BPMN-Vorlage: Schwachstellenmanagement
Vom Scan-Befund bis zum Patch: bewerten, nach Kritikalität einordnen, Notfall-Patch oder regulärer Patchzyklus, Ausnahme mit Risikoakzeptanz.
Wozu dieses Diagramm
Dokumentiert den Umgang mit Befunden aus Schwachstellenscans, wie ihn ISO 27001, NIS2 oder Kunden-Audits nachgewiesen sehen wollen.
Rollen (Lanes und Pools)
- Security-Team: bewertet, steuert, verifiziert.
- IT-Betrieb: spielt Patches ein.
- System-Owner: trägt das Restrisiko, wenn nicht gepatcht werden kann.
Entscheidungen und Ereignisse
- Kritikalität? Kritische Befunde sofort, mittlere im nächsten Wartungsfenster, ohne verfügbaren Patch eine dokumentierte Risikoakzeptanz.
- Zeitereignis: wartet auf das reguläre Wartungsfenster.
Alle Elemente
| Element | Typ | Rolle | Weiter zu |
|---|---|---|---|
| Schwachstelle gefunden | Start-Ereignis | Security-Team | → Schwachstelle bewerten (CVSS) |
| Schwachstelle bewerten (CVSS) | Aufgabe | Security-Team | → Kritikalität? |
| Kritikalität? | Exklusives Gateway | Security-Team | → Notfall-Patch einspielen [Kritisch] → Im Patchzyklus einplanen [Mittel] → Risiko akzeptieren [Kein Patch möglich] |
| Notfall-Patch einspielen | Aufgabe | IT-Betrieb | → Exklusives Gateway |
| Im Patchzyklus einplanen | Aufgabe | IT-Betrieb | → Nächstes Wartungsfenster |
| Nächstes Wartungsfenster | Zwischenereignis (Zeit) | IT-Betrieb | → Regulär patchen |
| Regulär patchen | Aufgabe | IT-Betrieb | → Exklusives Gateway |
| Risiko akzeptieren | Benutzer-Aufgabe | System-Owner | → Exklusives Gateway |
| (Zusammenführung) | Exklusives Gateway | Security-Team | → Behebung verifizieren |
| Behebung verifizieren | Aufgabe | Security-Team | → Befund geschlossen |
| Befund geschlossen | End-Ereignis | Security-Team | – |
In AIxFlow nachbauen
Kostenlos: Start-Ereignis antippen, über ＋ die 11 Elemente der Reihe nach anlegen, die Rollen als Lanes hinzufügen, dann „Automatisch anordnen“ – den Rest übernimmt AIxFlow.
Mit Pro geht es schneller: den Ablauf in eigenen Worten beschreiben oder ein Foto einer Skizze aufnehmen, die KI erzeugt das Diagramm. Export als BPMN-2.0-Datei (für Camunda, bpmn.io, Signavio) ist ebenfalls Pro.
BPMN modellieren auf iPad und Mac. Kostenlos bis drei Diagramme.
Kann ich die Vorlagen als .bpmn-Datei herunterladen?
Nein, hier gibt es nur die Ansicht. Nachbauen ist in AIxFlow kostenlos, der Export als .bpmn-Datei gehört zu Pro.