BSI/200-3/Risikoeinstufung: Unterschied zwischen den Versionen

Aus Foxwiki
Keine Bearbeitungszusammenfassung
Keine Bearbeitungszusammenfassung
 
(39 dazwischenliegende Versionen desselben Benutzers werden nicht angezeigt)
Zeile 1: Zeile 1:
== Risikoeinstufung ==
=== Häufigkeit und Auswirkungen ===
=== Risikoeinschätzung ===
; Häufigkeit und Auswirkungen einschätzen
Nachdem alle relevanten Gefährdungen identifiziert worden sind (siehe Kapitel 4), wird im nächsten Schritt das Risiko ermittelt, das von einer Gefährdung ausgeht.
<!-- [[Image:Abb_7_06_Schritt_2.png?__blob=normal&v=1Bild10.png|top|alt="Schritte bei der Risikoanalyse: Risiken einstufen (Bild hat eine Langbeschreibung)"]]-->
* Wie hoch dieses Risiko ist, hängt sowohl von der Eintrittshäufigkeit (Eintrittseinschätzung) der Gefährdung als auch von der Höhe des Schadens ab, der dabei droht.
* Bei der Risikoeinschätzung müssen daher beide Einflussgrößen berücksichtigt werden.


Um Risiken mit angemessenem Aufwand einzuschätzen, gibt es kein einfaches allgemeingültiges Konzept.
Die Höhe eines Risikos ergibt sich aus der '''Häufigkeit''' einer Gefährdung und der drohenden '''Schadenshöhe'''
* Der Risikoanteil Schadenshöhe kann nur von der Institution selbst eingeschätzt werden.
* Ein Risiko ist umso größer, je häufiger eine Gefährdung ist, umgekehrt sinkt es, je geringer der mögliche Schaden ist


Hierbei geht es darum, wie sich der Eintritt einer Gefährdung auswirken kann, d. h. welche Schäden finanzieller und anderer Art, welche direkten Schäden und welche Folgeschäden entstehen können.
Grundsätzlich können beide Größen sowohl '''quantitativ''', also mit genauen Zahlenwerten, als auch '''qualitativ''', also mit Hilfe von Kategorien zur Beschreibung der Größenordnung, bestimmt werden
Darin geht auch ein, ob und mit welchem Aufwand sowie in welcher Zeit der Schaden zu beheben ist.
* Erfahrungsgemäß sind jedoch hinreichend verlässliche quantitative Angaben, insbesondere zur Häufigkeit von Schadensereignissen im Bereich der Informationssicherheit, so gut wie nicht vorhanden und auch dort, wo es verlässliche Statistiken gibt, sind daraus abgeleitete exakte Prognosen auf zukünftige Ereignisse problematisch, wenn nicht gar unmöglich
* Daher empfiehlt sich ähnlich wie bei der Schutzbedarfsfeststellung ein '''qualitativer Ansatz mit einer begrenzten Anzahl an Kategorien'''


Die Eintrittshäufigkeit muss durch geeignetes Fachpersonal eingeschätzt werden und kann durch Statistiken und eigene Erfahrungen unterstützt werden.
Die '''Anzahl der Kategorien''', mit denen Sie Eintrittshäufigkeit und Schadenshöhe beschreiben, und deren Definition sollten auf die konkreten Gegebenheiten Ihrer Institution angepasst sein
* Bei Statistiken muss allerdings beachtet werden, unter welchen Randbedingungen sie entstanden sind, da auch Statistiken für einen speziellen Anwendungszweck erstellt worden sind und daher nicht ohne Weiteres auf die speziellen Belange der Institution übertragen werden können.
* Im Allgemeinen genügen maximal fünf Stufen zur Abgrenzung von Häufigkeiten und Auswirkungen
* Außerdem ist die Interpretation von statistischen Ergebnissen prinzipiell mit Unsicherheiten behaftet.
* Wenn bei Ihnen ein übergeordnetes Risikomanagement bereits eingeführt ist, empfiehlt es sich zudem, Informationssicherheitsrisiken in Übereinstimmung mit den dort verwendeten Systemen zur Bewertung und Klassifikation von Risiken zu verwenden


Grundsätzlich können Risiken entweder qualitativ oder quantitativ betrachtet werden.
Nachfolgend als Beispiel ein Vorschlag aus dem [https://www.bsi.bund.de/SharedDocs/Downloads/DE/BSI/Grundschutz/BSI_Standards/standard_200_3.html -Standard 200-3] für ein mögliches vierstufiges Klassifikationsschema zur Bewertung von Eintrittshäufigkeiten
* Die quantitative Risikobetrachtung ist sehr aufwändig und setzt umfangreiches statistisches Datenmaterial voraus.


