02 12 PSL ISMS Risikomanagement Richtlinie

Zurück zur ISMS Übersicht

Einleitung

Der Risikomanagement-Prozess umfasst die systematische Vorgehensweise, um alle potentiellen Risiken zu identifizieren und zu bewerten, sowie hierauf aufbauend entsprechende Maßnahmen zur Risikohandhabung und Chancennutzung auszuwählen und umzusetzen. Die Risiken sollen bewusst erfasst, analysiert und auf ein erträgliches Maß gemindert werden. Ebenso soll das Risiko permanent kontrolliert und weiter gemindert werden.

Neben der Vermeidung messbarer Auswirkungen wie finanzielle Schäden, Reputationsschäden oder strafrechtlichen Auswirkungen soll auch das Bewusstsein der Geschäftsleitung und der Mitarbeiter geschärft werden, um Risiken im Alltag frühzeitig zu erkennen.

Geltungsbereich

Die Regelungen dieser Richtlinie gelten uneingeschränkt. Sie sind verbindlich und dürfen nicht umgangen werden. Ausnahmen von der Richtlinie sind nicht zulässig, es sei denn, sie sind in dieser ausdrücklich aufgeführt.

Mit Erscheinen einer neuen Version werden vorangegangene Versionen automatisch ungültig.

Häufigkeit und Zeitpunkt der Risikoanalyse

Die Risikoanalyse ist jährlich zu wiederholen, um den Sicherheitsstandard aufrecht zu erhalten oder zu verbessern. Immer, wenn erhebliche Änderungen vorgeschlagen werden oder auftreten, ist ebenfalls eine Risikoanalyse durchzuführen.

Bei Änderungen für Systeme mit hohem Schutzbedarf ist sowohl bei der Planung als auch nach der Umsetzung eine Risikoanalyse durchzuführen.

• Siehe auch: Change-Management (02_05)

Vor Projekten ist ebenfalls eine Risikoanalyse durchzuführen, um die erforderlichen Maßnahmen innerhalb eines Projektes zu erörtern.

Bei Projekten mit vertraulichen oder streng vertraulichen Informationen ist das Risiko während des laufenden Projektes vom Projektleiter wiederholt zu kontrollieren.

• Siehe auch: Arbeitsanweisung zur Klassifizierung von Projekten (03_02)

Durchführung der Risikoanalyse

Eine Risikoanalyse im Kontext der Informationssicherheit hat die Aufgabe, relevante Gefährdungen für den Informationsverbund zu identifizieren und die daraus möglicherweise resultierenden Risiken abzuschätzen. Das Ziel ist es, die Risiken durch angemessene Gegenmaßnahmen auf ein akzeptables Maß zu reduzieren, die Restrisiken transparent zu machen und dadurch das Gesamtrisiko systematisch zu steuern.

Identifikation von Risiken

Maßgebend für die Einschätzung des Risikos sind die Informationssicherheitsziele:

• Vertraulichkeit
• Integrität
• Verfügbarkeit

In der Regel ist eines der Sicherheitsziele deutlicher ausgeprägt, die Anforderungen sind jedoch übergreifend. Das Risiko muss für jedes dieser Ziele berücksichtigt werden und die Auswirkungen müssen in einem Schadensfall eingeschätzt werden.

Analyse von Risiken (Wahrscheinlichkeit)

Nach Erfassung der möglichen Schadensszenarien ist die Wahrscheinlichkeit zu ermitteln. Hierfür können je nach Fall Statistiken herangezogen werden oder Erfahrung und Expertise erörtert werden. Für Erfahrungswerte sind objektiv zukünftige Ereignisse zu berücksichtigen. Nur weil ein Schaden bisher nie eingetreten ist, mindert das nicht das Risiko für die Zukunft.

Erfassung der Auswirkungen

Auswirkungen können in Form von finanzielle Schäden, Reputationsschäden oder strafrechtlichen Auswirkungen auftreten.

Der mögliche entstandene Schaden kann direkte finanzielle Auswirkungen haben oder aber indirekte, wenn zum Beispiel ein wichtiger Kunde oder Lieferant verloren geht.

