Cyber-Risikokartierung : Methode und Software zur Strukturierung der Analyse

Eine Cyber-Risikokartierung ist ein strukturiertes Inventar sensibler digitaler Assets, der Bedrohungen für diese Assets, ausnutzbarer Schwachstellen und möglicher Angriffsszenarien, verbunden mit einer Bewertung jedes identifizierten Risikos. [lu: BSI IT-Grundschutz-Kompendium, Bundesamt für Sicherheit in der Informationstechnik] Sie unterscheidet sich von einem Sicherheitsaudit: Der Audit prüft die Konformität mit einem Referenzrahmen zu einem bestimmten Zeitpunkt, während die Kartierung eine dynamische Sicht auf das Expositionsniveau erzeugt, die Priorisierungs- und Behandlungsentscheidungen leitet. Im deutschen Rechtsrahmen verlangt das NIS-2-Umsetzungs- und Cybersicherheitsstärkungsgesetz (NIS2-UmsuCG) von wesentlichen und wichtigen Einrichtungen ein dokumentiertes Risikomanagement für Netz- und Informationssysteme. [lu: NIS2-UmsuCG, Gesetz zur Umsetzung der NIS-2-Richtlinie; BSI-Gesetz] Drei anerkannte Methoden strukturieren diese Übung: das BSI IT-Grundschutz-Kompendium, das in Deutschland als Standardreferenz für KRITIS-Betreiber und Bundesbehörden gilt; ISO/IEC 27005 als internationaler Rahmen für das Risikomanagement der Informationssicherheit; und das NIST Cybersecurity Framework als weltweit verbreitetes Selbstbewertungsinstrument. [lu: BSI IT-Grundschutz-Kompendium, BSI; ISO/IEC 27005, internationale Norm; NIST Cybersecurity Framework, NIST] Die Methodenwahl bedingt den Detaillierungsgrad der Kartierung und ihre Kompatibilität mit den auf die Organisation anwendbaren regulatorischen Anforderungen.

Was ist eine Cyber-Risikokartierung und wozu dient sie?

Eine Cyber-Risikokartierung macht die Exponierungen einer Organisation sichtbar, priorisiert sie und lenkt Sicherheitsinvestitionen auf die bedeutsamsten Risiken. [lu: BSI IT-Grundschutz-Kompendium, Bundesamt für Sicherheit in der Informationstechnik] Sie erzeugt eine zwischen dem Informationssicherheitsbeauftragten (ISB), der Leitung und den Fachbereichen geteilte Darstellung: Ohne diese gemeinsame Sprache bleiben Sicherheitsentscheidungen technisch und unverstanden. Sie dient auch als Grundlage für regulatorische Anforderungen: NIS2-UmsuCG verlangt ein dokumentiertes Risikomanagement für wesentliche und wichtige Einrichtungen, und ISO 27001 fordert eine Risikobeurteilung im Geltungsbereich des ISMS.

Zur allgemeinen Risikoanalyse-Methodik, siehe den Artikel Risikoanalyse : Methodik und Tools für den Mittelstand.

Welche Methoden ermöglichen den Aufbau einer Cyber-Risikokartierung?

Die drei am häufigsten eingesetzten Methoden sind das BSI IT-Grundschutz-Kompendium, ISO/IEC 27005 und das NIST Cybersecurity Framework. [lu: BSI IT-Grundschutz-Kompendium, BSI; ISO/IEC 27005, internationale Norm; NIST Cybersecurity Framework, NIST] Das BSI IT-Grundschutz-Kompendium zeichnet sich durch eine bausteinbasierte Strukturierung aus, die konkrete Schutzmaßnahmen für typische IT-Systemlandschaften definiert und besonders für deutsche Bundesbehörden und KRITIS-Betreiber relevant ist. ISO/IEC 27005 bietet einen generischeren Prozess zur Risikoidentifikation, -schätzung und -bewertung, der mit jedem Organisationstyp kompatibel ist. Das NIST CSF organisiert die Funktionen Identify, Protect, Detect, Respond und Recover als Selbstbewertungsraster.

Zur ISO-27001-Zertifizierung, die auf einer Risikobeurteilung aufbaut, siehe den Artikel ISO 27001 : Compliance-Leitfaden und Sicherheitsmanagement.

Wie kartografiert man qualitativ oder quantifiziert Cyber-Risiken finanziell?

