Risikomanagement ist ein gängiges Schlagwort in der modernen Wirtschaft. Ohne klare Methoden für die Umsetzung und die Verknüpfung mit der täglichen Arbeit besteht jedoch die Gefahr, dass das Risikomanagement ein losgelöstes, scheinbar nutzloses Gebilde für das Unternehmen bleibt.
Das Risikomanagement der Informationssicherheit ist ein Bereich des Risikomanagements, der immer mehr an Bedeutung gewinnt. Vor allem bei stark digitalisierten Organisationen sollte es an vorderster Front des Risikomanagements stehen.
Die Idee dieses Artikels ist es, ein klares Funktionsmodell für das Management von Informationssicherheitsrisiken bereitzustellen, das von der Identifizierung der Risiken bis zu ihrer Schließung, der Einbeziehung verschiedener Personen in unterschiedlichen Rollen und der Überwachung der beschlossenen Maßnahmen bei der Behandlung von Risiken reicht.
Wir betrachten die Angelegenheit hauptsächlich aus dem Blickwinkel der bewährten Praktiken der Informationssicherheitsnorm ISO 27001.
Im Allgemeinen wird in jeder Norm zur Informationssicherheit oder in den entsprechenden Rechtsvorschriften das Risikomanagement hervorgehoben. ISO 27001 stellt eigene Anforderungen, aber ähnliche Punkte sind z. B. im NIST CSF enthalten.
ISO 27001 enthält klare Anforderungen an das Risikomanagement der Informationssicherheit:
Die erste Anforderung leitet die Organisation dazu an, das Risikomanagement nach einer Reihe von gemeinsamen Grundregeln durchzuführen. Es stellt bereits ein erhebliches Risiko dar, wenn jeder die Risiken auf seine eigene Weise bewertet.
Der zweite Punkt verlangt von der Organisation eine umfassende Überprüfung der in der ISO 27002 aufgeführten Kontrollen. Die Norm bietet daher konkretere Best Practices zur Verringerung der Wahrscheinlichkeit oder der Auswirkungen von Risiken.
Der dritte Punkt verlangt von der Organisation eine klare Zusammenfassung der von ihr eingesetzten Kontrollen: Welche der in ISO 27002 aufgeführten Kontrollen haben wir implementiert und aus welchen Gründen haben wir einige nicht implementiert? Durch die Anwendbarkeitserklärung ist es möglich, sich einen Gesamtüberblick zu verschaffen, auch wenn der eigentliche Risikobewertungsprozess meist aus der Sicht eines einzelnen Risikos durchgeführt wird.
Ein gut eingeführtes Verfahren für das Risikomanagement der Informationssicherheit:
Es ist jedoch wichtig zu verstehen, dass es nicht ratsam ist, direkt mit dem Risikomanagement zu beginnen, wenn die Grundlagen der Cybersicherheit im Unternehmen nicht vorhanden sind. Es wird schwierig, Risiken zu identifizieren und zu bewerten, wenn es der Organisation an systematischen Verfahren fehlt, um ihre Datenverarbeitungsumgebung zu beschreiben, Vermögenswerte zu dokumentieren, die durch Sicherheitsmaßnahmen geschützt werden müssen, und die bestehenden Sicherheitsmaßnahmen zu verstehen. Aus diesem Grund zielt Cyberday darauf ab, etablierte Rahmen für all diese Bereiche bereitzustellen und empfiehlt, nach der Behandlung der grundlegenden Aspekte zum Risikomanagement überzugehen.
Die Umsetzung des Risikomanagements bei Cyberday wird im Folgenden Schritt für Schritt dargestellt.
Neue Risiken können beim Cyberday auf folgende Weise identifiziert werden:
Automatisierte Identifizierung von Cybersicherheitsrisiken durch Aktivierung von Informationssicherheitsaufgaben.
Cyberday enthält Hintergrundinformationen über relevante Risiken für jede Aufgabe. Wenn eine Aufgabe in Cyberday aktiviert wird, werden die damit verbundenen Risiken automatisch zum Risikoregister hinzugefügt.
Risikoermittlung durch Behandlung von Vorfällen oder Änderungen. Die Prozesse der Organisation zur Behandlung von Vorfällen im Bereich der Informationssicherheit oder von bedeutenden sicherheitsrelevanten Änderungen umfassen eine Risikoanalyse. Ziel ist es, die mit dem spezifischen Ereignis verbundenen Risiken zu ermitteln, die dann in die Phase der Risikobewertung übergehen. Diese Risiken können völlig neu sein oder durch das Ereignis eine Neubewertung erfordern.
Identifizierung von Risiken im Zusammenhang mit kritischen Vermögenswerten. Falls gewünscht, können Risiken immer dann identifiziert werden, wenn Informationswerte (wie ein Informationssystem, ein Datenspeicher oder ein Partner) im Managementsystem als "kritisch" eingestuft werden. Diese Implementierung kann unter der Kontrolle des Eigentümers der Anlage erfolgen. Alle identifizierten Risiken werden über eine Risikodokumentationskarte mit dem entsprechenden Vermögenswert verknüpft.