Solche umfangreichen Erfahrungswerte fehlen in den meisten Fällen im sehr dynamischen Umfeld der Informationssicherheit.
; Klassifikation von Häufigkeiten
* Daher ist es in den meisten Fällen praktikabler, sowohl für die Eintrittshäufigkeit als auch für die potenzielle Schadenshöhe mit qualitativen Kategorien zu arbeiten.
{| class="wikitable big options"
* Pro Dimension sollten dabei nicht mehr als fünf Kategorien gewählt werden.
|-
!| Eintrittshäufigkeit
!| Beschreibung
|-
|| selten
|| Das Ereignis könnte nach heutigem Kenntnisstand höchstens alle fünf Jahre auftreten
|-
|| mittel
|| Das Ereignis tritt einmal alle fünf Jahre bis einmal im Jahr ein
|-
|| häufig
|| Das Ereignis tritt einmal im Jahr bis einmal pro Monat ein
|-
|| Sehr häufig
|| Das Ereignis tritt mehrmals im Monat ein
|-
|}
Auch für die Klassifikation möglicher Schadensauswirkungen enthält der -Standard als Beispiel ein vierstufiges Klassifikationsschema


Um Risiken einzuschätzen, nutzt der IT-Grundschutz die im Folgenden beschriebenen Kategorien.
; Klassifikation von Schadensauswirkungen
* Jede Institution kann sowohl die Anzahl der Stufen als auch die Kriterien individuell festlegen.
{| class="wikitable big options"
* Sie sollte die Einteilungen nutzen, die zu ihrem Managementsystem am besten passt.
|-
!| Schadenshöhe
!| Schadensauswirkungen
|-
|| vernachlässigbar
|| Die Schadensauswirkungen sind gering und können vernachlässigt werden
|-
|| begrenzt
|| Die Schadensauswirkungen sind begrenzt und überschaubar
|-
|| beträchtlich
|| Die Schadensauswirkungen können beträchtlich sein
|-
|| existenzbedrohend
|| Die Schadensauswirkungen können ein existenziell bedrohliches, katastrophales Ausmaß annehmen
|-
|}


Eintrittshäufigkeit: selten, mittel, häufig, sehr häufig
Berücksichtigen Sie bei der Definition der Kategorien zur Bewertung der Auswirkungen einer Gefährdung auch die bei Ihnen vorgenommene Definition der Schutzbedarfskategorien
* Beide Systeme sollten in einer Institution zueinander passend definiert werden


Potenzielle Schadenshöhe: vernachlässigbar, begrenzt, beträchtlich, existenzbedrohend
=== Risikobewertung und Risikobehandlung ===
Nachdem Sie die Eintrittshäufigkeiten und Schadensauswirkungen einer Gefährdung eingeschätzt haben, können Sie das aus beiden Faktoren resultierende Risiko bewerten
* Es ist auch hierfür zweckmäßig, eine nicht zu große Anzahl an '''Kategorien''' zu verwenden, drei bis fünf sind üblich, oft werden auch nur zwei Kategorien verwendet
* Der [https://www.bsi.bund.de/SharedDocs/Downloads/DE/BSI/Grundschutz/BSI_Standards/standard_200_3.html -Standard 200-3] enthält ein Beispiel mit vier Stufen, das Sie an die Gegebenheiten und Erfordernisse Ihrer Institution anpassen können


;Hinweis
==== Risikoklassifikation ====
Jede Institution sollte insbesondere die Beschreibungen der Kategorien mit den Fachabteilungen abstimmen, damit deren Bedeutung für alle Mitarbeiter einfach nachvollziehbar ist.
{| class="wikitable big options"
* Wenn ein konkretes Risiko von zwei unterschiedlichen Mitarbeitern einer Institution eingeschätzt wird, sollte dasselbe Ergebnis dabei herauskommen.
|-
!| Risikokategorie
!| Definition
|-
|| gering
|| Die bereits umgesetzten oder zumindest im Sicherheitskonzept vorgesehenen Maßnahmen bieten einen ausreichenden Schutz
|-
|| mittel
|| Die bereits umgesetzten oder zumindest im Sicherheitskonzept vorgesehenen Maßnahmen reichen möglicherweise nicht aus
|-
|| hoch
|| Die bereits umgesetzten oder zumindest im Sicherheitskonzept vorgesehenen Sicherheitsmaßnahmen bieten keinen ausreichenden Schutz vor der jeweiligen Gefährdung. Das Risiko kann mit einer großen Wahrscheinlichkeit nicht akzeptiert werden
|-
|| sehr hoch
|| Die bereits umgesetzten oder zumindest im Sicherheitskonzept vorgesehenen Sicherheitsmaßnahmen bieten keinen ausreichenden Schutz vor der jeweiligen Gefährdung. Das Risiko kann mit einer sehr großen Wahrscheinlichkeit nicht akzeptiert werden
|-
|}


Eintrittshäufigkeit / Beschreibung
==== Risikomatrix ====
* selten Ereignis könnte nach heutigem Kenntnisstand höchstens alle fünf Jahre eintreten.
[[Datei:100002010000059B0000033FF5BADCEEEC26EA53.png|mini|450px]]
* mittel Ereignis tritt einmal alle fünf Jahre bis einmal im Jahr ein.
Zur Darstellung von Eintrittshäufigkeiten, Schadensauswirkungen und Risiken ist eine '''Risikomatrix''' ein gebräuchliches und sehr anschauliches Instrument
* Auch hierzu enthält der BSI-Standard 200-3 einen Vorschlag, den Sie an die Festlegungen Ihrer Institution zur Risikobewertung anpassen können


