Beurteilung von Risiken
Im ersten Teil unserer Serie zum Risikomanagement im ISMS haben wir uns allgemein über den Stellenwert des Risikomanagements im ISMS nach ISO 27001 unterhalten. Im zweiten Teil ging es um die Risikoidentifikation. In diesem dritten Teil soll es um die Informationssicherheitsrisikobeurteilung gehen.
Zunächst muss man feststellen, dass die Begrifflichkeiten im Risikomanagement nicht einheitlich verwendet werden. In der ISO 27001:2013 finden sich unter dem Kapitel 6.1.2 “Informationssicherheitsbeurteilung” die Aspekte
- Identifikation von Informationssicherheitsrisiken,
- Analyse von Informationssicherheitsrisiken und
- Bewertung von Informationssicherheitsrisiken.
Im deutschen Sprachraum werden diese Punkte häufig zusammen als Risikoanalyse bezeichnet, so etwa in den Standards des BSI IT-Grundschutzes. In diesem Text wollen wir uns an den Sprachgebrauch der ISO 27001:2013 halten. Nachdem wir die Identifikation von Informationssicherheitsrisiken bereits im letzten Artikel betrachtet haben, soll es nun also um die Analyse und Bewertung der identifizierten Risiken gehen.
Analyse von Informationssicherheitsrisiken
In der Analyse werden die Eintrittswahrscheinlichkeit und die potenzielle Schadenshöhe eines Risikos betrachtet.
Bei der Eintrittswahrscheinlichkeit fehlen uns meist belastbare Zahlen. Entweder gibt es keine Statistiken, sie sind nicht frei zugänglich oder nicht auf das eigene Unternehmen übertragbar. Daher müssen wir uns mit qualitativen Abschätzungen begnügen. Drei bis fünf Stufen sind dabei in der Praxis üblich, beispielsweise “sehr unwahrscheinlich”, “eher unwahrscheinlich”, “eher wahrscheinlich”, “sehr wahrscheinlich”. Eine gerade Anzahl von Kategorien beugt bei der Einschätzung dem “Tendenz-zur-Mitte-Effekt” vor.
Zur Schadenshöhe können oft bessere Angaben gemacht werden. Produktionsausfälle, Kosten zur Wiederbeschaffung oder Wiederinbetriebnahme eines Unternehmenswertes etc. sind einigermaßen gut abzuschätzen. Neben rein monetären Aspekten können weitere Aspekte (Schadensszenarien im BSI IT-Grundschutz) einbezogen werden. Dies können beispielsweise sein:
- Verstöße gegen rechtliche Anforderungen (gesetzliche, regulatorische oder vertragliche)
- Beeinträchtigung des informationellen Selbstbestimmungsrechts
- Beeinträchtigung der persönlichen Unversehrtheit (physisch oder psychisch)
- Beeinträchtigung der Aufgabenerfüllung (z.B. bei Non-Profit-Organisationen oder Unternehmen mit Versorgungsauftrag und Kritischen Infrastrukturen / Kritis)
- Reputation
Dabei kann es Überschneidungen geben, z.B. bei Datenschutzverstößen. Das kann zu einer unbeabsichtigten Übergewichtung einzelner Risiken führen. Dies ist bei der Definition der Aspekte und der Beschreibung, wie der “Gesamtschaden” hieraus gebildet wird, zu berücksichtigen.
Anschließend werden die Risiken den Risikoniveaus (Risikokategorien im BSI IT-Grundschutz) zugeordnet. Dieses ergibt sich aus den ermittelten Werten für die potenzielle Schadenshöhe und die Eintrittswahrscheinlichkeit. Das wird oft in einer Matrix dargestellt und die Niveaus farblich, meist in Ampelfarben gekennzeichnet. In der Praxis üblich sind wiederum drei bis fünf Niveaus. Sie beschreiben die Anzahl der Reaktionsmuster, die im Unternehmen zur weiteren Behandlung der Risiken festgelegt wurden.
Bewertung von Informationssicherheitsrisiken
Nach der Analyse der Risiken werden diese mit den im Vorwege festgelegten Kriterien verglichen. Das Wichtigste hierbei dürfte das Kriterium der Risikoakzeptanz sein. Die Risikoakzeptanzschwelle bezeichnet das Niveau, unterhalb dessen keine Risikobehandlung notwendig ist. Hierbei handelt es sich um eine willkürliche Entscheidung des Unternehmens, die den unternehmenseigenen Risikoappetit reflektiert.
Ein weiteres Kriterium könnte die “Quick-Win-Schwelle” sein. Risiken unterhalb dieser Schwelle sollen auf alle Fälle und möglichst früh bearbeitet werden, weil bei ihnen eine zügige Verbesserung der Risikosituation mit sehr geringen Aufwand erwartet wird.
Das Ergebnis des Abgleichs ist eine priorisierte Risikoliste. Die Priorisierung erfolgt dabei in Hinblick auf die Behandlung. Der Informationssicherheitsrisikobehandlung widmen wir uns dann in der nächsten Folge dieser Reihe.
Was Sie auch interessieren könnte:
Seminar:
Weitere Seminare finden Sie unter https://anmatho.de/seminare diese können Sie auch als individuelles Inhouse-Seminar buchen. Sprechen Sie uns gern an KONTAKT.
Podcast:
Unser Podcast “Security on Air” beschäftigt sich mit den Themen Informationssicherheit und Datenschutz. In lockerer, informativer Form werden Sie zu allen Teilbereichen und gesetzlichen Neuerungen informiert. Sie finden uns auf “Apple Podcast”, “Spotify” und “Google Podcast” sowie natürlich auf unserer Website.
Hören Sie rein!