BSI/200-3/Risikobehandlung: Unterschied zwischen den Versionen
(48 dazwischenliegende Versionen desselben Benutzers werden nicht angezeigt) | |||
Zeile 1: | Zeile 1: | ||
=== | === Risikoakzeptanzkriterien === | ||
==== Risikoappetit ==== | |||
* Im Folgenden wird davon ausgegangen | Je nach Risikoappetit sind unterschiedliche Risikoakzeptanzkriterien möglich | ||
In der Praxis ergeben sich im Rahmen der Risikoeinstufung meist mehrere Gefährdungen, aus denen sich Risiken in den Stufen „mittel“, „hoch“ oder „sehr hoch“ ergeben | * Kapitel 5 | ||
Es muss entschieden werden, wie mit diesen verbleibenden Risiken umgegangen wird | |||
* Es müssen | Im Folgenden wird davon ausgegangen | ||
* „geringe“ Risiken grundsätzlich akzeptiert werden | |||
* „mittlere“, „hohe“ und „sehr hohe“ Risiken jedoch nur in Ausnahmefällen | |||
In der Praxis ergeben sich im Rahmen der Risikoeinstufung meist mehrere Gefährdungen, aus denen sich Risiken in den Stufen „mittel“, „hoch“ oder „sehr hoch“ ergeben | |||
* Es muss entschieden werden, wie mit diesen verbleibenden Risiken umgegangen wird | |||
* Es müssen geeignete Risikobehandlungsoptionen ausgewählt werden | |||
==== Risikobehandlung ==== | |||
{| class="wikitable options" | |||
|- | |||
! Option !! Beschreibung | |||
|- | |||
| [[#Vermeiden|Vermeiden]] || Risikoursache ausschließen | |||
|- | |||
| [[#Reduzieren|Reduzieren]] || Rahmenbedingungen, die zur Risikoeinstufung beigetragen haben, modifizien | |||
|- | |||
| [[#Transfer|Transfer]] || Risiken mit anderen Parteien teilen | |||
|- | |||
| [[#Akzeptanz|Akzeptanz]] || Weil die mit dem Risiko einhergehenden Chancen wahrgenommen werden sollen | |||
|} | |||
; Vermeidung - Reduktion - Transfer | |||
Im Folgenden werden die Risikobehandlungsoptionen der Vermeidung, Reduktion und des Transfers näher betrachtet. | Im Folgenden werden die Risikobehandlungsoptionen der Vermeidung, Reduktion und des Transfers näher betrachtet. | ||
* Darauf aufbauend, muss eine Institution Risikoakzeptanzkriterien festlegen und die | * Darauf aufbauend, muss eine Institution Risikoakzeptanzkriterien festlegen und die Risikobehandlung darauf abbilden. | ||
Risikobehandlung darauf abbilden. | |||
* Bei der Entscheidung, wie mit den identifizierten Risiken umgegangen wird, muss auf jeden Fall die Leitungsebene beteiligt werden, da sich aus der Entscheidung unter Umständen erhebliche Schäden ergeben oder zusätzliche Kosten entstehen können. | * Bei der Entscheidung, wie mit den identifizierten Risiken umgegangen wird, muss auf jeden Fall die Leitungsebene beteiligt werden, da sich aus der Entscheidung unter Umständen erhebliche Schäden ergeben oder zusätzliche Kosten entstehen können. | ||
Für jede Gefährdung in der vervollständigten Gefährdungsübersicht mit Risikokategorie „mittel“, „hoch“ oder „sehr hoch“ müssen folgende Fragen beantwortet werden: | Für jede Gefährdung in der vervollständigten Gefährdungsübersicht mit Risikokategorie „mittel“, „hoch“ oder „sehr hoch“ müssen folgende Fragen beantwortet werden: | ||
A: Risikovermeidung: Ist es sinnvoll, das Risiko durch eine Umstrukturierung des Geschäftsprozesses oder des Informationsverbunds zu vermeiden? | A: Risikovermeidung: Ist es sinnvoll, das Risiko durch eine Umstrukturierung des Geschäftsprozesses oder des Informationsverbunds zu vermeiden? | ||
Gründe für diesen Ansatz können | |||
; Gründe für diesen Ansatz können etwa sein | |||
* Alle wirksamen Gegenmaßnahmen sind mit hohem Aufwand verbunden und damit sehr teuer, die verbleibende Gefährdung kann aber trotzdem nicht hingenommen werden. | * Alle wirksamen Gegenmaßnahmen sind mit hohem Aufwand verbunden und damit sehr teuer, die verbleibende Gefährdung kann aber trotzdem nicht hingenommen werden. | ||
* Die Umstrukturierung bietet sich ohnehin aus anderen Gründen an, z. B. zur Kostensenkung. | * Die Umstrukturierung bietet sich ohnehin aus anderen Gründen an, z. B. zur Kostensenkung. | ||
Zeile 23: | Zeile 41: | ||
Komfort des Systems mit sich bringen. | Komfort des Systems mit sich bringen. | ||
B: Risikoreduktion (Risikomodifikation): Ist es sinnvoll und möglich, das Risiko durch weitere Sicherheitsmaßnahmen zu reduzieren? | B: Risikoreduktion (Risikomodifikation): Ist es sinnvoll und möglich, das Risiko durch weitere Sicherheitsmaßnahmen zu reduzieren? | ||