Eintrittshäufigkeit / Beschreibung häufig Ereignis tritt einmal im Jahr bis einmal pro Monat ein.
Die Risikobewertung nehmen Sie vor, um begründete Entscheidungen zum Umgang mit möglichen Gefährdungen treffen zu können
sehr häufig Ereignis tritt mehrmals im Monat ein.
* Eine solche Entscheidung kann sein, durch zusätzliche Maßnahmen die Eintrittshäufigkeit und/oder die Auswirkungen einer Gefährdung zu verringern
* Mithilfe der Risikomatrix können Sie auch verdeutlichen, wie sich die Umsetzung solcher Maßnahmen auf ein Risiko auswirken würde


Tabelle 8: Kategorisierung von Eintrittshäufigkeiten
; Beispiel
* Risikomanagementsystem
* Erstellung der Gefährdungsübersicht


Schadenshöhe/Schadensauswirkungen vernachlässigbar Die Schadensauswirkungen sind gering und können vernachlässigt werden.
==== Ermittlung zusätzlicher Gefährdungen ====
begrenzt Die Schadensauswirkungen sind begrenzt und überschaubar.
; Quellen
beträchtlich Die Schadensauswirkungen können beträchtlich sein.
* BSI-Gefährdungskataloge
existenzbedrohend Die Schadensauswirkungen können ein existenziell bedrohliches, katastrophales Ausmaß erreichen.
* Produktdokumentation
* Publikationen über Schwachstellen im Internet
* Auch Schwächen eingesetzter Komponenten und Protokolle
* Anfrage bei Herstellern
* Fachliteratur
* Bewertungskriterien (z.&nbsp;B.&nbsp;[[Common Criteria]])
* eigene Bedrohungsanalysen


Tabelle 9: Kategorisierung von Schadensauswirkungen
; Weitere Informationsquellen
* Security Mailing List Archive: seclists.org


Es gibt Institutionen, die mit stärkerdifferenzierten Kategorien arbeiten, um damit dem Bedarf in verschiedenen Abteilungen oder Geschäftsprozessen gerecht zu werden. In der Praxis werden aber häufig nur wenige Kategorien pro Dimension verwendet. Die Mehrheit der Anwender neigt sogar dazu, de facto mit nur zwei Kategorien pro Dimension zu arbeiten, beispielsweise „begrenzt“ und „beträchtlich“.
; 47. Elementargefährdung
'''G 0.47 Schädliche Seiteneffekte IT-gestützter Angriffe'''
* Von Tätern nicht beabsichtigt Auswirkungen
* nicht die unmittelbar angegriffenen Zielobjekte betreffen oder
* unbeteiligte Dritte schädigen


