Cyber-Risikobewertung : strukturierte Methode und Analysekriterien

Eine Cyber-Risikobewertung ist eine strukturierte Beurteilung, die sensitive digitale Assets, Bedrohungen für diese Assets, ausnutzbare Schwachstellen und die potenzielle Auswirkung eines Vorfalls auf die Organisation identifiziert. [lu: ISO/IEC 27005, internationale Norm; BSI IT-Grundschutz-Kompendium, Bundesamt für Sicherheit in der Informationstechnik] Sie unterscheidet sich von einem Sicherheitsaudit, der die Konformität mit einem Referenzrahmen zu einem bestimmten Zeitpunkt prüft, und von einem Penetrationstest, der vorhandene technische Schwachstellen auszunutzen versucht. Die Risikobewertung erzeugt eine Priorisierung der Risiken, die als Grundlage für den Behandlungsplan und Investitionsentscheidungen dient. Im deutschen Regulierungsrahmen verlangt DSGVO Art. 32 von Verantwortlichen und Auftragsverarbeitern geeignete technische und organisatorische Maßnahmen unter Berücksichtigung des Risikos; NIS2-UmsuCG verlangt von wesentlichen und wichtigen Einrichtungen eine dokumentierte Risikobeurteilung. [lu: DSGVO, Art. 32; NIS2-UmsuCG] Die anerkannten Methoden umfassen ISO/IEC 27005, das BSI IT-Grundschutz-Kompendium und NIST SP 800-30. [lu: ISO/IEC 27005, internationale Norm; BSI IT-Grundschutz-Kompendium, BSI; NIST SP 800-30, NIST] Jede hat unterschiedliche Stärken je nach Geltungsbereich, Reifegrad der Organisation und anwendbaren regulatorischen Anforderungen.

Was unterscheidet eine Cyber-Risikobewertung von einem Sicherheitsaudit?

Die Cyber-Risikobewertung erzeugt eine vorausschauende Sicht: Sie identifiziert, was eintreten könnte, mit welcher Wahrscheinlichkeit und welcher Auswirkung. [lu: ISO/IEC 27005, internationale Norm] Der Sicherheitsaudit erzeugt eine rückblickende Sicht: Er prüft, was vorhanden ist und was im Verhältnis zu einem Referenzrahmen fehlt. Beide Übungen ergänzen sich. Eine Organisation kann einem Referenzrahmen entsprechen und dennoch wesentlichen Risiken ausgesetzt sein, die dieser Referenzrahmen nicht abdeckt; umgekehrt kann eine Risikobewertung vertretbare Risiken ohne formalen Audit identifizieren. Die Risikobewertung geht der Zertifizierungsprüfung logisch voraus, da sie die Auswahl der zu prüfenden Kontrollen lenkt.

Zum ISO-27001-Rahmen, der eine Risikobeurteilung erfordert, siehe den Artikel ISO 27001 : Compliance-Leitfaden und Sicherheitsmanagement.

Welche Methoden strukturieren eine Cyber-Risikobewertung?

ISO/IEC 27005 bietet einen generischen Rahmen in sechs Schritten: Kontextfestlegung, Risikoidentifikation, Risikoschätzung, Risikobewertung, Risikobehandlung und Risikoakzeptanz. [lu: ISO/IEC 27005, internationale Norm] Das BSI IT-Grundschutz-Kompendium strukturiert die Übung durch Bausteine mit konkreten Gefährdungen und Maßnahmen, was eine direkte Operationalisierung für typische Systemlandschaften ermöglicht. NIST SP 800-30 schlägt einen in drei Phasen organisierten Prozess vor: Vorbereitung, Durchführung der Bewertung, Kommunikation der Ergebnisse. Die Methodenwahl hängt vom Geltungsbereich (ISMS nach ISO 27001 vs. KRITIS-Betreiber), dem Zielpublikum der Ergebnisse (technisches Team vs. Geschäftsleitung) und den anwendbaren regulatorischen Anforderungen ab.

Wie grenzt man den Geltungsbereich einer Cyber-Risikobewertung ab?