Workshops mit Beispielen für Risiken von Cyberday. Cyberday enthält eine umfassende Liste von Beispielen für Informationssicherheitsrisiken. Diese Liste wird verwendet, um übersehene Bedrohungen und neue Risiken zu identifizieren. Wir empfehlen, solche Workshops bei Bedarf durchzuführen, z. B. wenn andere hier beschriebene Methoden in den letzten 6 Monaten nicht angewandt wurden.
Sobald ein Risiko identifiziert wurde, besteht der erste Schritt darin, einen Risikoverantwortlichen auszuwählen. In Cyberday ist die automatische Standardauswahl für neue Risiken der Eigentümer des Themas "Risikomanagement und Führung". Diese Person sollte dann das Risiko dem Eigentümer der entsprechenden Anlage zuweisen, wenn das Risiko eindeutig mit dieser Anlage verbunden ist, oder dem Eigentümer eines anderen Sicherheitsthemas, wenn das Risiko eindeutig mit diesem Thema verbunden ist. Die Delegation erfolgt durch Zuweisung des entsprechenden Benutzers als Risikoeigentümer auf der Dokumentationskarte.
Die beabsichtigten Maßnahmen eines Risikoeigentümers
In der Phase der Risikobewertung wird dem Risiko auf der Grundlage seiner potenziellen Auswirkungen und Wahrscheinlichkeit ein numerischer Wert zugewiesen. Die Organisation kann je nach ihren eigenen Präferenzen entweder eine engere (1-3) oder eine breitere (1-5) Bewertungsskala verwenden.
Cyberday soll bei der Risikobewertung helfen, indem er schnelle Antworten liefert, wenn für ein Risiko kein hoher Schweregrad oder keine hohe Wahrscheinlichkeit gewählt wurde. Der Schweregrad des Risikos kann aufgrund der Art der Geschäftstätigkeit der Organisation oder aufgrund der Einführung wirksamer Risikomanagementverfahren reduziert sein.
Auf der Grundlage der Bewertung wird das Risikoniveau für jedes Risiko automatisch berechnet. Die Organisation kann ihr akzeptables Risikoniveau festlegen. Alle Risiken, die dieses Niveau überschreiten, sollten in die Behandlungsphase übergehen, in der verschiedene Maßnahmen zur Verringerung des Risikoniveaus durchgeführt werden.
Die bei der Bewertung ermittelte Risikostufe gibt an, ob das Risikomanagement fortgesetzt werden sollte.
Liegt das Risikoniveau innerhalb eines akzeptablen Bereichs oder darunter, kann das Risiko in diesem Stadium akzeptiert werden.
Erforderlichenfalls wird das Risikomanagement in der Behandlungsphase fortgesetzt, in der:
Die häufigste Wahl ist die Verringerung des Risikos durch die Umsetzung zusätzlicher Aufgaben, die die eigenen Cybersicherheitspraktiken der Organisation verbessern. In dieser Phase ist es von entscheidender Bedeutung, die beschlossenen Aufgaben in demselben System aufzulisten, in dem auch das Risikomanagement erfolgt. Dadurch wird sichergestellt, dass das Risikomanagement zu tatsächlichen Ergebnissen führt, die automatisch in denselben Überwachungsprozess einbezogen werden.
Die Zusammenfassung der beschlossenen Maßnahmen auf Organisationsebene wird als Risikobehandlungsplan bezeichnet. Der Eigentümer jedes einzelnen Risikos sollte den erstellten Behandlungsplan für das entsprechende Risiko akzeptieren.
Wenn die geplante Risikobehandlung durchgeführt wurde, d. h. wenn die zugewiesenen Verantwortlichen bestätigt haben, dass die Aufgaben tatsächlich erledigt werden, kann das Risiko abgeschlossen werden. Der Risikomanagementprozess endet somit mit einem klaren Ergebnis.
Ein Risiko kann neu bewertet werden, wenn z. B. ein Sicherheitsvorfall eintritt oder eine wesentliche Änderung in den Abläufen der Organisation erfolgt, die die Auswirkungen oder die Wahrscheinlichkeit des Risikos erhöhen könnte.
Im Folgenden finden Sie einige Beispiele, die Ihnen bei der Umsetzung des Risikomanagements in Ihrer Organisation helfen können.
Wenn Sie mehr über die Bewältigung von Cybersicherheitsrisiken erfahren möchten, nehmen Sie an unseren nächsten Webinaren teil oder vereinbaren Sie einen Termin für ein Team-Meeting, damit wir die Diskussion in einem persönlicheren Rahmen fortsetzen können.
.png)
