Die allgemeinen Richtlinien für das Risikomanagement, so wie sie hier verwendet werden, stammen von der Norm ISO/IEC 27005, welche zu Familie der ISO/IEC 27000 Normen gehört. Die Norm ISO/IEC 27001 regelt die Einrichtung eines Informationssicherheits-Managementsystems, welches unbedingt auch ein Risikomanagement beinhalten muss. Das Risikomanagement ist die in der ISO/IEC 27001 vorgestellten Vorgehensweise und dient als Grundlage für die Erstellung einer Sicherheitsleitlinie der Organisation.

Das angeführte Schema beschreibt den Risikomanagement-Prozess.

Um eine Risikoanalyse erstellen zu können, benötigt man zuallererst Basiskriterien (Risikoevaluierungskriterien, Auswirkungskriterien, Risikoakzeptanzkriterien, Verfügbarkeit der Werte, ...), die Maßnahmenziele sowie den Anwendungsbereich. Die Definition des Kontextes beschreibt unter anderem das Umfeld sowie das Ziel des Riskomangementprozesses.

Risikoevaluierungskriterien sind unter anderem:

• der strategische Wert der Prozesse

• die Kritikalität der Werte

• gesetzliche und vertragliche Anforderungen

• die Wichtigkeit von VVI (Vertraulichkeit, Verfügbarkeit, Integrität)

• die Erwartungen der Interessenvertreter und das Ansehen.

Für ein Grundbuchamt spielt zum Beispiel die Vertraulichkeit eine geringere Rolle als die Integrität. In verschiedenen Berufen gibt es Risiken, die unbedingt vermieden werden müssen, in anderen gibt es Werte, die unbedingt geschützt werden müssen. In der Evaluierungsphase werden diese Kontext-Werte definiert. Sie müssen während der gesamten Risikoanalyse berücksichtigt werden.

Es müssen auch Basiskriterien definiert werden:

• Kriterien für die Auswirkung:

  • wie kann man die Höhe eines Schadens sowie die damit verbundenen Kosten bewerten, wie den Imageschaden oder den Schaden, der durch eine Verurteilung entstehen kann, messen

  • qualitative oder quantitative Skala

• Risikoakzeptanzkriterien:

  • das akzeptable Niveau von Risiken festlegen (eventuell unterschiedlich für Vertraulichkeit, Integrität und Verfügbarkeit)

• Festlegung der Maßnahmenziele und des Anwendungsbereichs der Risikoanalyse

  • welche Werte müssen einbezogen werden

  • was ist der Anwendungsbereich der Riskoanalyse

  • wie behandelt man Risiken am Rande des Anwendungsbereichs

• Festlegung der Werte der Organisation

  • Geschäftsanwendungen

  • Mission

  • Werte

  • Struktur

  • Soziokulturelle Werte

  • Verpflichtungen

Anschließend muss definiert werden, wie die Risikoanalyse organisiert wird:

• Verwaltungsprozesse

• Akteure und Rollen

• Eskalationsmechanismen

• Beziehungen zwischen den Akteuren und Beteiligten

• Aufzeichnungen, die aufbewahrt werden müssen und der Dokumentation der Risikomanagementprozesse dienen

Die Identifikation der Risiken dient dazu, die Gründe von Auswirkungen zu erkennen und somit auch zu verstehen, wo und warum die Schäden entstehen können. Diese Phase bereitet die Risikobewertung vor. Sie begreift folgende Schritte:

• Identifikation der Werte:

  • primäre Werte wie Geschäftsprozesse und Informationen

  • Unterstützungswert

• Identifikation der Bedrohungen

• Identifikation der bestehenden Sicherheitsmaßnahmen

• Identifikation der Schwachstellen

• Identifikation der Auswirkungen (unter Berücksichtigung der Auswirkungskriterien; siehe auch Klassifizierung)

So ist es möglich, die Liste jener Werte zu erstellen, für die ein Risikomanagement erforderlich ist.