Die Abgrenzung des Geltungsbereichs ist die erste strukturierende Entscheidung einer Bewertung: Ein zu weiter Geltungsbereich verwässert die Analyse; ein zu enger Geltungsbereich verfehlt die tatsächlichen Risiken. [déduit: Ableitung aus ISO/IEC 27005 und gängiger Sicherheits-Assessment-Praxis] Der Geltungsbereich kann durch ein Informationssystem, einen kritischen Geschäftsprozess, eine juristische Person oder eine geografische Zone definiert werden. Er muss vor Beginn der Arbeiten dokumentiert und genehmigt werden, da er die benötigten Ressourcen und die Liste der für die Identifikations-Workshops zu mobilisierenden Ansprechpartner bedingt.

Zur Cyber-Risikokartierung, die der Bewertung vorausgeht oder sie begleitet, siehe den Artikel Cyber-Risikokartierung : Methode und Software.

Wie führt man Bewertungs-Workshops mit den Fachbereichen durch?

Die Bewertungs-Workshops mobilisieren die Verantwortlichen der Prozesse und Systeme zur Identifikation kritischer Assets, glaubwürdiger Bedrohungsszenarien und geschäftlicher Auswirkungen eines Vorfalls. [déduit: Ableitung aus ISO/IEC 27005 und NIST SP 800-30 Methodik] Der Wert dieser Workshops hängt von der Qualität der gestellten Fragen und der Fähigkeit ab, technische Bedenken in für Nicht-Spezialisten verständliche Auswirkungen zu übersetzen. Eine Risikobewertungssoftware stellt eine Bibliothek von Bedrohungen und Schwachstellen bereit, die den Austausch strukturiert und die Identifikation beschleunigt, ohne den Dialog mit den Fachbereichen zu ersetzen.

Zu den NIS2- und DORA-Regulierungsanforderungen, siehe den Artikel NIS2 und DORA : Compliance-Anforderungen und Vorbereitung.

Wie wandelt man Bewertungsergebnisse in einen Behandlungsplan um?

Die Risikobewertung erzeugt eine priorisierte Liste von Risiken, die behandelt, übertragen, akzeptiert oder vermieden werden sollen. [lu: ISO/IEC 27005, internationale Norm] Der Behandlungsplan ordnet jedem beibehaltenen Risiko eine Sicherheitsmaßnahme, einen Verantwortlichen und eine Frist zu. Dieser Plan rechtfertigt Sicherheitsinvestitionen gegenüber der Leitung und wird bei einem Audit oder einer regulatorischen Prüfung verifiziert. Eine Software ermöglicht die direkte Verknüpfung jedes Risikos mit seinen Behandlungsmaßnahmen und das Verfolgen des Fortschritts der Maßnahmen.

Zur finanziellen Quantifizierung der bedeutsamsten Risiken, siehe den Artikel Cyber-Risikoquantifizierung : Methode und Software.

Häufig gestellte Fragen

Wie häufig sollte eine Cyber-Risikobewertung erneuert werden? ISO/IEC 27005 empfiehlt eine periodische Erneuerung und eine Überprüfung nach jeder wesentlichen Änderung des Geltungsbereichs. Die gängige Praxis in ISO-27001-zertifizierten Organisationen ist eine jährliche Erneuerung, ergänzt durch eine gezielte Revision nach einem schwerwiegenden Vorfall oder einer wesentlichen Änderung des Informationssystems.

Wer sollte die Bewertungen durchführen: internes Team oder Dienstleister? Beide Optionen sind möglich. Ein internes Team bringt Kontextkenntnisse und fördert die Aneignung der Ergebnisse; ein Dienstleister bringt einen externen Blick und methodisches Fachwissen. Für eine erste Bewertung oder für einen regulierten Geltungsbereich kann ein spezialisierter Dienstleister die Implementierungszeit verkürzen und die Qualität der Lieferobjekte verbessern.

Wie bewertet man die Lesbarkeit der Ergebnisse für Nicht-Spezialisten? Ein für Nicht-Spezialisten lesbares Ergebnis präsentiert Risiken in Begriffen der geschäftlichen Auswirkung (Unterbrechung eines kritischen Prozesses, Reputationsschaden, regulatorische Sanktion) statt in technischen Begriffen. Die Wahrscheinlichkeit-Auswirkung-Matrix und der priorisierte Behandlungsplan sind die zwei am häufigsten für diese Kommunikation genutzten Lieferobjekte.

Begleitet Optivalue.ai bei der Durchführung einer Cyber-Risikobewertung? Optivalue.ai begleitet Sicherheitsteams durch die Methode und die Workshops. Weitere Informationen: Demonstration anfordern.

---

Nach oben