Risikobewertung

Für unsere Risikoklassifizierung wurden im Unternehmen die nachfolgenden Dimensionen ausgewählt und die Ausprägungen definiert.

• Eintrittswahrscheinlichkeit:
  • selten: maximal alle 5 Jahre
  • mittel: alle 5 Jahre bis jährlich
  • häufig: jährlich bis monatlich
  • sehr häufig: mehrmals im Monat
• Potenzielle Schadenshöhe:
  • vernachlässigbar: geringe Schäden
  • begrenzt: überschaubarer Schaden
  • beträchtlich: sehr umfangreicher Schaden (z.B. finanziell >20.000 Euro, Reputationsverlust, Stillstand mehrere Tage)
  • existenzbedrohend: katastrophales Ausmaß für das Unternehmen (z.B. finanziell >200.000 Euro, Stillstand mehrere Wochen)
• Aus der Kombination von Eintrittswahrscheinlichkeit und Schadenshöhe lässt sich anschließend eine Risikokategorie mit folgenden Ausprägungen ableiten:
  • gering: bestehende/definierte Sicherheitsmaßnahmen bieten ausreichenden Schutz oder Aufwand-Risiko-Abschätzung unwirtschaftlich
  • mittel: bestehende/definierte Sicherheitsmaßnahmen reichen möglicherweise nicht aus
  • hoch: bestehende/definierte Sicherheitsmaßnahmen bieten keinen ausreichenden Schutz
  • sehr hoch: bestehende/definierte Sicherheitsmaßnahmen bieten keinen ausreichenden Schutz oder sind noch gar nicht geplant

Matrix zur Einstufung von Risiken nach [BSI, Oktober 2017BSI, Bundesamt für Sicherheit in der Informationstechnik (Oktober 2017): "BSI-Standard 200-3: Risikoanalyse auf der Basis von IT-Grundschutz". (Link)], S. 27

Eine Risikoanalyse ist erst ab Standard-Absicherung relevant. Vorausschauend zur künftigen Erreichung einer Standard-Absicherung wurden für die Risikoanalyse die nachfolgenden Punkte bereits definiert.

Die Risikoanalyse wird einmal jährlich durchgeführt und ggf. nach erneuter Einschätzung aktualisiert.

Innerhalb der Risikoanalyse ab Standard-Absicherung folgen wir dem vom BSI vorgeschlagenen Schritten ([BSI, Oktober 2017BSI, Bundesamt für Sicherheit in der Informationstechnik (Oktober 2017): "BSI-Standard 200-2: IT-Grundschutz-Methodik". (Link)], S. 34):

• Identifikation zu schützender Informationen und Prozesse
• Ermittlung aller relevanten Bedrohungen für diese
• Analyse von bedrohten Schwachstellen
• Benennung und Einschätzung der möglichen Schäden
• Untersuchung der potenziellen Auswirkungen auf die Geschäftstätigkeit
• Bewertung des Risikos

Die eigentliche Risikoanalyse findet sich im Wiki unter Risikobewertung.