=== Risikobewertung ===
'''Beispiele'''
Anhand der zuvor definierten Kategorien für die potenzielle Schadenshöhe sowie der Klassifikation
* Für DDoS-Angriffe als Bots missbrauchte IT-Systeme
für Eintrittshäufigkeiten von Gefährdungen legt das BSI folgende Risikomatrix (siehe Abbildung 3)
* (IoT-) Geräte, die als ein Einfallstor in Netze missbraucht werden
fest. Sie dient lediglich dazu, die nachfolgenden Beispiele zu veranschaulichen, und sollte auf die
* Ransomware-Angriffe auf IT-Systeme Kritischer Infrastrukturen
eigenen Bedürfnisse angepasst werden
-002dradnatS-ISBAbbildung 3: Matrix zur Einstufung von Risiken
Risikokategorien
gering
Die bereits umgesetzten oder zumindest im Sicherheitskonzept vorgesehenen Sicher­
heitsmaßnahmen bieten einen ausreichenden Schutz. In der Praxis ist es üblich, geringe
Risiken zu akzeptieren und die Gefährdung dennoch zu beobachten.
mittel
Die bereits umgesetzten oder zumindest im Sicherheitskonzept vorgesehenen Sicher­
heitsmaßnahmen reichen möglicherweise nicht aus.
hoch
Die bereits umgesetzten oder zumindest im Sicherheitskonzept vorgesehenen Sicher­
heitsmaßnahmen bieten keinen ausreichenden Schutz vor der jeweiligen Gefährdung.
sehr hoch Die bereits umgesetzten oder zumindest im Sicherheitskonzept vorgesehenen Sicher­
heitsmaßnahmen bieten keinen ausreichenden Schutz vor der jeweiligen Gefährdung.
In der Praxis werden sehr hohe Risiken selten akzeptiert.
Tabelle 10: Definition von Risikokategorien
Nachdem Risiken identifiziert, eingeschätzt und bewertet worden sind, ist das weitere Vorgehen (Ri­
sikobehandlungsstrategie) von Institution zu Institution sehr unterschiedlich. Eine generelle Empfeh­
lung zur Auswahl einer bestimmten Behandlungsstrategie kann das BSI nicht geben, da viele indivi­
duelle Aspekte betrachtet werden müssen. Insbesondere hängt die Risikobehandlungsstrategie sehr
stark vom Risikoappetit der jeweiligen Institution ab (siehe Kapitel 9).
Hinweis:
Im Rahmen der Risikoeinstufung kommen oftmals erste Ideen zur Sprache, mit welchen Sicher­
heitsmaßnahmen den Gefährdungen begegnet werden kann. Diese Vorschläge sind ffr die nach­
folgenden Arbeitsschritte nftzlich und sollten deshalb notiert werden.
Die Risikoeinstufung liefert eine Übersicht über das Ausmaß der Risiken, die sich aus den Gefährdun­
gen für das jeweilige Zielobjekt ergeben. Dabei werden die geplanten oder bereits umgesetzten Si­
cherheitsmaßnahmen berücksichtigt. Die Behandlung dieser Risiken ist Gegenstand des nächsten
Abschnitts.
Beispiel (Auszug):
Bei der Beispielfirma RECPLAST GmbH wurde anhand der Gefährdungsfbersicht eine Risikoein­
stufung ffr
* den Virtualisierungsserver S1 (ffr die Gefährdungen G 0.15 Abhören und G 0.25 Ausfall von
Geräten oder Systemen) sowie
* das Datenbankmanagementsystem A1 (ffr die Gefährdungen G 0.28 Software-Schwachstel­
len oder -Fehler und Gefährdung G 0.32 Missbrauch von Berechtigungen)
durchgeffhrt. Das Ergebnis kann den nachfolgenden Tabellen entnommen werden.
5 Risikoeinstufung
Virtualisierungsserver S1
Vertraulichkeit: hoch
Integrität: hoch
Verfügbarkeit: hoch
Gefährdung:
Beeinträchtigte Grundwerte:
G 0.15 Abhören (hier Live-Migration)
Vertraulichkeit
Eintrittshäufigkeit ohne zusätzli­ Auswirkungen ohne zusätzliche Risiko ohne zusätzliche Maß­
che Maßnahmen: selten
Maßnahmen: beträchtlich
nahmen: mittel
Beschreibung:
Um den Virtualisierungsserver S1 warten zu können, werden alle virtuellen Maschinen (VMs), die
darauf ausgeführt werden, auf den Virtualisierungsserver S6 verschoben (Live-Migration). Dabei
werden aktuelle Speicherinhalte der VMs von S1 zu S6 übertragen. Aus Performancegründen ist
darauf verzichtet worden, die Informationen zu verschlüsseln, sodass der Datenstrom grundsätzlich
mitgelesen werden kann. Auch der Datenstrom vom Virtualisierungsserver S1 zu den angeschlossen
zentralen Speichersystemen ist unverschlüsselt. Hierdurch können vertrauliche Informationen mit­
geschnitten werden.
Bewertung:
Um die virtuelle Infrastruktur sicher betreiben zu können, ist auf Netzebene auf eine geeignete Seg­
mentierung geachtet worden. Die einzelnen Netzsegmente (z. B. Managementnetz, Netz für die
Live-Migration oder Storage-Netz) sind voneinander getrennt und so konfiguriert worden, dass diese
von außen nicht zugänglich sind. Auf das Live-Migration-Netz dürfen nur befugte Administratoren
zugreifen. Die Administration der virtuellen Infrastruktur ist in die zentrale Rechteverwaltung des
Informationsverbunds eingebunden.
Da nur befugte Administratoren auf das Live-Migration-Netz zugreifen dürfen, können die Speicher­
inhalte der übertragenen VMs nur von ihnen mitgelesen werden. Den Administratoren wird jedoch
vertraut, sodass die Wahrscheinlichkeit für das Abhören als „selten“ eingeschätzt wird. Die Auswir­
kungen werden jedoch aufgrund der Vertraulichkeit der übertragenen Inhalte mit „beträchtlich“
eingeschätzt, wodurch sich ein mittleres Risiko ergibt.


'''Lösungsansätze'''
* Die Bewertung des Risikos erfolgt durch den populären Matrix-Ansatz anhand weniger Stufen
* Wenn das Risiko nicht akzeptabel ist, werden Maßnahmen zur Senkung, Vermeidung oder Übertragung des Risikos in Betracht gezogen
* Im Sinne einer Was-Wäre-Wenn-Analyse wird dann in der Risiko-Matrix "eingezeichnet", wie sich das Risiko bei Umsetzung der jeweiligen Maßnahme ändern würde
* Dadurch wird automatisch auch das Restrisiko dokumentiert
* Restrisiko muss der Leitung zur Zustimmung vorgelegt werden (Risikoakzeptanz)


