder Bewertungen vorbereiten. Unter Analyze conversation lässt sich ein freigegebenes VTT-Transkript eines Gesprächs gegen ein Assessment auswerten. Man wählt das ganze Framework, bestimmte Abschnitte oder einzelne Fragen, bestätigt die erforderliche Einwilligung der Teilnehmenden und startet Analyze. Unter Review changes werden Vorschläge geprüft; Scores, Notizen oder beides lassen sich gezielt übernehmen und vorher bearbeiten. Das ist eine unterstützte Auswertung bereitgestellter Informationen, kein autonom durchgeführtes Sicherheitsaudit. Der dokumentierte Ablauf verlangt die menschliche Prüfung ausdrücklich.

CISO Advantage Plus mit kontinuierlicher Assurance, Governance-Erweiterungen und automatisierter Compliance ist in der GA-Ankündigung für 2027 beschrieben. Ein verbindlicher Liefertermin oder eine heute verfügbare automatische Kontrollvalidierung folgt daraus nicht. Für die Abnahme zählen die tatsächlich bereitgestellten Funktionen und geprüften Ergebnisse.

Vom Profil zum veröffentlichten Assessment

Ein Assessment ist eine strukturierte Bewertung gegen ein ausgewähltes Rahmenwerk. Vor dem Einstieg werden fachliche Zuständigkeit, betrachtete Organisation und Bewertungszeitraum festgelegt. Als überschaubarer Pilot eignet sich ein freigegebenes Framework mit einigen gut bekannten Kontrollen. Eine bewusst geschwächte Produktivkonfiguration ist dafür nicht erforderlich.

Profil und Bewertungsmodell festlegen

Unter My Products > CISO Advantage führt der Assistent durch das Organisationsprofil. Organizational context beschreibt etwa Branche, Beschäftigtenzahl und Umsatz. Additional context ergänzt Geschäftsziele, Risikohistorie und IT-Abhängigkeit. Unbekannte Werte werden als solche erfasst; erfundene Präzision würde auch die modellierten Auswirkungen verfälschen. Für spätere Reports müssen beide Profilteile vollständig sein. Ein vorhandenes Profil lässt sich unter Assessments > Update profile aktualisieren.

Das Framework richtet sich nach dem tatsächlichen Prüfziel. Die Framework-Hilfe unterscheidet drei Modelle:

Die genaue Version und Auswahl werden vor dem Start im Tenant geprüft, beispielsweise bei CIS v8, NIST CSF 2.0 oder NIS2. Ist ein bestimmtes Rahmenwerk wie AIUC-1 Vertragsvoraussetzung, wird dessen Verfügbarkeit vorab bestätigt. ISO-Aligned Assessment ist keine ISO-Zertifizierung; Cyber Essentials ist keine Zusage einer Cyber-Essentials-Plus-Zertifizierung. Scores unterschiedlicher Modelle lassen sich nicht wie identische Prozentwerte vergleichen.

Kontrollen beantworten und Ziele setzen

Der Assessment-Ablauf ist wie folgt dokumentiert:

1. Assessments > Create Assessment öffnen. Framework, eine eindeutige Label-Bezeichnung und Period start festlegen, beispielsweise Basisbewertung Oktober 2026 mit dem tatsächlichen Bewertungsbeginn. Der Name ist frei wählbar. Mit Create Assessment anlegen.
2. Einen Abschnitt aufklappen und eine Kontrolle öffnen. Unter Overview den tatsächlichen Deployment status und bei Bedarf Remediation erfassen. Bei reifegradbasierten Frameworks den belegbaren Reifegrad wählen.
3. Unter Overview mit Owner und Target Date festlegen, wer die Verbesserung bis wann bearbeitet. Unter Additional information Umsetzung und bekannte Lücken erklären. Antworten werden automatisch gespeichert.
4. Zielwerte unter CISO Advantage > Targets je Framework festlegen, mit Apply übernehmen und Save speichern. Für ein einzelnes Assessment können unter dessen Targets-Tab abweichende Werte gesetzt werden.

Ein Ziel muss zum Risiko, Budget und Zeitplan passen. Nicht jede Kontrolle benötigt sofort den höchsten Reifegrad. Die Targets-Hilfe beschreibt auch abschnittsweise Abweichungen und Prioritäten nach Implementation Groups. N/A entfernt eine Kontrolle aus der Score-Berechnung; die Auswahl benötigt deshalb eine fachliche Scope-Begründung und dient nicht dazu, den Wert optisch zu verbessern.

Evidenz zuordnen und Ergebnis festhalten

Ein Beleg soll die konkrete Antwort stützen, beispielsweise ein bereinigter Konfigurationsnachweis oder ein Protokoll einer tatsächlich durchgeführten Wiederherstellungsprüfung. Vor dem Upload werden Zugriff, Vertraulichkeit und zulässiger Inhalt geprüft. Kennwörter, Tokens und unnötige personenbezogene Daten gehören nicht in die Datei.

