Zum Inhalt springen

BSI/200-4/09 Risikoanalyse: Unterschied zwischen den Versionen

Aus Foxwiki
Versionsgeschichte interaktiv durchsuchen
← Zum vorherigen Versionsunterschied

Dirkwagner (Diskussion | Beiträge)

3 Benutzergruppen
150.038 Bearbeitungen
VisuellWikitext
Keine Bearbeitungszusammenfassung
 
(11 dazwischenliegende Versionen desselben Benutzers werden nicht angezeigt)
Zeile 1: Zeile 1:
<noinclude>
<noinclude>
----
----
{{Navigation|BSI/200-4/BSI/200-4/08 Soll-Ist-Vergleich|BSI/200-4/10 Business-Continuity-Strategie}}
{{Navigation|BSI/200-4/08 Soll-Ist-Vergleich|BSI/200-4/10 Business-Continuity-Strategie}}
----
----
'''BSI/200-4/09 Risikoanalyse''' - BCM-Risikoanalyse
</noinclude>
</noinclude>
'''BSI/200-4/09 Risikoanalyse''' - BCM-Risikoanalyse
== Beschreibung ==
== Beschreibung ==
; Prozessschritte
; Prozessschritte
BCM-Prozessschritte der BCM-Risikoanalyse
BCM-Prozessschritte der BCM-Risikoanalyse


[[File:img-198-374.png|600px]]
[[File:img-198-374.png|700px]]


== Risikoanalyse-Methode ==
== Risikoanalyse-Methode ==
Auswahl einer geeigneten Risikoanalyse-Methode ([[AS]])
; Auswahl einer geeigneten Risikoanalyse-Methode ([[AS]])


; Anforderungen an die BCM-Risikoanalyse
; Anforderungen an die BCM-Risikoanalyse
* Die Risikoanalyse sollte die Risikokriterien Eintrittshäufigkeit und Schadenshöhe berücksichtigen.
* [[Risikokriterien]] [[Eintrittshäufigkeit]] und [[Schadenshöhe]] berücksichtigen
* Die Risikoeinschätzung sollte alle vorhandenen risikoreduzierenden Maßnahmen berücksichtigen. (Netto-Risikoeinschätzung)
* [[Netto-Risikoeinschätzung]]: Alle vorhandenen risikoreduzierenden Maßnahmen berücksichtigen
* Der Detailgrad der betrachteten Ressourcen(cluster), der Gefährdungen und der resultierenden Risiken sollte so gewählt werden, dass geeignete [[BC-Strategie]]n und -Lösungen dafür identifiziert werden können.
 
* Die Institution muss die identifizierten Risiken auf den weiteren Handlungsbedarf hin bewerten.
; Detailgrad
* Die Institution muss sicherstellen, dass vor der Risikoakzeptanz alle anderen Risikobehandlungsoptionen angemessen geprüft wurden.
Detailgrad der betrachteten  
* Die Ergebnisse der BCM-Risikoanalyse, insbesondere bestehende Restrisiken, sollten durch die Institutionsleitung zur Kenntnis genommen werden.
* Ressourcen(cluster)
* Die bestehenden Restrisiken müssen durch die Institutionsleitung akzeptiert werden.
* Gefährdungen
* Risiken
sollte so gewählt werden, dass geeignete [[BC-Strategie]]n und -Lösungen dafür identifiziert werden können
 
; Handlungsbedarf
[[Identifizierte Risiken]] [[MÜSSEN]] auf weiteren [[Handlungsbedarf]] hin bewertet werden
 
; Risikoakzeptanz
Vor einer [[Risikoakzeptanz]] [[MÜSSEN]] alle anderen Risikobehandlungsoptionen angemessen geprüft werden
 
; Bericht
Ergebnisse der BCM-Risikoanalyse
* bestehende Restrisiken
[[SOLLTEN]] durch die Institutionsleitung zur Kenntnis genommen werden
 
; Abnahme
Die bestehenden Restrisiken müssen durch die Institutionsleitung akzeptiert werden.


== Vorarbeiten ==
== Vorarbeiten ==
Zeile 42: Zeile 57:
[[File:bcmTab30.png|600px]]
[[File:bcmTab30.png|600px]]


Die Relevanz der Gefährdungen kann über folgende Stufen beschrieben werden (siehe BSI-Standard 200-3, Kapitel 4.1 Elementare Gefährdungen):
; Relevanz
Stufen der Relevanz von Gefährdungen
* siehe BSI-Standard 200-3, Kapitel 4.1 Elementare Gefährdungen