Datenbank A1
=== Bewertungsverfahren ===
Vertraulichkeit: hoch
[[File:100000000000037600000201E1F99D38DD821954.jpg|mini|400px]]
Integrität: hoch
[[File:100002010000037600000201A9C0E910882432F9.png|mini|400px]]
Verfügbarkeit: hoch
Gefährdung:
Beeinträchtigte Grundwerte:
G 0.28 Software-Schwachstellen oder -Fehler Vertraulichkeit, Integrität, Verfügbarkeit
Eintrittshäufigkeit ohne zusätzli­ Auswirkungen ohne zusätzliche Risiko ohne zusätzliche Maß­
che Maßnahmen: häufig
Maßnahmen: beträchtlich
nahmen: hoch
Beschreibung:
Um Arbeitszeiten der Mitarbeiter zu erfassen, verwendet die RECPLAST GmbH eine Softwarelösung,
die als Webanwendung implementiert ist. Auf die Webanwendung haben alle Mitarbeiter Zugriff
und können ihre geleisteten Arbeitsstunden selbstständig eintragen. Die eingetragenen Arbeits­
stunden werden von den Abteilungsleitern geprüft und freigegeben. Zusätzlich werden den Mitar­
beitern über die Webanwendung am Monatsende die Gehaltsabrechnungen bereitgestellt. Für die
Datenhaltung nutzt die Anwendung eine Datenbank, die im Datenbankmanagementsystem
(DBMS) betrieben wird.
Die Webanwendung beinhaltet in der eingesetzten Version eine bekannte SQL-Injection-Schwach­
stelle, die mit vergleichsweise wenig Aufwand ausgenutzt werden kann. Für die Webanwendung
sind keine Updates mehr verfügbar, da der Hersteller der Softwarelösung Insolvenz anmelden muss­
te.
; Bewertung
Auf dem Datenbankmanagementsystem sind alle Berechtigungen so restriktiv wie möglich verge­
ben, um zu verhindern, dass die Sicherheitslücke einer Anwendung Auswirkungen auf die Daten­
banken weiterer Anwendungen hat. Die Auswirkungen der SQL-Injection-Schwachstelle der Web­
anwendung bleiben also auf die Daten der Webanwendung selbst beschränkt.
Da die SQL-Injection-Schwachstelle der Webanwendung öffentlich bekannt ist und relativ leicht
ausgenutzt werden kann, wird die Wahrscheinlichkeit mit „häufig“ eingeschätzt. Wird die Lücke
erfolgreich ausgenutzt, hat dies Auswirkungen auf die Vertraulichkeit und Integrität der eingegebe­
nen Arbeitsstunden, der Freigabe der Arbeitsstunden und der Gehaltsabrechnungen. Die Auswir­
kungen werden daher mit „beträchtlich“ angegeben. Hierdurch ergibt sich ein hohes Risiko.
30


5 Risikoeinstufung
=== Beispiel ===
; Hinweis
; Als Beispiel für die Risikobewertung werden zwei Gefährdungen für den Virtualisierungsserver S007 bei der RECPLAST betrachtet
Da oftmals sehr viele Zielobjekte und sehr viele Gefährdungen bearbeitet werden mfssen, ist der
* Die Risiken werden mit Hilfe der zuvor beschriebenen Kategorien für Häufigkeiten, Auswirkungen und resultierendem Risiko bewertet
Fließtext bei der Beschreibung und Bewertung einer Gefährdung optional und dient in den obigen
Beispielen nur dazu, das Ergebnis der Bewertung nachvollziehbar darzustellen. Bei den in der
Tabelle erwähnten Maßnahmen handelt es sich in der Regel um Maßnahmen, die aus den Basis-
und Standard-Anforderungen des IT-Grundschutz-Kompendiums abgeleitet worden sind. Die
nachfolgende Darstellung (Bewertung der Gefährdungen G 0.25 Ausfall von Geräten oder Sys­
temen, G 0.32 Missbrauch von Berechtigungen usw.) ist bei Risikobewertungen vollkommen
ausreichend.
Virtualisierungsserver S1
Vertraulichkeit: hoch
Integrität: hoch
Verfügbarkeit: hoch
Gefährdung:
G 0.25 Ausfall von Geräten oder Systemen
(hier Ausfall des zentralen Verwaltungsservers)
BeeinträchtigteVerfügbarkeit
Grundwerte:
Eintrittshäufigkeit ohne zusätz­ Auswirkungen ohne zusätzliche Risiko ohne zusätzliche Maßnah­
liche Maßnahmen: mittel
Maßnahmen: beträchtlich
men: mittel
Datenbank A1
Vertraulichkeit: hoch
Integrität: hoch
Verfügbarkeit: hoch
Gefährdung:
G 0.32 Missbrauch von Berechtigungen
Beeinträchtigte Grundwerte:
Vertraulichkeit, Integrität, Verfügbarkeit
Eintrittshäufigkeit ohne zusätz­ Auswirkungen ohne zusätzliche Risiko ohne zusätzliche Maßnah­
liche Maßnahmen: selten
Maßnahmen: existenzbedro­ men: mittel
hend
Bei dem fiktiven Unternehmen MUSTERENERGIE GmbH wurde für das Zielobjekt „Smart-Meter-Gateway-Administration Zx“ eine
Risikoeinstufung (für die Gefährdungen G 0.18 Fehlplanung oder fehlende Anpassungen und G 0.32 Missbrauch von Berechti­
gungen) durchgeführt. Das Ergebnis kann der nachfolgenden Tabelle entnommen werden.


