Risikobewertung

ISMS-Konzept
Titel	Risikobewertung
Autor:in	Stefan Voigt
Versionsnummer	0
Vertraulichkeit	intern
Art	Konzeptteil

Klassifikation von Risiken bzw. Schäden

Für unsere Risikoklassifizierung wurden im Unternehmen die nachfolgenden Dimensionen ausgewählt und die Ausprägungen definiert.

Eintrittswahrscheinlichkeit:
- selten: maximal alle 5 Jahre
- mittel: alle 5 Jahre bis jährlich
- häufig: jährlich bis monatlich
- sehr häufig: mehrmals im Monat
Potenzielle Schadenshöhe:
- vernachlässigbar: geringe Schäden
- begrenzt: überschaubarer Schaden
- beträchtlich: sehr umfangreicher Schaden (z.B. finanziell >20.000 Euro, Reputationsverlust, Stillstand mehrere Tage)
- existenzbedrohend: katastrophales Ausmaß für das Unternehmen (z.B. finanziell >200.000 Euro, Stillstand mehrere Wochen)
Aus der Kombination von Eintrittswahrscheinlichkeit und Schadenshöhe lässt sich anschließend eine Risikokategorie mit folgenden Ausprägungen ableiten:
- gering: bestehende/definierte Sicherheitsmaßnahmen bieten ausreichenden Schutz oder Aufwand-Risiko-Abschätzung unwirtschaftlich
- mittel: bestehende/definierte Sicherheitsmaßnahmen reichen möglicherweise nicht aus
- hoch: bestehende/definierte Sicherheitsmaßnahmen bieten keinen ausreichenden Schutz
- sehr hoch: bestehende/definierte Sicherheitsmaßnahmen bieten keinen ausreichenden Schutz oder sind noch gar nicht geplant

Matrix zur Einstufung von Risiken nach [BSI, Oktober 2017BSI, Bundesamt für Sicherheit in der Informationstechnik (Oktober 2017): "BSI-Standard 200-3: Risikoanalyse auf der Basis von IT-Grundschutz". (Link)], S. 27

Risikoanalyse

Eine Risikoanalyse ist erst ab Standard-Absicherung relevant. Vorausschauend zur künftigen Erreichung einer Standard-Absicherung wurden für die Risikoanalyse die nachfolgenden Punkte bereits definiert.

Die Risikoanalyse wird einmal jährlich durchgeführt und ggf. nach erneuter Einschätzung aktualisiert.

Innerhalb der Risikoanalyse ab Standard-Absicherung folgen wir dem vom BSI vorgeschlagenen Schritten ([BSI, Oktober 2017BSI, Bundesamt für Sicherheit in der Informationstechnik (Oktober 2017): "BSI-Standard 200-2: IT-Grundschutz-Methodik". (Link)], S. 34):

Identifikation zu schützender Informationen und Prozesse
Ermittlung aller relevanten Bedrohungen für diese
Analyse von bedrohten Schwachstellen
Benennung und Einschätzung der möglichen Schäden
Untersuchung der potenziellen Auswirkungen auf die Geschäftstätigkeit
Bewertung des Risikos

Die eigentliche Risikoanalyse findet sich im Wiki unter Risikobewertung.

Zielobjekte

Als Ergebnis der Vorarbeiten zur Risikoanalyse sollte eine Liste von Zielobjekten vorliegen. Die eigentliche Risikobewertung findet anhand dieser Zielobjekte statt, d.h. möglicher Ziele für einen Sicherheitsvorfall. Zielobjekte können z.B. Software-Anwendungen, einzelne IT-Systeme oder -Räume aber auch Geschäftsprozesse sein.

Seitenlink	Name des Zielobjektes	Schutzbedarf Vertraulichkeit	Schutzbedarf Integrität	Schutzbedarf Verfügbarkeit

Standort Magdeburg	Standort Magdeburg	niedrig	mittel	hoch

CSV-Export

Neues Zielobjekt hinzufügen

Liste elementarer und zusätzlicher Gefährdungen

Laut BSI wurden aus den spezifischen Einzelgefährdungen der IT-Grundschutz-Bausteine generelle Aspekte abgeleitet und in 47 elementare Gefährdungen überführt, die im IT-Grundschutz-Kompendium aufgelistet seien. Die nachfolgende Liste stellt einen Auszug aus der Übersicht über die elementaren Gefährdungen aus [BSI, Oktober 2017BSI, Bundesamt für Sicherheit in der Informationstechnik (Oktober 2017): "BSI-Standard 200-3: Risikoanalyse auf der Basis von IT-Grundschutz". (Link)], S. 13ff dar. Neben diesen, können weitere, zusätzliche Gefährdungen ergänzt werden.

lfd. Nr.	Gefährdung	Vertraulichkeit	Integrität	Verfügbarkeit	Elementare Gefährdung

G0.1	Feuer			ja	ja
G0.15	Abhören	ja			ja
G0.28	Softwareschwachstellen	ja	ja	ja	ja
G0.36	Identitätsdiebstahl	ja	ja	ja	ja
G0.42	Social Engineering	ja	ja		ja
Gz.1	Manipulation durch Familienangehörige und Besucher
Gz.2	Beschädigung von Informationstechnik im Fertigungsbereich

CSV-Export