Das Risiko durch die verbleibende Gefährdung kann möglicherweise gesenkt werden, indem eine oder mehrere ergänzende Sicherheitsmaßnahmen erarbeitet und umgesetzt werden, die der Gefährdung entgegenwirken. | |||
; Das Risiko durch die verbleibende Gefährdung kann möglicherweise gesenkt werden, indem eine oder mehrere ergänzende Sicherheitsmaßnahmen erarbeitet und umgesetzt werden, die der Gefährdung entgegenwirken. | |||
* Als Informationsquellen über ergänzende Sicherheitsmaßnahmen kommen beispielsweise folgende infrage: | * Als Informationsquellen über ergänzende Sicherheitsmaßnahmen kommen beispielsweise folgende infrage: | ||
* die Dokumentation und der Service des Herstellers, wenn es sich bei dem betroffenen Zielobjekt um ein Produkt handelt, | * die Dokumentation und der Service des Herstellers, wenn es sich bei dem betroffenen Zielobjekt um ein Produkt handelt, | ||
Zeile 36: | Zeile 55: | ||
* Der Vertragspartner ist aus wirtschaftlichen oder technischen Gründen besser in der Lage, mit dem | * Der Vertragspartner ist aus wirtschaftlichen oder technischen Gründen besser in der Lage, mit dem | ||
Risiko umzugehen. | Risiko umzugehen. | ||
Wenn im Rahmen der Risikobehandlung zusätzliche Sicherheitsanforderungen identifiziert werden, muss die Risikoeinstufung (siehe nachfolgende Beispiele) für die betroffenen Zielobjekte | Wenn im Rahmen der Risikobehandlung zusätzliche Sicherheitsanforderungen identifiziert werden, muss die Risikoeinstufung (siehe nachfolgende Beispiele) für die betroffenen Zielobjekte entsprechend angepasst werden. | ||
* Zu beachten ist dabei, dass neue Anforderungen unter Umständen nicht nur Auswirkungen auf das jeweils analysierte Zielobjekt haben, sondern auch auf andere Zielobjekte. | * Zu beachten ist dabei, dass neue Anforderungen unter Umständen nicht nur Auswirkungen auf das jeweils analysierte Zielobjekt haben, sondern auch auf andere Zielobjekte. | ||
Die zusätzlichen Anforderungen und die daraus resultierenden Sicherheitsmaßnahmen werden im | Die zusätzlichen Anforderungen und die daraus resultierenden Sicherheitsmaßnahmen werden im Sicherheitskonzept dokumentiert. | ||
Sicherheitskonzept dokumentiert. | |||
Wenn im Rahmen der Risikobehandlung Änderungen an den Geschäftsprozessen oder am Informationsverbund vorgenommen wurden, etwa durch Risikovermeidung oder Risikotransfer, müssen diese insgesamt im Sicherheitskonzept berücksichtigt werden. | Wenn im Rahmen der Risikobehandlung Änderungen an den Geschäftsprozessen oder am Informationsverbund vorgenommen wurden, etwa durch Risikovermeidung oder Risikotransfer, müssen diese insgesamt im Sicherheitskonzept berücksichtigt werden. | ||
* Dies betrifft im Allgemeinen auch Arbeitsschritte, die in der IT-Grundschutz-Vorgehensweise gemäß BSI-Standard 200-2 dargestellt sind, beginnend bei der Strukturanalyse. | * Dies betrifft im Allgemeinen auch Arbeitsschritte, die in der IT-Grundschutz-Vorgehensweise gemäß BSI-Standard 200-2 dargestellt sind, beginnend bei der Strukturanalyse. | ||
Zeile 46: | Zeile 63: | ||
Beim Risikotransfer ist die sachgerechte Vertragsgestaltung einer der wichtigsten Aspekte. | Beim Risikotransfer ist die sachgerechte Vertragsgestaltung einer der wichtigsten Aspekte. | ||
* Besonders bei Outsourcing-Vorhaben sollte hierzu auf juristischen Sachverstand zurückgegriffen werden. | * Besonders bei Outsourcing-Vorhaben sollte hierzu auf juristischen Sachverstand zurückgegriffen werden. | ||
* Die | * Die Entscheidung wird von der Leitungsebene getroffen und nachvollziehbar dokumentiert. | ||
Entscheidung wird von der Leitungsebene getroffen und nachvollziehbar dokumentiert. | |||
D: Risikoakzeptanz: Können die Risiken auf Basis einer nachvollziehbaren Faktenlage akzeptiert werden? | D: Risikoakzeptanz: Können die Risiken auf Basis einer nachvollziehbaren Faktenlage akzeptiert werden? | ||
Die Schritte der Risikoeinstufung und Risikobehandlung werden so lange durchlaufen, bis die Risikoakzeptanzkriterien der Institution erreicht sind und das verbleibende Risiko („Restrisiko“) somit im | Die Schritte der Risikoeinstufung und Risikobehandlung werden so lange durchlaufen, bis die Risikoakzeptanzkriterien der Institution erreicht sind und das verbleibende Risiko („Restrisiko“) somit im | ||
Einklang mit den Zielen und Vorgaben der Institution steht. | Einklang mit den Zielen und Vorgaben der Institution steht. | ||