==== Risikobewertung für die Gefährdung G 0.15 Abhören ====
; Das Risiko besteht, weil zu Wartungszwecken die auf dem Server S007 betriebenen virtuellen Maschinen von Zeit zu Zeit auf einen zweiten Virtualisierungsserver verschoben werden
* Bei dieser Live-Migration werden folglich die aktuelle Speicherinhalte der virtuellen Maschinen zwischen beiden Servern übertragen
* Da wegen der damit verbundenen Performance-Verluste darauf verzichtet wurde, die Daten zu verschlüsseln, können die übertragenen Informationen grundsätzlich mitgelesen werden
* Dies gilt auch für Datenübertragungen vom Virtualisierungsserver S007 zu den angeschlossenen zentralen Speichersystemen


Smart-Meter-Gateway-Administration Zx
; Bei der Bewertung werden die Eintrittshäufigkeit und die möglichen Auswirkungen betrachtet
Vertraulichkeit: hoch
* Die '''Eintrittshäufigkeit''' wird auch ohne zusätzliche Maßnahmen als '''selten''' bewertet
Integrität: hoch
* Diese Entscheidung wurde getroffen, weil durch eine geeignete Netzsegmentierung und Konfiguration dafür gesorgt wurde, dass die Datenübertragungen bei der Live-Migration wie auch zu den Speichersystemen in abgetrennten, von außen nicht zugänglichen Teilnetzen stattfinden, auf die nur die berechtigten und als vertrauenswürdig eingeschätzten Administratoren Zugriff haben
Verfügbarkeit: hoch
* Gleichwohl handelt es sich bei den übertragenen Daten um solche, bei denen Verletzungen der Vertraulichkeit beträchtliche negative Folgen haben könnten
Gefährdung:
* Die '''Auswirkungen''' bei Eintreten der '''Gefährdung''' werden daher als beträchtlich eingestuft
Beeinträchtigte Grundwerte:
G 0.18 Fehlplanung oder fehlende Anpas­ Verfügbarkeit, Vertraulichkeit, Integrität
sung
(hier: fehlende oder unzureichende Netz­
segmentierung)
Eintrittshäufigkeit ohne zusätzliche Maß­
nahmen: häufig
Gefährdung:
G 0.32 Missbrauch von Berechtigungen
Eintrittshäufigkeit ohne zusätzliche Maß­
nahmen: häufig
usw.
Auswirkungen ohne Risiko ohne zusätzliche Maßnah­zusätzliche Maß­
men: hoch
nahmen: beträcht­lich
Beeinträchtigte Grundwerte:
Verfügbarkeit, Vertraulichkeit, Integrität
Auswirkungen ohne Risiko ohne zusätzliche Maßnah­zusätzliche Maß­
men: hoch
nahmen: beträcht­lich


[[Kategorie:IT-Grundschutz/200-3]]
; Aus diesen Einschätzungen ergibt sich gemäß sich der festgelegten Kriterien für die Risikobewertung ein insgesamt '''mittleres Risiko'''
 
[[Image:Abb_7_08_Risikomatrix_gefuellt.png?__blob=normal&v=1Bild18.png|top|alt="Risikomatrix mit eingetragener Gefährdung. (Bild hat eine Langbeschreibung)"]]
 
==== Risikobewertung für die Gefährdung G 0.25 Ausfall von Geräten oder Systemen ====
; Der BSI-Standard 200-3 enthält in Kapitel 5.2 verschiedene Beispiele dafür, wie eine Risikobewertung tabellarisch dokumentiert werden kann
* Da oftmals eine Vielzahl an Gefährdungen zu berücksichtigen sind, kann auf ausführliche Erläuterungen zu den vorgenommenen Bewertungen verzichtet werden
* Die folgende Tabelle zeigt anhand der Gefährdung G 0.25 eine hinreichende Dokumentation der Risikobewertung
 
==== Risikobewertung ====
; Virtualisierungsserver S007
{|class="wikitable options"
| Vertraulichkeit || hoch
|-
| Integrität || hoch
|-
| Verfügbarkeit || hoch
|}
 
; Gefährdung G 0.25 ''Ausfall von Geräten oder Systemen''
{|class="wikitable options"
|-
| Beeinträchtigte Grundwerte || Verfügbarkeit
|-
| Eintrittshäufigkeit ohne zusätzliche Maßnahmen || mittel
|-
| Auswirkungen ohne zusätzliche Maßnahmen || beträchtlich
|-
| Risiko ohne zusätzliche Maßnahmen || '''mittel'''
|}
 
<noinclude>
 
== Anhang ==
=== Siehe auch ===
{{Special:PrefixIndex/{{BASEPAGENAME}}}}
==== Links ====
===== Weblinks =====
 
[[Kategorie:BSI/200-3]]
</noinclude>

Aktuelle Version vom 10. Oktober 2024, 09:28 Uhr

Häufigkeit und Auswirkungen

Häufigkeit und Auswirkungen einschätzen

Die Höhe eines Risikos ergibt sich aus der Häufigkeit einer Gefährdung und der drohenden Schadenshöhe

  • Ein Risiko ist umso größer, je häufiger eine Gefährdung ist, umgekehrt sinkt es, je geringer der mögliche Schaden ist

Grundsätzlich können beide Größen sowohl quantitativ, also mit genauen Zahlenwerten, als auch qualitativ, also mit Hilfe von Kategorien zur Beschreibung der Größenordnung, bestimmt werden