{| class="wikitable options big"
{| class="wikitable options big"
! Relevanz !! Beschreibung
! Relevanz !! Beschreibung
|-
|-
|Direkt relevant || bedeutet hier, dass die jeweilige Gefährdung auf das betrachtete Zielobjekt einwirken kann und deshalb im Rahmen der Risikoanalyse behandelt werden muss.
| Direkt relevant || bedeutet hier, dass die jeweilige Gefährdung auf das betrachtete Zielobjekt einwirken kann und deshalb im Rahmen der Risikoanalyse behandelt werden muss
|-
|-
| Indirekt relevant || meint hier, dass die jeweilige Gefährdung zwar auf das betrachtete Zielobjekt einwirken kann, in ihrem Schadenspotenzial aber nicht über andere
| Indirekt relevant || meint hier, dass die jeweilige Gefährdung zwar auf das betrachtete Zielobjekt einwirken kann, in ihrem Schadenspotenzial aber nicht über andere (allgemeinere) Gefährdungen hinausgeht. In diesem Fall muss die jeweilige Gefährdung für dieses Zielobjekt nicht gesondert im Rahmen der Risikoanalyse behandelt werden
(allgemeinere) Gefährdungen hinausgeht. In diesem Fall muss die jeweilige Gefährdung für dieses Zielobjekt nicht gesondert im Rahmen der Risikoanalyse behandelt
werden
|-
|-
| Nicht relevant || heißt hier, dass die jeweilige Gefährdung nicht auf das betrachtete Zielobjekt einwirken kann und deshalb für dieses Zielobjekt im Rahmen der Risiko­
| Nicht relevant || heißt hier, dass die jeweilige Gefährdung nicht auf das betrachtete Zielobjekt einwirken kann und deshalb für dieses Zielobjekt im Rahmen der [[Risiko­analyse]] nicht behandelt werden muss
analyse nicht behandelt werden muss.
|}
|}


; Zuordnung der Gefährdungen zu den [[Ressourcenkategorie]]n (Beispiele)
; Beispiele
Zuordnung von Gefährdungen zu [[Ressourcenkategorie]]n
[[File:bcmTab31.png|600px]]
[[File:bcmTab31.png|600px]]


Zeile 84: Zeile 99:
== Risikobehandlung ==
== Risikobehandlung ==
; Risikobehandlung ([[AS]])
; Risikobehandlung ([[AS]])
Die Risikobehandlung im BCMS orientiert sich grundlegend an den vier Risikobehandlungsoptionen des BSI-Standard 200-3 (siehe BSI-Standard 200-3, Kapitel 6.1 Risikobehandlungsoptionen)
Risikobehandlung im BCMS orientiert sich an [[BSI-Standard 200-3]]
* Jedoch ist die Risikobehandlungsoption Transfer von Risiken im [[BCM]] nur bedingt geeignet
* vier Risikobehandlungsoptionen
* siehe Kapitel 6.1 Risikobehandlungsoptionen
 
; Transfer von Risiken
Jedoch ist die Risikobehandlungsoption Transfer von Risiken im [[BCM]] nur bedingt geeignet
* Zum einen können aus dieser Option keine Maßnahmen zur Sicherstellung eines kontinuierlichen Geschäftsbetriebs abgeleitet werden
* Zum einen können aus dieser Option keine Maßnahmen zur Sicherstellung eines kontinuierlichen Geschäftsbetriebs abgeleitet werden
* Zum anderen bleibt die Erfüllung von gesetzlichen oder vertraglichen Vorgaben von dieser Risikobehandlungsoption unberührt
* Zum anderen bleibt die Erfüllung von gesetzlichen oder vertraglichen Vorgaben von dieser Risikobehandlungsoption unberührt
* Aus denselben Gründen muss auch genau geprüft werden, ob eine Risikoakzeptanz möglich ist
 
* Insbesondere Institutionen, die eine Versorgungssicherheit zu garantieren haben, beispielsweise&nbsp;im KRITIS-Umfeld, legen daher den Fokus darauf, Risiken, die die kritischen Dienstleistungen betreffen, zu vermeiden oder zu reduzieren, sofern Sicherheitsvorkehrungen nach Stand der Technik möglich und angemessen sind.
; Risikoakzeptanz
Aus denselben Gründen muss auch genau geprüft werden, ob eine Risikoakzeptanz möglich ist
 
; KRITIS
Institutionen, die eine Versorgungssicherheit garantieren
* beispielsweise im [[KRITIS]]-Umfeld
* legen den Fokus darauf, Risiken, die die kritischen Dienstleistungen betreffen, zu [[vermeiden]] oder zu [[reduzieren]]
* Sofern Sicherheitsvorkehrungen nach [[Stand der Technik]] [[möglich und angemessen]] sind.


<noinclude>
<noinclude>

Aktuelle Version vom 30. Juni 2026, 11:39 Uhr

← Zurück
Weiter →

BSI/200-4/09 Risikoanalyse - BCM-Risikoanalyse

Beschreibung

Prozessschritte

BCM-Prozessschritte der BCM-Risikoanalyse

Risikoanalyse-Methode

Auswahl einer geeigneten Risikoanalyse-Methode (AS)
Anforderungen an die BCM-Risikoanalyse
Detailgrad

Detailgrad der betrachteten

  • Ressourcen(cluster)
  • Gefährdungen
  • Risiken

sollte so gewählt werden, dass geeignete BC-Strategien und -Lösungen dafür identifiziert werden können

Handlungsbedarf

Identifizierte Risiken MÜSSEN auf weiteren Handlungsbedarf hin bewertet werden

Risikoakzeptanz

Vor einer Risikoakzeptanz MÜSSEN alle anderen Risikobehandlungsoptionen angemessen geprüft werden

Bericht

Ergebnisse der BCM-Risikoanalyse

  • bestehende Restrisiken

SOLLTEN durch die Institutionsleitung zur Kenntnis genommen werden

Abnahme

Die bestehenden Restrisiken müssen durch die Institutionsleitung akzeptiert werden.