Das Restrisiko muss anschließend der Leitungsebene zur Zustimmung vorgelegt werden (Risikoakzeptanz). | Das Restrisiko muss anschließend der Leitungsebene zur Zustimmung vorgelegt werden (Risikoakzeptanz). | ||
* Damit wird nachvollziehbar dokumentiert, dass die Institution sich des Restrisikos bewusst | * Damit wird nachvollziehbar dokumentiert, dass die Institution sich des Restrisikos bewusst ist. | ||
* Idealerweise akzeptiert eine Institution nur Risiken der Stufe „gering“. | * Idealerweise akzeptiert eine Institution nur Risiken der Stufe „gering“. | ||
* In der Praxis ist dies aber nicht immer zweckmäßig. | * In der Praxis ist dies aber nicht immer zweckmäßig. | ||
Zeile 64: | Zeile 77: | ||
; Hinweis | ; Hinweis | ||
Auch diejenigen IT-Grundschutz-Anforderungen, die im IT-Grundschutz | Auch diejenigen IT-Grundschutz-Anforderungen, die im IT-Grundschutz/Kompendium als Anforderungen bei erhöhtem Schutzbedarf aufgeführt sind sowie die zugehörigen Maßnahmen, können als Anhaltspunkte ffr weiterführende Sicherheitsmaßnahmen im Rahmen einer Risikoanalyse herangezogen werden. | ||
* Dabei handelt es sich um Beispiele, die über das dem Stand der Technik entsprechende Schutzniveau hinausgehen und in der Praxis häufig angewandt werden. | * Dabei handelt es sich um Beispiele, die über das dem Stand der Technik entsprechende Schutzniveau hinausgehen und in der Praxis häufig angewandt werden. | ||
* Zu beachten ist jedoch, dass Anforderungen bei erhöhtem Schutzbedarf grundsätzlich empfehlenswert sind, aber auch bei hohen Sicherheitsanforderungen nicht automatisch verbindlich werden. | * Zu beachten ist jedoch, dass Anforderungen bei erhöhtem Schutzbedarf grundsätzlich empfehlenswert sind, aber auch bei hohen Sicherheitsanforderungen nicht automatisch verbindlich werden. | ||
* Somit müssen sie auch nicht zwingend in eine Risikoanalyse einbezogen werden. | * Somit müssen sie auch nicht zwingend in eine Risikoanalyse einbezogen werden. | ||
==== Risikobereitschaft ==== | |||
[[Risikobereitschaft]] | |||
=== Risikobehandlungsoptionen === | === Risikobehandlungsoptionen === | ||
<!-- | |||
: Image:Abb_7_09_Schritt3.png?__blob=normal&v=1Bild20.png|top|alt="Risikoanalyse - Risiken behandeln (Bild hat eine Langbeschreibung)" | : Image:Abb_7_09_Schritt3.png?__blob=normal&v=1Bild20.png|top|alt="Risikoanalyse - Risiken behandeln (Bild hat eine Langbeschreibung)" | ||
--> | |||
; In der Regel wird die Gefährdungsbewertung aufzeigen, dass nicht alle Gefährdungen durch das vorhandene Sicherheitskonzept ausreichend abgedeckt sind | ; In der Regel wird die Gefährdungsbewertung aufzeigen, dass nicht alle Gefährdungen durch das vorhandene Sicherheitskonzept ausreichend abgedeckt sind | ||
* In diesem Fall müssen Sie überlegen, wie angemessen mit den verbleibenden Gefährdungen umgegangen werden kann, und eine begründete Entscheidung hierzu treffen. | * In diesem Fall müssen Sie überlegen, wie angemessen mit den verbleibenden Gefährdungen umgegangen werden kann, und eine begründete Entscheidung hierzu treffen. | ||
<!-- | |||
: Image:Abb_7_09_RisikenBehandeln.png?__blob=normal&v=1Bild21.png|top|alt="Risikobehandlung (Bild hat eine Langbeschreibung)" | : Image:Abb_7_09_RisikenBehandeln.png?__blob=normal&v=1Bild21.png|top|alt="Risikobehandlung (Bild hat eine Langbeschreibung)" | ||
--> | |||
{| class="wikitable options" | |||
{| class="wikitable | |||
! Option !! Beschreibung || Erläuterung | ! Option !! Beschreibung || Erläuterung | ||
|- | |- | ||
Zeile 105: | Zeile 123: | ||
=== Risikoverfolgung === | === Risikoverfolgung === | ||
; Risiken unter Beobachtung | |||
Bei der Risikoanalyse können unter Umständen Gefährdungen identifiziert werden, aus denen Risiken resultieren, die zwar derzeit akzeptabel sind, in Zukunft jedoch voraussichtlich steigen werden. | |||
* Dies bedeutet, dass sich in der weiteren Entwicklung ein Handlungsbedarf ergeben könnte. | |||
* In solchen Fällen ist es sinnvoll und üblich, bereits im Vorfeld ergänzende Sicherheitsmaßnahmen zu erarbeiten und vor | |||
zubereiten, die in Betrieb genommen werden können, sobald die Risiken inakzeptabel werden. | |||
Diese ergänzenden Sicherheitsmaßnahmen sind zu dokumentieren und vorzumerken. | |||