Über My Products > CISO Advantage > Evidence > Add evidence erhält der Nachweis einen Namen und eine Beschreibung; die Datei wird unter Attachments hinzugefügt. Mit Add controls werden Assessment und zugehörige Kontrollen ausgewählt, anschliessend folgt Submit evidence. Über Actions > Assign to controls lässt sich vorhandene Evidenz später weiteren Kontrollen zuordnen. Alternativ wird sie im Assessment oder direkt im Evidence-Tab einer Kontrolle ergänzt. Die Evidenzhilfe erklärt diese Wege.

Nach der Zuordnung wird dieselbe Kontrolle erneut geöffnet: Passen Datei, Beschreibung, Datum und tatsächliche Umsetzung zur Antwort? Ein alter Screenshot oder ein lediglich geplanter Test genügt nicht als aktueller Wirkungsnachweis. Unter Findings des Assessments werden offene Antworten, Zielerreichung und verfügbare Vergleiche kontrolliert. Erst nach Prüfung von Antworten, Evidenz und Zielen wird das Assessment veröffentlicht. Pro Framework kann nur ein Entwurf gleichzeitig bestehen; eine neue Bewertung wird deshalb mit dem bestehenden Arbeitsstand abgestimmt.

Einen Bericht erstellen und fachlich prüfen

Die Report-Hilfe setzt beide Profilteile und mindestens ein veröffentlichtes Assessment voraus. Fehlt eines davon, fordert CISO Advantage zur Vervollständigung auf.

1. CISO Advantage > Reporting > Create report öffnen.
2. Das gewünschte Assessment auswählen, den Namen des Assessment-Verantwortlichen eintragen und den Assistenten abschliessen.
3. In der Anpassungsansicht ungeeignete Abschnitte ausblenden und KI-generierte Texte prüfen beziehungsweise bearbeiten. Für die Geschäftsleitung sind Auswirkungen und Prioritäten wichtig; die IT benötigt zusätzlich konkrete Lücken und Umsetzungsschritte.
4. Mit Save report speichern und über Render PDF die Datei erzeugen. Vor Weitergabe Empfänger, Zeitraum, Scope und enthaltene Sicherheitsinformationen prüfen.

Modellierte finanzielle Auswirkungen sind Schätzungen aus den Eingaben, keine zugesicherte Schadenhöhe. Ein Branchenvergleich ist nur aussagekräftig, wenn passende Vergleichsdaten vorliegen. Die vorgeschlagene Roadmap wird nach Risiko, Abhängigkeiten, Aufwand und verfügbaren Verantwortlichen geprüft; ein automatisch formulierter Text ersetzt diese Entscheidung nicht.

Für die Fortschrittskontrolle wird später mit vergleichbarem Scope und demselben Framework erneut bewertet. Im Report und unter Findings werden Unterschiede mit den tatsächlich umgesetzten Massnahmen abgeglichen. Ein höherer Score ohne neue Evidenz belegt keine technische Verbesserung. Fehlt der Report, prüft man zuerst Profilvollständigkeit und veröffentlichten Assessment-Stand. Fehlt der erwartete Fortschritt, werden Zeitraum, Framework, Zielwerte und neue Nachweise verglichen, bevor Antworten allein zur Verbesserung der Kennzahl geändert werden.

Einen sinnvollen Einstieg vorbereiten

Die folgende Vorbereitung ist eine Avanet-Empfehlung, kein dokumentierter Klickpfad:

1. Entscheidungsfrage festlegen. Beispielsweise soll die nächste Budgetrunde die drei wichtigsten Sicherheitsverbesserungen für einen kritischen Geschäftsprozess begründen. Den betrachteten Zeitraum und die zuständige Leitung benennen.
2. Ausgangslage erfassen. Kritische Dienste, bestehende Schutzprodukte, bekannte Risiken, zuständige Personen und bereits geplante Massnahmen zusammenstellen. Fehlende oder veraltete Daten ausdrücklich markieren.
3. Auftrag abgrenzen. Länderfreigabe, Lizenzmenge, Laufzeit, interne beziehungsweise partnergeführte Nutzung, erwartete Berichte und allfällige Beratungsleistungen bestätigen. Auch Datenzugriff, Empfänger und Aufbewahrung der Berichte festlegen.
4. Ergebnisse prüfbar machen. Für jede priorisierte Massnahme Risiko, betroffenen Prozess, Owner, Termin, Aufwand und einen beobachtbaren Zielzustand vereinbaren. Eine KI-Zusammenfassung allein genügt nicht als Nachweis.
5. Nachkontrolle planen. Zum vereinbarten Termin denselben Scope und dieselben Kriterien erneut bewerten. Technische Änderungen werden über das jeweilige Produkt-Runbook freigegeben und abgenommen.

Fehlen Länderfreigabe, Datenbasis oder ein klarer Lieferumfang, bleibt die Beauftragung offen. Für einen laufenden Angriff nutzt man den vereinbarten Incident-Prozess; eine strategische Bewertung ist kein Soforthilfeweg.