Festsetzung der Akzeptanzkriterien

Risiken lassen sich selten ganz beseitigen, daher ist es wichtig, ein akzeptables Maß zu definieren, auf welches das Risiko minimiert werden soll, oder wie die Voraussetzungen aussehen, unter denen ein Risiko akzeptiert werden kann.

Erfassen in einer Risikomatrix

Auswirkung

1_Gering	Eine Verletzung beeinträchtigt weder den Geschäftsbetrieb noch das Ansehen der Firma.
2_Mittel	Schadensersatzforderungen sind unwahrscheinlich. Einmalige kleine Schäden ohne langfristige Auswirkung auf Umsatz oder Ansehen
3_Hoch	Eine Verletzung bringt merkbare Beeinträchtigungen mit sich. Arbeitsabläufe werden verzögert. Umsatzzahlen werden negativ beeinflusst. Kunden könnten die Zusammenarbeit beenden. Schadensersatzforderungen sind anzunehmen.
4_Sehr Hoch	Eine Verletzung hat erhebliche Auswirkungen. Starke negative Auswirkung auf die Umsätze. Lange Ausfallzeiten in der Produktion. Schadensersatzforderung durch mehrere Einzelpersonen oder Organisationen sind zu erwarten.
5_Katastrophal	Der Geschäftsbetrieb muss dauerhaft eingestellt werden

Wahrscheinlichkeit

1_unvorstellbar	Unmöglich
2_unwahrscheinlich	5 - 10 Jahre
3_Entfernt vorstellbar	Jährlich
4_gelegentlich	Monatlich
5_wahrscheinlich	Wöchentlich
6_häufig	Täglich

Matrix

Best	OK	OK	OK	ALARP 1	unvorstellbar
OK	OK	ALARP 1	ALARP 2	Inakzeptabel 1	unwahrscheinlich
OK	ALARP 1	ALARP 2	Inakzeptabel 1	Inakzeptabel 2	entfernt vorstellbar
ALARP 1	ALARP 2	Inakzeptabel 1	Inakzeptabel 2	Inakzeptabel 3	gelegentlich
ALARP 2	Inakzeptabel 1	Inakzeptabel 2	Inakzeptabel 3	Inakzeptabel 4	wahrscheinlich
ALARP 3	Inakzeptabel 2	Inakzeptabel 3	Inakzeptabel 4	Supergau	häufig
Gering	Mittel	Hoch	Sehr Hoch	Katastrophal	-

ALARP Bereich

As Low As Reasonably Practicable. Das ALARP-Prinzip besagt, dass Risiken auf ein Maß reduziert werden sollen, welches den höchsten Grad an Sicherheit garantiert, der vernünftigerweise praktikabel ist.

Oft steht der Aufwand, ein Risiko zu reduzieren, dem wirtschaftlichen Nutzen gegenüber. Ein Aufwand, der größer als der zu erwartende Schaden ist, gilt als nicht praktikabel.

Erarbeitung einer Risikostrategie

Risiken lassen sich auf unterschiedlichste Art und Weise bearbeiten. Die gängigsten Strategien sind:

Risikoakzeptanz	Geringe Risiken können akzeptiert werden, also solche, bei denen der mögliche Schaden oder die Eintrittswahrscheinlichkeit niedrig sind. Gleiches gilt, wenn für eine Gefährdung keine hinreichend wirksamen oder wirtschaftlich vertretbaren Gegenmaßnahmen bekannt sind.
Risikotransfer	Beim Transfer von Risiken wird der mögliche Schaden an einen Dritten verlagert. Viele finanzielle Risiken lassen sich beispielsweise durch den Abschluss einer Versicherung abfedern. Die Delegation risikobehafteter Aufgaben an einen externen Dienstleister verlagert ebenfalls das finanzielle Risiko. Risikotransfer entbindet eine Institution jedoch nicht von der Gesamtverantwortung für ihre Sicherheit und Notfallvorsorge. Durch Risikotransfer können daher zwar finanzielle Schäden abgemildert, jedoch nicht alle Risiken beseitigt werden. Beispielweise schützt ein Risikotransfer nur eingeschränkt gegen Ansehensverluste oder juristische Konsequenzen.
Risikovermeidung	Der Geschäftsprozess wird so verändert, dass eine Gefährdung ausgeschlossen ist. Hierfür können dessen Abläufe und Rahmenbedingungen verändert werden. Wenn dies nicht sinnvoll möglich ist, kann ein Geschäftsprozess auch ganz eingestellt werden.
Risikoreduktion	Risikoreduktion bedeutet, durch zusätzliche Schutzvorkehrungen oder Änderungen an den Verfahrensabläufen die Wahrscheinlichkeit eines Schadens oder dessen Auswirkungen zu verringern. In der Praxis dürfte dies die am häufigsten gewählte Risikostrategie sein.