* Die Risiken werden beobachtet und sobald sie nicht mehr akzeptabel sind, werden die vorgemerkten ergänzen | |||
den Sicherheitsmaßnahmen überprüft, gegebenenfalls aktualisiert und in das Sicherheitskonzept übernommen. | |||
* Die Risikoeinstufung wird gemäß Kapitel 5 entsprechend angepasst. | |||
* Nachdem die Risikobehandlung für die verbleibenden Risiken abgeschlossen ist und die Restrisiken von der Leitungsebene akzeptiert wurden, kann das Sicherheitskonzept für den betrachteten Informationsverbund fertiggestellt werden. | |||
Generell sollten jedoch alle Risiken beobachtet werden, also nicht nur solche, die in Zukunft voraussichtlich steigen werden. | |||
* Um die Beobachtung der Risiken und Anpassung der Maßnahmen bzw. | |||
Handlungsalternativen zu dokumentieren, ist es in der Praxis üblich, hierfür Risikoregister oder Risikoverzeichnisse anzulegen. | |||
Für benutzerdefinierte Bausteine müssen die Gefährdungen in regelmäßigen Zeitabständen überprüft und neu bewertet werden. | |||
* Da die Zielobjekte, die mit benutzerdefinierten Bausteinen abgedeckt werden, den normalen Anwendungsfall des IT-Grundschutz/Kompendiums überschreiten, müssen die hier beschriebenen Aktivitäten zur Beobachtung von Risiken in jedem Fall berücksichtigt werden. | |||
==== Beispiel ==== | |||
Für die in Kapitel 5 mit Risikokategorie „mittel“ oder „hoch“ identifizierten Gefährdungen wurden folgende Entscheidungen getroffen (Auszug) | |||
Virtualisierungsserver S1 | |||
Vertraulichkeit: hoch | |||
Integrität: hoch | |||
Verfügbarkeit: hoch | |||
Gefährdung | |||
Risikokategorie | |||
Risikobehandlungsoption | |||
G 0.15 Abhören | |||
(hier mittel Live-Migration) | |||
D: Risikoakzeptanz (Risikoübernahme ohne zusätzliche Maßnahmen) | |||
Auf das Live-Migration-Netz dürfen nur befugte Administratoren zugreifen. Diesen wird vertraut. Das bestehende Restrisiko wird von der RECPLAST als vertretbar eingeschätzt und übernommen. | |||
G 0.25 Ausfall von Geräten mittel | |||
B: Risikoreduktion | |||
oder Systemen | |||
Ergänzende Sicherheitsmaßnahme: | |||
mit ergänzender(hier Ausfall des zentralen Der zentrale Verwaltungsserver wird redundant | |||
Maßnahme: | |||
Verwaltungsservers) | |||
ausgelegt, damit sichergestellt ist, dass bei einem | |||
gering | |||
Ausfall die virtuelle Infrastruktur weiterhin problemlos betrieben wird. | |||
Das System wird so konfiguriert, dass bei Ausfall des Verwaltungsservers automatisch auf einen Ersatzrechner innerhalb des Clusters umgeschaltet wird. | |||
Datenbank A1 | |||
Vertraulichkeit: hoch | |||
Integrität: hoch | |||
Verfügbarkeit: hoch | |||
Gefährdung | |||
G 0.28 | |||
Software-Schwachstellen | |||
oder -Fehler | |||
Risikokategorie | |||
hoch | |||
mit ergänzen-der Maßnahme:gering | |||
Risikobehandlungsoption | |||
B: Risikoreduktion | |||
Ergänzende Sicherheitsmaßnahme: | |||
Die manuelle Erfassung und Freigabe der Arbeits | |||
stunden würde einen erheblichen Mehraufwand sei | |||
tens der Abteilungsleiter und der Personalabteilung | |||
darstellen, der aktuell nicht geleistet werden kann. | |||
Bis die Webanwendung durch eine neue Anwen | |||
dung abgelöst wird, setzt man eine Datenbank-Fire | |||
wall ein, um das bestehende Risiko zu reduzieren. | |||
Hierfür erstellen die Datenbankadministratoren ei | |||
nen geeigneten Satz an Regeln, die verhindern, dass | |||
an der Webanwendung eingeschleuste SQL-Anfra | |||
gen auf der Datenbank ausgeführt werden. | |||
* Der Per | |||
formance-verlust, der dadurch entsteht, dass eine | |||
Datenbank-Firewall eingesetzt werden muss, wird | |||
für die Webanwendung als tolerabel eingeschätzt. | |||
Datenbank A1 | |||
Vertraulichkeit: hoch | |||
Integrität: hoch | |||
Verfügbarkeit: hoch | |||
Gefährdung | |||
G 0.32 Missbrauch von | |||
Berechtigungen | |||
Risikokategorie | |||
Risikobehandlungsoption | |||
mittel | |||
B: Risikoreduktion | |||
Ergänzende Sicherheitsmaßnahme: | |||
mit ergänzenderUm das bestehende Risiko zu reduzieren, wird ein | |||
Maßnahme: | |||
zusätzliches Modul des Datenbankmanagement | |||
gering | |||
systems beschafft, mittels dessen administrative | |||
Zugriffe auf kritische Daten in Datenbanken verhindert werden. | |||
Zudem werden Aktionen von Administratorkennungen sicher protkolliert und aus gewertet, sodass versuchte Verstöße frühzeitig erkannt werden können. | |||
Smart-Meter-Gateway-Administration Zx | |||
