Management von Informationsrisiken: Risikobehandlung & Restrisikoakzeptanz

3. Juni 2022

In unserer Miniserie „Management von Informationsrisiken“ geben wir Ihnen einen komprimierten Überblick über eines der Herzstücke des Informationssicherheitsmanagements: das Risikomanagement. Warum dieses Thema? Nur wenn Organisationen ihre Risiken kennen und richtig bewerten, können sie angemessene Maßnahmen zum Schutz ergreifen. Wir wollen dabei helfen.

Die ersten beiden Teile haben Ihnen bereits einen Überblick über Methoden und Verfahren der Phasen zur Risikoidentifikation, sowie zur Risikoanalyse und -priorisierung gegeben. Dieser Teil betrachtet die Festlegung von Maßnahmen zur Risikobehandlung und das Prinzip der Übernahme von Restrisiken.

Grundsätzlich lässt sich die Risikobehandlung in 4 Handlungsfelder unterteilen, innerhalb derer ein Unternehmen agieren kann:

  • Risikovermeidung
    Das Unternehmen stellt die Aktivitäten, die durch das Risiko bedroht werden, ein.
  • Risikomitigation
    Das Unternehmen trifft Maßnahmen, um Risikoschaden oder -wahrscheinlichkeit zu reduzieren.
  • Risikotransfer
    Das Unternehmen versichert die Schäden, die durch das Risiko auftreten können.
  • Risikoakzeptanz
    Das Unternehmen akzeptiert die Konsequenzen, die durch das Risiko auftreten können.

Im Bereich der Risikomitigation kommen verschiedene Komponenten zum Tragen:

  • Kontrollziele
    Sie beschreiben Ziele, die zur Mitigation eines Risikos erreicht werden sollen.
  • Kontrollen
    Sie beschreiben (ggf. mehrere) Aktivitäten, die umgesetzt werden müssen, um Kontrollziele zu erreichen.
  • Maßnahmen
    Sie setzen Kontrollen um und werden dabei auf spezielle Situationen angepasst.

Praxisbeispiel zur Risikomitigation

Nachfolgendes Beispiel veranschaulicht den Ansatz Kontrollziel à Kontrollen à Maßnahmen:

Das Kontrollziel ist die Verhinderung des unautorisierten Zugriffs auf Systemen und Anwendungen. Dazu sinnvolle Kontrollen sind die Einschränkung der Verfügbarkeit von privilegierten Systemprogrammen und das sichere Vorgehen bei der Anmeldung. Beispielmaßnahmen zur Umsetzung auf Linux bzw. Windows Systemen wären bei Linux die Umsetzung via PAM* und bei im Windowsbereich die Umsetzung via GPO**

*Pluggable Authentication Modules (PAM) bieten eine Infrastruktur, die es Programmen ermöglicht, Benutzer über konfigurierbare Module zu authentifizieren.

**Group Policy Objects (GPO), Gruppenrichtlinienobjekte von Microsoft, sind eine Sammlung von Gruppenrichtlinieneinstellungen, die definieren, wie Desktops für eine definierte Benutzergruppe konfiguriert sind.

Was aber, wenn keine anderen Maßnahmen zur Risikobehandlung existieren?

Es kann Fälle geben, in denen die Aktivität, auf die das Risiko wirkt, für die unternehmerischen Zwecke zu wertvoll ist, als dass eine Risikovermeidung in Frage kommt. Wenn zudem nun auch Maßnahmen zum Transfer bzw. zur Mitigation von Risiken zu teuer sind oder in keinem Verhältnis zu den Vorteilen der Aktivität stehen, ist die Risikoakzeptanz die Option zur Risikobehandlung. Innerhalb der Unternehmensstrukturen sind häufig verschiedene Entscheidungsbefugnisse zur Übernahme von Risikoakzeptanz in Abhängigkeit zur Hierarchieebene vorhanden. Diese müssen eingehalten werden. Zudem sollte dieser Schritt unbedingt dokumentiert erfolgen. Sowohl die Gründe als auch die Entscheidung zur Risikoakzeptanz werden daher festgehalten.

Zitat Ester Widera Senior Consultant zu Aufbau & Pflege Ihres ISMS

“Risikomanagement ist in allen Unternehmen ein lebendiger Prozess und die Risikosituation eines Unternehmens nie konstant. Neue Geschäftsprozesse oder die Änderung von existierenden Geschäftsprozessen machen neue Assets für Ihr Unternehmen relevant. Neue Gefahren oder Schwachstellen können auftreten oder die existierenden sich verändern. Die Wirksamkeit von ergriffenen Maßnahmen kann über die Zeit zu- oder abnehmen. Eine fortlaufende Überwachung und Kontrolle von Risiken sind daher notwendig. Wir begleiten Sie dabei.“

Ester Widera
Senior Consultant

Security Consulting

Auch interessant:

Gemeinsam Gestalten - usd Circle 2022

Gemeinsam Gestalten - usd Circle 2022

Auch dieses Jahr sind wir sehr dankbar für das große Engagement unserer Kolleg*innen im Rahmen unserer Mission more security, aber auch darüber hinaus. Denn einige unserer Kolleg*innen engagieren sich für Projekte, die sich keinem konkreten Unternehmensprojekt...

mehr lesen

Kategorien

Kategorien