Wozu sie dient
Das BSI beschreibt mit dem Standard 200-3 ein praxisnahes Vorgehen, mit dem Organisationen ihre Informationssicherheitsrisiken angemessen und gezielt steuern können.[1] Für Unternehmen unter NIS2 sind Konzepte zur Risikoanalyse ausdrücklich Teil der Pflichtmaßnahmen.[2]
Ablauf
- Werte erfassen: Welche Prozesse, Daten und Systeme sind wichtig?
- Bedrohungen sammeln: Ransomware, Phishing, Hardwareausfall, Brand, Fehlbedienung, Ausfall eines Dienstleisters.
- Bewerten: Wie wahrscheinlich ist das, wie groß wäre der Schaden?
- Einordnen: in eine Risikomatrix.
- Behandeln: Maßnahmen festlegen oder Risiko bewusst akzeptieren.
- Wiederholen: regelmäßig und nach Änderungen.
Risikomatrix (vereinfacht)
| Wahrscheinlichkeit \ Schaden | gering | mittel | hoch |
|---|---|---|---|
| hoch | mittel | hoch | sehr hoch |
| mittel | gering | mittel | hoch |
| gering | gering | gering | mittel |
Vier Wege, mit Risiken umzugehen
| Weg | Beispiel |
|---|---|
| Vermeiden | veralteten Fernzugang abschalten |
| Verringern | MFA einführen, Backup mit Offline-Kopie |
| Übertragen | Cyberversicherung, Dienstleister mit SLA |
| Akzeptieren | geringes Restrisiko bewusst tragen, dokumentiert |
Beispiel aus der Praxis
Eine Steuerkanzlei führt mit ihrem Dienstleister eine Risikoanalyse durch. Ganz oben landen ein Ransomware-Angriff über E-Mail und der Ausfall der Kanzleisoftware während der Abgabefristen. Maßnahmen: MFA, Schulung, unveränderliches Backup und ein Ersatzserver beim Dienstleister. Das Risiko eines Brandes im Serverraum wird durch die Cloud-Kopie verringert; das Restrisiko eines längeren Internetausfalls wird bewusst akzeptiert und mit einer Mobilfunk-Reserve abgefedert.
Kurz gesagt
Eine IT-Risikoanalyse bewertet Bedrohungen nach Wahrscheinlichkeit und Schaden und legt fest, wie mit jedem Risiko umgegangen wird. Sie ist die Grundlage für Sicherheitskonzept und Budget und unter NIS2 Pflicht.
Weiterlesen: IT-Risikoanalyse richtig planen, IT-Sicherheitsanalyse im Mittelstand