Vertraulichkeit: hoch | |||
Integrität: hoch | |||
Verfügbarkeit: hoch | |||
Gefährdung | |||
Risikokategorie | |||
Risikobehandlungsoption | |||
G 0.18 Fehlplanung oder | |||
hoch | |||
B: Risikoreduktion | |||
fehlende Anpassung | |||
Ergänzende Sicherheitsmaßnahme: | |||
mit ergänzender(hier: fehlende oder unzu- Um das bestehende Risiko zu reduzieren, wird die | |||
Maßnahme: | |||
reichende Netzsegmentie Smart-Meter-Gateway-Infrastruktur geeignet seg | |||
gering | |||
rung) | |||
mentiert. | |||
* Hierbei werden IT-Systeme, auf denen | |||
die Benutzeroberfläche einer SMGW-Admin-Soft | |||
ware betrieben wird, in einem eigenen Teilnetz be | |||
trieben. | |||
* Dieses ist so konzipiert, dass es gegenüber | |||
anderen Teilnetzen nur die minimal notwendigen | |||
und zu begründenden Netzkoppelungen und | |||
Kommunikationsbeziehungen aufweist. | |||
Um Netzsegmente logisch voneinander zu tren | |||
nen, werden Firewalls eingesetzt. | |||
Smart-Meter-Gateway-Administration Zx | |||
Vertraulichkeit: hoch | |||
Integrität: hoch | |||
Verfügbarkeit: hoch | |||
G 0.32 Missbrauch von Be hoch | |||
rechtigungen | |||
mit ergänzenderMaßnahme: | |||
gering | |||
usw. | |||
B: Risikoreduktion | |||
Ergänzende Sicherheitsmaßnahme: | |||
Um das bestehende Risiko zu reduzieren, wird ein | |||
Rollen- und Rechtekonzept umgesetzt und doku | |||
mentiert, das den Grundsätzen einer Funktions | |||
trennung genügt und nur Berechtigten einen Zu | |||
griff erlaubt. | |||
* Im Konzept ist auch auf eine geeigne | |||
te Rollentrennung geachtet worden. | |||
* Zudem deckt | |||
das Konzept auch Zutritts-, Zugangs- und Zugriffs | |||
berechtigungen ab. | |||
38 | |||
=== Restrisiko === | === Restrisiko === | ||
; Restrisiko bleibt | ; Restrisiko bleibt | ||
Zeile 117: | Zeile 280: | ||
* Dokumentieren Sie die Entscheidungen so, dass sie von Dritten (z. B. Auditoren) nachvollzogen werden können, und lassen Sie dieses Schriftstück '''vom Management unterschreiben'''. | * Dokumentieren Sie die Entscheidungen so, dass sie von Dritten (z. B. Auditoren) nachvollzogen werden können, und lassen Sie dieses Schriftstück '''vom Management unterschreiben'''. | ||
<noinclude> | |||
== Anhang == | == Anhang == | ||
=== Siehe auch === | === Siehe auch === | ||
{{Special:PrefixIndex/{{BASEPAGENAME}}}} | {{Special:PrefixIndex/{{BASEPAGENAME}}}} | ||
==== Links ==== | ==== Links ==== | ||
===== Weblinks ===== | ===== Weblinks ===== | ||
[[Kategorie: | [[Kategorie:BSI/200-3]] | ||
</noinclude> | </noinclude> |
Aktuelle Version vom 17. Oktober 2024, 23:38 Uhr
Risikoakzeptanzkriterien
Risikoappetit
Je nach Risikoappetit sind unterschiedliche Risikoakzeptanzkriterien möglich
- Kapitel 5
Im Folgenden wird davon ausgegangen
- „geringe“ Risiken grundsätzlich akzeptiert werden
- „mittlere“, „hohe“ und „sehr hohe“ Risiken jedoch nur in Ausnahmefällen
In der Praxis ergeben sich im Rahmen der Risikoeinstufung meist mehrere Gefährdungen, aus denen sich Risiken in den Stufen „mittel“, „hoch“ oder „sehr hoch“ ergeben
- Es muss entschieden werden, wie mit diesen verbleibenden Risiken umgegangen wird
- Es müssen geeignete Risikobehandlungsoptionen ausgewählt werden
Risikobehandlung
Option | Beschreibung |
---|---|
Vermeiden | Risikoursache ausschließen |
Reduzieren | Rahmenbedingungen, die zur Risikoeinstufung beigetragen haben, modifizien |
Transfer | Risiken mit anderen Parteien teilen |
Akzeptanz | Weil die mit dem Risiko einhergehenden Chancen wahrgenommen werden sollen |
- Vermeidung - Reduktion - Transfer
Im Folgenden werden die Risikobehandlungsoptionen der Vermeidung, Reduktion und des Transfers näher betrachtet.
- Darauf aufbauend, muss eine Institution Risikoakzeptanzkriterien festlegen und die Risikobehandlung darauf abbilden.
- Bei der Entscheidung, wie mit den identifizierten Risiken umgegangen wird, muss auf jeden Fall die Leitungsebene beteiligt werden, da sich aus der Entscheidung unter Umständen erhebliche Schäden ergeben oder zusätzliche Kosten entstehen können.
Für jede Gefährdung in der vervollständigten Gefährdungsübersicht mit Risikokategorie „mittel“, „hoch“ oder „sehr hoch“ müssen folgende Fragen beantwortet werden: A: Risikovermeidung: Ist es sinnvoll, das Risiko durch eine Umstrukturierung des Geschäftsprozesses oder des Informationsverbunds zu vermeiden?