Vorarbeiten

Vorarbeiten zur Risikoanalyse (AS)

Durch die BIA liegt bereits die Liste der zeitkritischen Ressourcen und damit der relevanten Zielobjekte für die BCM-Risikoanalyse vor

  • Die Vorbereitung zur Risikoanalyse gemäß BSI-Standard 200-3 beschränkt sich daher auf eine geeignete Gruppenbildung dieser relevanten Zielobjekte
  • In der BCM-Risikoanalyse kann auch auf die bereits definierten Ressourcen(cluster) gemäß BIA zurückgegriffen werden
  • Aufgrund ihrer hohen Bedeutung sollten zusätzlich die in der BIA identifizierten SPoFs als eigenständige Zielobjekte in der BCM-Risikoanalyse betrachtet werden.

Analog zur BIA und dem Soll-Ist-Vergleich bieten sich für die BCM-Risikoanalyse ebenfalls Workshops an, um die Informationen zielgerichtet zu erheben

  • Das Vorgehen, um

die Workshops vorzubereiten, kann analog zur Vorbereitung der BIA-Workshops erfolgen (siehe 7.1.4 Planung der BIA-Erhebung (R+AS))

  • Auch der Einsatz von vorgegeben

Hilfsmitteln bietet sich in der BCM-Risikoanalyse an

  • Insbesondere kann es hilfreich sein, eine Workshop-Präsentation vorzubereiten, in der auf die spezifischen Eigenschaften der BCM-Risikoanalyse eingegangen wird.

Gefährdungsübersicht

Erstellung einer Gefährdungsübersicht (AS)
Ausgewählte elementare Gefährdungen des BSI mit Bezug auf das Schutzziel Verfügbarkeit (Beispiel)

Relevanz

Stufen der Relevanz von Gefährdungen

  • siehe BSI-Standard 200-3, Kapitel 4.1 Elementare Gefährdungen
Relevanz Beschreibung
Direkt relevant bedeutet hier, dass die jeweilige Gefährdung auf das betrachtete Zielobjekt einwirken kann und deshalb im Rahmen der Risikoanalyse behandelt werden muss
Indirekt relevant meint hier, dass die jeweilige Gefährdung zwar auf das betrachtete Zielobjekt einwirken kann, in ihrem Schadenspotenzial aber nicht über andere (allgemeinere) Gefährdungen hinausgeht. In diesem Fall muss die jeweilige Gefährdung für dieses Zielobjekt nicht gesondert im Rahmen der Risikoanalyse behandelt werden
Nicht relevant heißt hier, dass die jeweilige Gefährdung nicht auf das betrachtete Zielobjekt einwirken kann und deshalb für dieses Zielobjekt im Rahmen der Risiko­analyse nicht behandelt werden muss
Beispiele

Zuordnung von Gefährdungen zu Ressourcenkategorien

Risikoeinschätzung

Risikoeinschätzung (AS)

Wie hoch das Risiko ist, wird im BSI-Standard 200-3 und in vielen weiteren Methoden von zwei Parametern bestimmt

Parameter Beschreibung
Eintrittshäufigkeit wie häufig sich eine Gefährdung auf eine zeitkritische Ressource schätzungsweise auswirkt.
Schadenshöhe die zu erwartende Höhe des Schadens, der bei Eintritt des Schadensereignisses entsteht.
Netto-Risikoeinschätzung

Berück­sichtigt alle vorhandenen risikoreduzierenden Maßnahmen

Risikobewertung

Risikoeinschätzung (AS)
Risikomatrix

Risikokategorien

Risikobehandlung

Risikobehandlung (AS)

Risikobehandlung im BCMS orientiert sich an BSI-Standard 200-3

  • vier Risikobehandlungsoptionen
  • siehe Kapitel 6.1 Risikobehandlungsoptionen
Transfer von Risiken

Jedoch ist die Risikobehandlungsoption Transfer von Risiken im BCM nur bedingt geeignet

  • Zum einen können aus dieser Option keine Maßnahmen zur Sicherstellung eines kontinuierlichen Geschäftsbetriebs abgeleitet werden
  • Zum anderen bleibt die Erfüllung von gesetzlichen oder vertraglichen Vorgaben von dieser Risikobehandlungsoption unberührt
Risikoakzeptanz

Aus denselben Gründen muss auch genau geprüft werden, ob eine Risikoakzeptanz möglich ist

KRITIS

Institutionen, die eine Versorgungssicherheit garantieren


← Zurück
Weiter →

Anhang

Siehe auch

Sicherheit

Dokumentation

Projekt

Abgerufen von „https://wiki.foxtom.de/index.php?title=BSI/200-4/09_Risikoanalyse&oldid=170151“