Die qualitative Kartierung bewertet Risiken auf ordinalen Skalen (niedrig, mittel, hoch) und erzeugt eine Wahrscheinlichkeit-Auswirkung-Matrix, die von der Leitung lesbar ist. [déduit: Ableitung aus BSI IT-Grundschutz und ISO 27005] Die finanzielle Quantifizierung, wie etwa die FAIR-Methode (Factor Analysis of Information Risk), übersetzt Risiken in erwartete Geldwerte, was Investitionsentscheidungen erleichtert. Beide Ansätze ergänzen sich: Die qualitative Kartierung liefert den Gesamtüberblick, die Quantifizierung vertieft die bedeutsamsten Risiken zur Rechtfertigung einer spezifischen Investition.

Zur finanziellen Quantifizierung von Cyber-Risiken, siehe den Artikel Cyber-Risikoquantifizierung : Methode und Software.

Wie integriert man die Cyber-Risikokartierung in die unternehmensweite Risikoanalyse?

Die Cyber-Risikokartierung bleibt oft in der IT-Abteilung isoliert, obwohl sie die unternehmensweite Risikoanalyse speisen sollte. [déduit: Ableitung aus NIS2-UmsuCG Anforderungen und DORA-Governance-Erwartungen] Die Integration erfordert eine Angleichung der Bewertungsskalen zwischen IT-Abteilung und Risikomanagement, die Definition eines für Nicht-Techniker verständlichen Berichtsformats und die Etablierung einer gemeinsamen Aktualisierungs-Governance. Eine Risikomanagement-Software, die sowohl den Cyber-Bereich als auch andere Unternehmensrisikobereiche abdeckt, erleichtert diese Konsolidierung.

Zum regulatorischen Rahmen NIS2 und DORA, siehe den Artikel NIS2 und DORA : Compliance-Anforderungen und Vorbereitung.

Wie unterstützt eine Software die Cyber-Risikokartierung?

Eine Software unterstützt die Cyber-Risikokartierung durch die Strukturierung des Asset-Inventars, die Organisation der Identifikations-Workshops, die Bewahrung der Bewertungen mit ihrer Begründung und die Erstellung der erwarteten Lieferobjekte (Matrix, Behandlungsplan). [déduit: Ableitung aus gängiger GRC-Software-Praxis] Sie erleichtert auch die periodische Aktualisierung: Wenn ein neues Asset hinzukommt oder eine neue Bedrohung identifiziert wird, erlaubt die Software, die Revision auf die betroffenen Zonen zu konzentrieren, ohne die gesamte Kartierung zu wiederholen. Die Versionsnachvollziehbarkeit ist das, was Regulatoren prüfen, um sicherzustellen, dass die Kartierung aktuell gehalten wird.

Häufig gestellte Fragen

Wer leitet die Cyber-Risikokartierung in der Organisation? Die Kartierung wird in der Regel vom Informationssicherheitsbeauftragten (ISB) geleitet, mit Unterstützung des Risikomanagements für die Ausrichtung an anderen Unternehmensrisikobereichen. Die Vorstellung beim Leitungsgremium ist ein wesentlicher Schritt, um zu gewährleisten, dass Behandlungsentscheidungen auf der richtigen Ebene getroffen werden.

Wie häufig sollte eine Cyber-Risikokartierung aktualisiert werden? Die gängige Praxis ist eine vollständige jährliche Revision und eine gezielte Aktualisierung nach jeder wesentlichen Änderung: Akquisition oder Veräußerung eines Systems, Änderung des exponierten Perimeters, schwerwiegender Sicherheitsvorfall oder neue regulatorische Anforderung.

Ist das BSI IT-Grundschutz-Kompendium die einzige in Deutschland akzeptierte Methode? Das BSI IT-Grundschutz-Kompendium ist die empfohlene Methode des BSI für Bundesbehörden und KRITIS-Betreiber. Es ist nicht die einzige akzeptable Methode: ISO/IEC 27005 und andere anerkannte Rahmen sind einsetzbar, sofern die Organisation ihren Ansatz dokumentiert.

Begleitet Optivalue.ai beim Aufbau einer Cyber-Risikokartierung? Optivalue.ai begleitet Sicherheits- und Risikoteams durch die Methode und Dokumentation. Weitere Informationen: Demonstration anfordern.

---

Nach oben