- Gründe für diesen Ansatz können etwa sein
- Alle wirksamen Gegenmaßnahmen sind mit hohem Aufwand verbunden und damit sehr teuer, die verbleibende Gefährdung kann aber trotzdem nicht hingenommen werden.
- Die Umstrukturierung bietet sich ohnehin aus anderen Gründen an, z. B. zur Kostensenkung.
- Es kann einfacher und eleganter sein, die vorhandenen Abläufe zu ändern, als sie durch Hinzufügen von Sicherheitsmaßnahmen komplexer zu machen.
- Alle wirksamen Gegenmaßnahmen würden erhebliche Einschränkungen für die Funktion oder den
Komfort des Systems mit sich bringen. B: Risikoreduktion (Risikomodifikation): Ist es sinnvoll und möglich, das Risiko durch weitere Sicherheitsmaßnahmen zu reduzieren?
- Das Risiko durch die verbleibende Gefährdung kann möglicherweise gesenkt werden, indem eine oder mehrere ergänzende Sicherheitsmaßnahmen erarbeitet und umgesetzt werden, die der Gefährdung entgegenwirken.
- Als Informationsquellen über ergänzende Sicherheitsmaßnahmen kommen beispielsweise folgende infrage:
- die Dokumentation und der Service des Herstellers, wenn es sich bei dem betroffenen Zielobjekt um ein Produkt handelt,
- Standards und Best Practices, wie sie beispielsweise von Gremien im Bereich der Informationssicherheit erarbeitet werden,
- andere Veröffentlichungen und Dienstleistungen, die beispielsweise im Internet oder von spezialisierten Unternehmen angeboten werden,
- Erfahrungen, die innerhalb der eigenen Institution oder bei Kooperationspartnern gewonnen wurden.
Der hypothetische Aufwand und mögliche Kosten für gegebenenfalls erforderliche Sicherheitsmaßnahmen und Informationen über bereits vorhandene Sicherheitsmechanismen sind wichtige Entscheidungshilfen. C: Risikotransfer (Risikoteilung): Ist es sinnvoll, das Risiko an eine andere Institution zu übertragen, beispielsweise durch den Abschluss eines Versicherungsvertrags oder durch Outsourcing? Gründe für diesen Ansatz können beispielsweise sein:
- Die möglichen Schäden sind rein finanzieller Art.
- Es ist ohnehin aus anderen Gründen geplant, Teile der Geschäftsprozesse auszulagern.
- Der Vertragspartner ist aus wirtschaftlichen oder technischen Gründen besser in der Lage, mit dem
Risiko umzugehen. Wenn im Rahmen der Risikobehandlung zusätzliche Sicherheitsanforderungen identifiziert werden, muss die Risikoeinstufung (siehe nachfolgende Beispiele) für die betroffenen Zielobjekte entsprechend angepasst werden.
- Zu beachten ist dabei, dass neue Anforderungen unter Umständen nicht nur Auswirkungen auf das jeweils analysierte Zielobjekt haben, sondern auch auf andere Zielobjekte.
Die zusätzlichen Anforderungen und die daraus resultierenden Sicherheitsmaßnahmen werden im Sicherheitskonzept dokumentiert. Wenn im Rahmen der Risikobehandlung Änderungen an den Geschäftsprozessen oder am Informationsverbund vorgenommen wurden, etwa durch Risikovermeidung oder Risikotransfer, müssen diese insgesamt im Sicherheitskonzept berücksichtigt werden.
- Dies betrifft im Allgemeinen auch Arbeitsschritte, die in der IT-Grundschutz-Vorgehensweise gemäß BSI-Standard 200-2 dargestellt sind, beginnend bei der Strukturanalyse.
- Selbstverständlich kann dabei aber auf die bisher erarbeiteten Informationen und Dokumente zurückgegriffen werden.
Beim Risikotransfer ist die sachgerechte Vertragsgestaltung einer der wichtigsten Aspekte.
- Besonders bei Outsourcing-Vorhaben sollte hierzu auf juristischen Sachverstand zurückgegriffen werden.
- Die Entscheidung wird von der Leitungsebene getroffen und nachvollziehbar dokumentiert.
D: Risikoakzeptanz: Können die Risiken auf Basis einer nachvollziehbaren Faktenlage akzeptiert werden? Die Schritte der Risikoeinstufung und Risikobehandlung werden so lange durchlaufen, bis die Risikoakzeptanzkriterien der Institution erreicht sind und das verbleibende Risiko („Restrisiko“) somit im Einklang mit den Zielen und Vorgaben der Institution steht. Das Restrisiko muss anschließend der Leitungsebene zur Zustimmung vorgelegt werden (Risikoakzeptanz).
- Damit wird nachvollziehbar dokumentiert, dass die Institution sich des Restrisikos bewusst ist.
- Idealerweise akzeptiert eine Institution nur Risiken der Stufe „gering“.
- In der Praxis ist dies aber nicht immer zweckmäßig.
- Gründe, auch höhere Risiken zu akzeptieren, können beispielsweise sein:
- Die entsprechende Gefährdung führt nur unter ganz speziellen Voraussetzungen zu einem Schaden.