  • Erfahrungsgemäß sind jedoch hinreichend verlässliche quantitative Angaben, insbesondere zur Häufigkeit von Schadensereignissen im Bereich der Informationssicherheit, so gut wie nicht vorhanden und auch dort, wo es verlässliche Statistiken gibt, sind daraus abgeleitete exakte Prognosen auf zukünftige Ereignisse problematisch, wenn nicht gar unmöglich
  • Daher empfiehlt sich ähnlich wie bei der Schutzbedarfsfeststellung ein qualitativer Ansatz mit einer begrenzten Anzahl an Kategorien

Die Anzahl der Kategorien, mit denen Sie Eintrittshäufigkeit und Schadenshöhe beschreiben, und deren Definition sollten auf die konkreten Gegebenheiten Ihrer Institution angepasst sein

  • Im Allgemeinen genügen maximal fünf Stufen zur Abgrenzung von Häufigkeiten und Auswirkungen
  • Wenn bei Ihnen ein übergeordnetes Risikomanagement bereits eingeführt ist, empfiehlt es sich zudem, Informationssicherheitsrisiken in Übereinstimmung mit den dort verwendeten Systemen zur Bewertung und Klassifikation von Risiken zu verwenden

Nachfolgend als Beispiel ein Vorschlag aus dem -Standard 200-3 für ein mögliches vierstufiges Klassifikationsschema zur Bewertung von Eintrittshäufigkeiten

Klassifikation von Häufigkeiten
Eintrittshäufigkeit Beschreibung
selten Das Ereignis könnte nach heutigem Kenntnisstand höchstens alle fünf Jahre auftreten
mittel Das Ereignis tritt einmal alle fünf Jahre bis einmal im Jahr ein
häufig Das Ereignis tritt einmal im Jahr bis einmal pro Monat ein
Sehr häufig Das Ereignis tritt mehrmals im Monat ein

Auch für die Klassifikation möglicher Schadensauswirkungen enthält der -Standard als Beispiel ein vierstufiges Klassifikationsschema

Klassifikation von Schadensauswirkungen
Schadenshöhe Schadensauswirkungen
vernachlässigbar Die Schadensauswirkungen sind gering und können vernachlässigt werden
begrenzt Die Schadensauswirkungen sind begrenzt und überschaubar
beträchtlich Die Schadensauswirkungen können beträchtlich sein
existenzbedrohend Die Schadensauswirkungen können ein existenziell bedrohliches, katastrophales Ausmaß annehmen

Berücksichtigen Sie bei der Definition der Kategorien zur Bewertung der Auswirkungen einer Gefährdung auch die bei Ihnen vorgenommene Definition der Schutzbedarfskategorien

  • Beide Systeme sollten in einer Institution zueinander passend definiert werden

Risikobewertung und Risikobehandlung

Nachdem Sie die Eintrittshäufigkeiten und Schadensauswirkungen einer Gefährdung eingeschätzt haben, können Sie das aus beiden Faktoren resultierende Risiko bewerten

  • Es ist auch hierfür zweckmäßig, eine nicht zu große Anzahl an Kategorien zu verwenden, drei bis fünf sind üblich, oft werden auch nur zwei Kategorien verwendet
  • Der -Standard 200-3 enthält ein Beispiel mit vier Stufen, das Sie an die Gegebenheiten und Erfordernisse Ihrer Institution anpassen können

Risikoklassifikation

Risikokategorie Definition
gering Die bereits umgesetzten oder zumindest im Sicherheitskonzept vorgesehenen Maßnahmen bieten einen ausreichenden Schutz
mittel Die bereits umgesetzten oder zumindest im Sicherheitskonzept vorgesehenen Maßnahmen reichen möglicherweise nicht aus
hoch Die bereits umgesetzten oder zumindest im Sicherheitskonzept vorgesehenen Sicherheitsmaßnahmen bieten keinen ausreichenden Schutz vor der jeweiligen Gefährdung. Das Risiko kann mit einer großen Wahrscheinlichkeit nicht akzeptiert werden
sehr hoch Die bereits umgesetzten oder zumindest im Sicherheitskonzept vorgesehenen Sicherheitsmaßnahmen bieten keinen ausreichenden Schutz vor der jeweiligen Gefährdung. Das Risiko kann mit einer sehr großen Wahrscheinlichkeit nicht akzeptiert werden

Risikomatrix

Zur Darstellung von Eintrittshäufigkeiten, Schadensauswirkungen und Risiken ist eine Risikomatrix ein gebräuchliches und sehr anschauliches Instrument

  • Auch hierzu enthält der BSI-Standard 200-3 einen Vorschlag, den Sie an die Festlegungen Ihrer Institution zur Risikobewertung anpassen können

Die Risikobewertung nehmen Sie vor, um begründete Entscheidungen zum Umgang mit möglichen Gefährdungen treffen zu können

  • Eine solche Entscheidung kann sein, durch zusätzliche Maßnahmen die Eintrittshäufigkeit und/oder die Auswirkungen einer Gefährdung zu verringern
  • Mithilfe der Risikomatrix können Sie auch verdeutlichen, wie sich die Umsetzung solcher Maßnahmen auf ein Risiko auswirken würde
Beispiel
  • Risikomanagementsystem
  • Erstellung der Gefährdungsübersicht