Die Risikostrategie muss das Risiko auf das vorher definierte Akzeptanz Maß reduzieren, dieses liegt üblicherweise im oder unter dem ALARP Bereich.

Ist dies nicht der Fall, sind andere Maßnahmen zu treffen. Risikostrategien lassen sich auch kombinieren, ein Restrisiko lässt sich versichern oder akzeptieren.

Die Risikostrategie ist in Form einer Auflistung konkreter Maßnahmen festzuhalten und in einem zeitlich vertretbaren Rahmen zu planen.

Risikoakzeptanz, also das Ignorieren eines Risikos, empfiehlt sich nur, wenn der Aufwand der Maßnahmen den potenziellen Schaden übersteigt. Eine Risikoakzeptanz muss in jedem Fall von der Geschäftsführung genehmigt und unterzeichnet werden.

Umsetzung und Kontrolle

Die Entwicklung der Risikostrategie ist fortlaufend zu beobachten und zu kontrollieren. Bei Änderung der Ausgangssituation, aber spätestens nach einem Jahr, ist eine erneute Analyse der bestehenden Risiken durchzuführen.

Risikoverzeichnis

Übliche Risikoszenarien werden erfasst und bewertet. Dies geschieht im zentralen Risikoverzeichnis.

Jedes Risiko erhält eine eindeutige Nummer, die man in weiterführenden Dokumenten als Querverweis angeben kann. Detaillierte Risikobewertungen oder Informationsmaterialien können ergänzend unter der angegebenen Nummer archiviert werden.

Die Risiken müssen in regelmäßigen Abständen betrachtet und bewertet werden, spätestens nach einem Jahr.

Status	Da nicht jede Erkenntnis im Alltag umgehend behandelt werden kann, ist das Statusfeld eine Hilfe, um die Wichtigkeit einer Neubehandlung festzuhalten.
Datum und Tage seit Prüfung	Nach spätestens einem Jahr färbt sich die Anzahl der Tage Rot und markiert somit eine erforderliche Neubewertung.
Kategorie	Hilft die Risiken zu gruppieren und zu filtern.
Details	Eine Beschreibung des Risikos dient zur Begründung und Nachverfolgung der getroffenen Einschätzung.
Betroffene Aspekte	Oft ist es sinnvoll, ein Risiko für die unterschiedlichen Sicherheitskriterien getrennt zu bewerten. Dieser Punkt gibt an, welche Kriterien in der Analyse berücksichtigt wurden.
Risikoanalyse vor Maßnahmen	Dienen zur Abschätzung des Grundrisikos. Häufigkeit und Schaden werden vom Risikoeigentümer bewertet. Die Ausgabe der Matrix geschieht automatisch. Wenn die Maßnahmen nicht umgesetzt werden, trifft diese Bewertung zu. Beim Abrutschen des Risikos in den inakzeptablen Bereich sind umgehend Maßnahmen durchzuführen.
Strategie/Maßnahmen	Siehe Kapitel 4 - Erarbeitung einer Risikostrategie
Risikoanalyse nach Maßnahmen	Häufigkeit und Schaden werden vom Risikoeigentümer bewertet. Die Ausgabe der Matrix geschieht automatisch. Die Einschätzung inklusive der Maßnahmen muss mindestens ALARP oder besser sein. Ist das nicht der Fall, müssen weitere Maßnahmen getroffen werden. Die Maßnahmen können Auswirkung auf das Schadensausmaß, die Häufigkeit oder beides haben.
Weiterführende Dokumente	Platz für Weiterführende oder verlinkte Dokumente (kein Pflichtfeld)