- Gegen die entsprechende Gefährdung sind derzeit keine wirksamen Gegenmaßnahmen bekannt und sie lässt sich in der Praxis auch kaum vermeiden.
- Aufwand und Kosten für wirksame Gegenmaßnahmen überschreiten den zu schützenden Wert.
- Hinweis
Auch diejenigen IT-Grundschutz-Anforderungen, die im IT-Grundschutz/Kompendium als Anforderungen bei erhöhtem Schutzbedarf aufgeführt sind sowie die zugehörigen Maßnahmen, können als Anhaltspunkte ffr weiterführende Sicherheitsmaßnahmen im Rahmen einer Risikoanalyse herangezogen werden.
- Dabei handelt es sich um Beispiele, die über das dem Stand der Technik entsprechende Schutzniveau hinausgehen und in der Praxis häufig angewandt werden.
- Zu beachten ist jedoch, dass Anforderungen bei erhöhtem Schutzbedarf grundsätzlich empfehlenswert sind, aber auch bei hohen Sicherheitsanforderungen nicht automatisch verbindlich werden.
- Somit müssen sie auch nicht zwingend in eine Risikoanalyse einbezogen werden.
Risikobereitschaft
Risikobehandlungsoptionen
- In der Regel wird die Gefährdungsbewertung aufzeigen, dass nicht alle Gefährdungen durch das vorhandene Sicherheitskonzept ausreichend abgedeckt sind
- In diesem Fall müssen Sie überlegen, wie angemessen mit den verbleibenden Gefährdungen umgegangen werden kann, und eine begründete Entscheidung hierzu treffen.
Option | Beschreibung | Erläuterung |
---|---|---|
A | Risikovermeidung | Umstrukturierung
|
B | Risikoreduktion/Risikomodifikation | Sicherheitsmaßnahmen
|
C | Risikotransfer | Risiken verlagern
|
D | Risikoakzeptanz | Risiken sind akzeptabel
Ein Risiko kann nur dann akzeptiert werden, wenn das (z. B. nach Umsetzung von Schutzmaßnahmen verbleibende) Restrisiko von der Institution getragen werden kann, sich also im Einklang mit den festgelegten Risikoakzeptanzkriterien befindet. |
Risikoverfolgung
- Risiken unter Beobachtung
Bei der Risikoanalyse können unter Umständen Gefährdungen identifiziert werden, aus denen Risiken resultieren, die zwar derzeit akzeptabel sind, in Zukunft jedoch voraussichtlich steigen werden.
- Dies bedeutet, dass sich in der weiteren Entwicklung ein Handlungsbedarf ergeben könnte.
- In solchen Fällen ist es sinnvoll und üblich, bereits im Vorfeld ergänzende Sicherheitsmaßnahmen zu erarbeiten und vor
zubereiten, die in Betrieb genommen werden können, sobald die Risiken inakzeptabel werden. Diese ergänzenden Sicherheitsmaßnahmen sind zu dokumentieren und vorzumerken.
- Die Risiken werden beobachtet und sobald sie nicht mehr akzeptabel sind, werden die vorgemerkten ergänzen
den Sicherheitsmaßnahmen überprüft, gegebenenfalls aktualisiert und in das Sicherheitskonzept übernommen.
- Die Risikoeinstufung wird gemäß Kapitel 5 entsprechend angepasst.
- Nachdem die Risikobehandlung für die verbleibenden Risiken abgeschlossen ist und die Restrisiken von der Leitungsebene akzeptiert wurden, kann das Sicherheitskonzept für den betrachteten Informationsverbund fertiggestellt werden.
Generell sollten jedoch alle Risiken beobachtet werden, also nicht nur solche, die in Zukunft voraussichtlich steigen werden.
- Um die Beobachtung der Risiken und Anpassung der Maßnahmen bzw.
Handlungsalternativen zu dokumentieren, ist es in der Praxis üblich, hierfür Risikoregister oder Risikoverzeichnisse anzulegen. Für benutzerdefinierte Bausteine müssen die Gefährdungen in regelmäßigen Zeitabständen überprüft und neu bewertet werden.
- Da die Zielobjekte, die mit benutzerdefinierten Bausteinen abgedeckt werden, den normalen Anwendungsfall des IT-Grundschutz/Kompendiums überschreiten, müssen die hier beschriebenen Aktivitäten zur Beobachtung von Risiken in jedem Fall berücksichtigt werden.
Beispiel
Für die in Kapitel 5 mit Risikokategorie „mittel“ oder „hoch“ identifizierten Gefährdungen wurden folgende Entscheidungen getroffen (Auszug)
Virtualisierungsserver S1
Vertraulichkeit: hoch Integrität: hoch Verfügbarkeit: hoch Gefährdung Risikokategorie Risikobehandlungsoption
G 0.15 Abhören
(hier mittel Live-Migration) D: Risikoakzeptanz (Risikoübernahme ohne zusätzliche Maßnahmen) Auf das Live-Migration-Netz dürfen nur befugte Administratoren zugreifen. Diesen wird vertraut. Das bestehende Restrisiko wird von der RECPLAST als vertretbar eingeschätzt und übernommen.
