ISMS Risikobewertung in der IT: Risiken erfassen und priorisieren
Konkrete Risikoszenarien statt allgemeiner Schlagwörter bewerten
Eine ISMS-Risikobewertung verbindet Bedrohungen, Schwachstellen und mögliche Folgen. Begriffe wie „Cyberangriff“ oder „Datenverlust“ sind als Ausgangspunkt zu ungenau. Ein bewertbares Szenario benennt, was bei welcher Information oder Dienstleistung unter welchen Bedingungen geschehen könnte.
Dabei wird der aktuelle Zustand einschließlich vorhandener Schutzmaßnahmen betrachtet. Unbekannte Eigenschaften sollten als Unsicherheit dokumentiert werden, statt sie durch scheinbar präzise Zahlen zu ersetzen.
Ein Szenario nachvollziehbar beschreiben
Ein beispielhafter Eintrag könnte lauten: Ein nicht mehr benötigter administrativer Zugang bleibt aktiv und wird unberechtigt verwendet, um Kundendaten zu verändern. Dazu werden folgende Angaben erfasst:
- betroffene Dienstleistung und Informationen;
- auslösende Bedrohung und begünstigende Schwachstelle;
- mögliche betriebliche Folgen;
- bereits vorhandene Kontrollen;
- begründete Einschätzung von Eintritt und Auswirkungen.
Die Bewertung erfolgt anhand zuvor vereinbarter Kriterien. Der Verantwortliche muss erklären können, warum eine Kategorie gewählt wurde. Eine Zahl ohne Begründung vermittelt lediglich Genauigkeit.
Auswirkungen aus fachlicher Sicht einordnen
Ob ein Ausfall schwerwiegend ist, hängt auch von Kundenvereinbarungen, Wiederherstellungsmöglichkeiten und betroffenen Abläufen ab. Deshalb sollten Prozessverantwortliche und IT gemeinsam bewerten. Technische Schwere und geschäftliche Auswirkung sind nicht immer identisch.
Vergleichbarkeit und Aktualität erhalten
Beispiel: Zwei Teams bewerten denselben Dienst unterschiedlich, weil eines von einer geprüften Wiederherstellung ausgeht und das andere nicht. Vor einer Priorisierung muss diese Annahme geklärt werden. Das Ergebnis kann eine neue Bewertung oder zunächst eine zusätzliche Prüfung sein.
Nach relevanten Änderungen wird die Einschätzung erneut betrachtet. Die Bewertung liefert die Grundlage für die anschließende Behandlung und Priorisierung; sie ist noch kein Maßnahmenplan. BSI-Standard 200-3 bietet hierfür eine nachvollziehbare methodische Orientierung im IT-Grundschutz.
Die Bewertung einzelner Szenarien ist Teil des übergeordneten Risikomanagements nach ISO 27001. Beschlossene Verbesserungen werden über den ISMS-Maßnahmenplan umgesetzt und auf ihre Wirkung geprüft.
Quellen und fachliche Grundlagen
- BSI-Standard 200-3 – Risikomanagement – Bundesamt für Sicherheit in der Informationstechnik
- BSI-Standard 200-2 – IT-Grundschutz-Methodik – Bundesamt für Sicherheit in der Informationstechnik