Ermittlung zusätzlicher Gefährdungen

Quellen
  • BSI-Gefährdungskataloge
  • Produktdokumentation
  • Publikationen über Schwachstellen im Internet
  • Auch Schwächen eingesetzter Komponenten und Protokolle
  • Anfrage bei Herstellern
  • Fachliteratur
  • Bewertungskriterien (z. B. Common Criteria)
  • eigene Bedrohungsanalysen
Weitere Informationsquellen
  • Security Mailing List Archive: seclists.org
47. Elementargefährdung

G 0.47 Schädliche Seiteneffekte IT-gestützter Angriffe

  • Von Tätern nicht beabsichtigt Auswirkungen
  • nicht die unmittelbar angegriffenen Zielobjekte betreffen oder
  • unbeteiligte Dritte schädigen

Beispiele

  • Für DDoS-Angriffe als Bots missbrauchte IT-Systeme
  • (IoT-) Geräte, die als ein Einfallstor in Netze missbraucht werden
  • Ransomware-Angriffe auf IT-Systeme Kritischer Infrastrukturen

Lösungsansätze

  • Die Bewertung des Risikos erfolgt durch den populären Matrix-Ansatz anhand weniger Stufen
  • Wenn das Risiko nicht akzeptabel ist, werden Maßnahmen zur Senkung, Vermeidung oder Übertragung des Risikos in Betracht gezogen
  • Im Sinne einer Was-Wäre-Wenn-Analyse wird dann in der Risiko-Matrix "eingezeichnet", wie sich das Risiko bei Umsetzung der jeweiligen Maßnahme ändern würde
  • Dadurch wird automatisch auch das Restrisiko dokumentiert
  • Restrisiko muss der Leitung zur Zustimmung vorgelegt werden (Risikoakzeptanz)

Bewertungsverfahren

Beispiel

Als Beispiel für die Risikobewertung werden zwei Gefährdungen für den Virtualisierungsserver S007 bei der RECPLAST betrachtet
  • Die Risiken werden mit Hilfe der zuvor beschriebenen Kategorien für Häufigkeiten, Auswirkungen und resultierendem Risiko bewertet

Risikobewertung für die Gefährdung G 0.15 Abhören

Das Risiko besteht, weil zu Wartungszwecken die auf dem Server S007 betriebenen virtuellen Maschinen von Zeit zu Zeit auf einen zweiten Virtualisierungsserver verschoben werden
  • Bei dieser Live-Migration werden folglich die aktuelle Speicherinhalte der virtuellen Maschinen zwischen beiden Servern übertragen
  • Da wegen der damit verbundenen Performance-Verluste darauf verzichtet wurde, die Daten zu verschlüsseln, können die übertragenen Informationen grundsätzlich mitgelesen werden
  • Dies gilt auch für Datenübertragungen vom Virtualisierungsserver S007 zu den angeschlossenen zentralen Speichersystemen
Bei der Bewertung werden die Eintrittshäufigkeit und die möglichen Auswirkungen betrachtet
  • Die Eintrittshäufigkeit wird auch ohne zusätzliche Maßnahmen als selten bewertet
  • Diese Entscheidung wurde getroffen, weil durch eine geeignete Netzsegmentierung und Konfiguration dafür gesorgt wurde, dass die Datenübertragungen bei der Live-Migration wie auch zu den Speichersystemen in abgetrennten, von außen nicht zugänglichen Teilnetzen stattfinden, auf die nur die berechtigten und als vertrauenswürdig eingeschätzten Administratoren Zugriff haben
  • Gleichwohl handelt es sich bei den übertragenen Daten um solche, bei denen Verletzungen der Vertraulichkeit beträchtliche negative Folgen haben könnten
  • Die Auswirkungen bei Eintreten der Gefährdung werden daher als beträchtlich eingestuft
Aus diesen Einschätzungen ergibt sich gemäß sich der festgelegten Kriterien für die Risikobewertung ein insgesamt mittleres Risiko

"Risikomatrix mit eingetragener Gefährdung. (Bild hat eine Langbeschreibung)"

Risikobewertung für die Gefährdung G 0.25 Ausfall von Geräten oder Systemen

Der BSI-Standard 200-3 enthält in Kapitel 5.2 verschiedene Beispiele dafür, wie eine Risikobewertung tabellarisch dokumentiert werden kann
  • Da oftmals eine Vielzahl an Gefährdungen zu berücksichtigen sind, kann auf ausführliche Erläuterungen zu den vorgenommenen Bewertungen verzichtet werden
  • Die folgende Tabelle zeigt anhand der Gefährdung G 0.25 eine hinreichende Dokumentation der Risikobewertung

Risikobewertung

Virtualisierungsserver S007
Vertraulichkeit hoch
Integrität hoch
Verfügbarkeit hoch
Gefährdung G 0.25 Ausfall von Geräten oder Systemen
Beeinträchtigte Grundwerte Verfügbarkeit
Eintrittshäufigkeit ohne zusätzliche Maßnahmen mittel
Auswirkungen ohne zusätzliche Maßnahmen beträchtlich
Risiko ohne zusätzliche Maßnahmen mittel


Anhang

Siehe auch

Links

Weblinks