Die Risikobewertung enthält folgende Phasen:

1. Die Wahl der Methode

2. Bewertung der Auswirkungen

3. Bewertung der Auftrittswahrscheinlichkeit

4. Bewertung des Risikoniveaus

Auf Basis der verwendeten Methode (welche reproduzierbar sein muss), muss für jedes Risiko ein Wert, beziehungsweise ein qualitativer Wert berechnet werden, indem die Auswirkungen sowie deren Auftrittswahrscheinlichkeit geschätzt wird. (Man multipliziert zum Beispiel eine geschätzte Auswirkung (qualitative Skala) mit einer Auftrittswahrscheinlichkeit (qualitative Skala), um eine Risikobewertung zu erhalten).

In dieser Etappe wird das während der Risikoanalyse erworbene Wissen über die jeweiligen Risiken zusammen mit den gesetzlichen, amtlichen und vertraglichen Anforderungen verwendet.

Die Risikoeinschätzungen werden je nach Wichtigkeit sortiert, als Basis dienen die Entscheidungen aus der Risikokontextanalyse.

 

In dieser letzten Phase wird eine Maßnahme vorgeschlagen. Dafür muss man die Sicherheitsmaßnahmen folgendermaßen organisieren:

• die zu berücksichtigenden Maßnahmen;

• Wichtigkeit und Priorität.

Das gesamte System basiert auf dem Prinzip des "Return On Security Investment", d.h. die Einsparung, welche durch die verschiedenen Risikoreduktionsmaßnahmen erreicht wurde. Die Rechnung basiert auf der ALE ("Annualised Loss Expectancy"), welche im Vorfeld berechnet wurde sowie auf den Kosten für die Umsetzung einer Maßnahme.

Die Risikoanalyse endet mit der Auswahl der Risikobehandlungen, diese müssen noch bewertet und umgesetzt werden. Auf der anderen Seite hilft sie bei der Entwicklung eines Aktionsplans.

Es gibt vier Möglichkeiten bei der Risikobehandlung:

1. die "Risikoreduktion" versucht durch Auswahl von adäquaten Maßnahmen, das Risiko zu reduzieren (siehe: Sektorielle Analyse von Risiken - Risikobehandlung;

2. die "bewusste und objektive Akzeptanz des Risikos", bei welcher das Risiko ohne Einsatz von weiteren Maßnahmen akzeptiert wird;

3. die "Risikovermeidung", welche das Aufgeben der dem Risiko zugrunde liegenden Aktivität oder Bereich beschreibt;

4. der "Transfer der Risiken" auf einen Dritten, durch eine Versicherung zum Beispiel.

Das so erhaltene Restrisiko muss vom Management genehmigt werden.

Die Risikoakzeptanz entspricht der Zustimmung der während der Risikobehandlung getroffenen Entscheidungen durch das Management. Das Management akzeptiert also den Risikobehandlungsplan sowie das Restrisiko.

Es ist ein kontinuierlicher Prozess, der es erlaubt, Informationen über Risiken mit den Entscheidungsträgern und anderen Betroffenen auszutauschen und zu teilen. Die Kommunikation der Risiken halt als Ziel:

• Missverständnisse mit der Entscheidungsträgern reduzieren

• die Koordination sowie die Reaktionsfähigkeit auf Zwischenfälle verbessern

• Resultate der Risikobewertung kommunizieren und den Risikobehandlungsplan vorstellen

• neue Erkenntnisse im Bereich der Sicherheit erlangen

• Sicherheitssensibilisierung verbessern

Dieser Prozess besteht aus der Überwachung und der Überprüfung der Risiken:

• Wert und Kategorie der Werte (assets)

• Auswirkungen, Bedrohungen, Schwachstellen, Auftrittswahrscheinlichkeit

• externe Faktoren (rechtlichen Rahmen, Umwelt)

• Änderung der Risikoeinschätzung (Auswirkungskriterien, Einschätzung, Risikoakzeptanz)

• usw.