G 0.25 Ausfall von Geräten mittel
B: Risikoreduktion oder Systemen Ergänzende Sicherheitsmaßnahme: mit ergänzender(hier Ausfall des zentralen Der zentrale Verwaltungsserver wird redundant Maßnahme: Verwaltungsservers) ausgelegt, damit sichergestellt ist, dass bei einem gering Ausfall die virtuelle Infrastruktur weiterhin problemlos betrieben wird. Das System wird so konfiguriert, dass bei Ausfall des Verwaltungsservers automatisch auf einen Ersatzrechner innerhalb des Clusters umgeschaltet wird.
Datenbank A1
Vertraulichkeit: hoch Integrität: hoch Verfügbarkeit: hoch Gefährdung G 0.28 Software-Schwachstellen oder -Fehler Risikokategorie hoch mit ergänzen-der Maßnahme:gering Risikobehandlungsoption B: Risikoreduktion Ergänzende Sicherheitsmaßnahme: Die manuelle Erfassung und Freigabe der Arbeits stunden würde einen erheblichen Mehraufwand sei tens der Abteilungsleiter und der Personalabteilung darstellen, der aktuell nicht geleistet werden kann. Bis die Webanwendung durch eine neue Anwen dung abgelöst wird, setzt man eine Datenbank-Fire wall ein, um das bestehende Risiko zu reduzieren. Hierfür erstellen die Datenbankadministratoren ei nen geeigneten Satz an Regeln, die verhindern, dass an der Webanwendung eingeschleuste SQL-Anfra gen auf der Datenbank ausgeführt werden.
- Der Per
formance-verlust, der dadurch entsteht, dass eine Datenbank-Firewall eingesetzt werden muss, wird für die Webanwendung als tolerabel eingeschätzt.
Datenbank A1
Vertraulichkeit: hoch Integrität: hoch Verfügbarkeit: hoch Gefährdung G 0.32 Missbrauch von Berechtigungen Risikokategorie Risikobehandlungsoption mittel
B: Risikoreduktion
Ergänzende Sicherheitsmaßnahme: mit ergänzenderUm das bestehende Risiko zu reduzieren, wird ein Maßnahme: zusätzliches Modul des Datenbankmanagement gering systems beschafft, mittels dessen administrative Zugriffe auf kritische Daten in Datenbanken verhindert werden. Zudem werden Aktionen von Administratorkennungen sicher protkolliert und aus gewertet, sodass versuchte Verstöße frühzeitig erkannt werden können. Smart-Meter-Gateway-Administration Zx Vertraulichkeit: hoch Integrität: hoch Verfügbarkeit: hoch Gefährdung Risikokategorie Risikobehandlungsoption
G 0.18 Fehlplanung oder
hoch
B: Risikoreduktion
fehlende Anpassung Ergänzende Sicherheitsmaßnahme: mit ergänzender(hier: fehlende oder unzu- Um das bestehende Risiko zu reduzieren, wird die Maßnahme: reichende Netzsegmentie Smart-Meter-Gateway-Infrastruktur geeignet seg gering rung) mentiert.
- Hierbei werden IT-Systeme, auf denen
die Benutzeroberfläche einer SMGW-Admin-Soft ware betrieben wird, in einem eigenen Teilnetz be trieben.
- Dieses ist so konzipiert, dass es gegenüber
anderen Teilnetzen nur die minimal notwendigen und zu begründenden Netzkoppelungen und Kommunikationsbeziehungen aufweist. Um Netzsegmente logisch voneinander zu tren nen, werden Firewalls eingesetzt.
Smart-Meter-Gateway-Administration Zx
Vertraulichkeit: hoch Integrität: hoch Verfügbarkeit: hoch G 0.32 Missbrauch von Be hoch rechtigungen mit ergänzenderMaßnahme: gering usw. B: Risikoreduktion Ergänzende Sicherheitsmaßnahme: Um das bestehende Risiko zu reduzieren, wird ein Rollen- und Rechtekonzept umgesetzt und doku mentiert, das den Grundsätzen einer Funktions trennung genügt und nur Berechtigten einen Zu griff erlaubt.
- Im Konzept ist auch auf eine geeigne
te Rollentrennung geachtet worden.
- Zudem deckt
das Konzept auch Zutritts-, Zugangs- und Zugriffs berechtigungen ab. 38
Restrisiko
- Restrisiko bleibt
- Risiken unter Beobachtung
Manche Risiken können zwar vorübergehend in Kauf genommen werden, es ist aber damit zu rechnen, dass sich die Gefährdungslage in Zukunft verändern wird und die Risiken dann nicht mehr akzeptiert werden können.
- In solchen Fällen empfiehlt es sich, die Risiken unter Beobachtung zu stellen und von Zeit zu Zeit zu prüfen, ob nicht doch ein Handlungsbedarf besteht.
- Es ist zudem sinnvoll, bereits im Vorfeld geeignete Schutzmaßnahmen auszuarbeiten, so dass eine rasche Inbetriebnahme möglich ist, sobald die Risiken nicht mehr akzeptabel sind.
- Beschlüsse müssen vom Management getragen werden
- Es muss dazu bereit sein, die Kosten für die Reduktion oder den Transfer von Risiken wie auch die Verantwortung für die in Kauf genommenen Risiken zu übernehmen.
- Binden Sie daher die Leitungsebene angemessen in die Beratungen ein.
- Dokumentieren Sie die Entscheidungen so, dass sie von Dritten (z. B. Auditoren) nachvollzogen werden können, und lassen Sie dieses Schriftstück vom Management unterschreiben.