BSI/200-3/Gefährdungsübersicht

Beschreibung

Erster Schritt einer Risikoanalyse

• Risiken identifizieren, denen ein Zielobjekt ausgesetzt ist

Beschreibung

• Welchen Gefährdungen das Objekt unterliegt
• Anhand der elementaren Gefährdungen als Ausgangspunkt

Grundschutz Bausteine

Abdeckung mit Grundschutz Bausteine

Abdeckung	Beschreibung
Ausreichend	Alle Aspekte des Zielobjektes können vollständig mit Grundschutz-Bausteinen modelliert werden Risikoanalysen für normalen Schutzbedarf in den Bausteinen enthalten In den Bausteinen tabellarisch dargestellt, welche elementaren Gefährdungen relevant sind und mit welchen Anforderungen diesen Gefährdungen jeweils begegnet wird
Unzureichend	Keine ausreichende Abdeckung durch Grundschutz-Bausteine Vollständige Liste der elementaren Gefährdungen prüfen, welche der Gefährdungen für das betreffende Zielobjekt relevant sind

Relevanz einer Gefährdung

Nur Gefährdungen mit direkter Relevanz in die Gefährdungsübersicht aufnehmen

Einwirkungen

direkt	unmittelbar
indirekt	über andere, allgemeinere Gefährdungen auf das betrachtete Objekt einwirkend

Aufgabe

Prüfen, ob weitere elementare Gefährdungen einen nennenswerten Schaden hervorrufen können

• Die Relevanz einer Gefährdung mit der möglichen Einwirkung einer Gefährdung bestimmen

Gefährdungsübersicht

Erstellung einer Gefährdungsübersicht BSI/200-3/Elementaren Gefährdungen

Zusätzliche Gefährdungen

Ermittlung zusätzlicher Gefährdungen BSI/200-3/Gefährdungsübersicht#Zusätzliche_Gefährdungen

Risikoanalyse-Meeting

Risikoanalyse-Meeting - Kurzbeschreibung

Vorbereitung

Rahmenbedingungen

• Hohe Konzentration erforderlich
• Ungestörtes Arbeiten er­möglichen

Analyse

Analyse klar vom Brainstorming abgrenzen

Maßstäbe

Klare Maßstäbe für die Bewertung von Risiken festlegen

• Risiken mit demselben Niveau behandeln
• Maßnahmen vergleichbar und nachvoll­ziehbar machen

Zusammensetzung

Team

Das Team sollte nicht zu groß sein (bewährt haben sich vier bis acht Personen)

Expertise

Es sollte im Team eine ausreichende Expertise für alle Aspekte des betrachteten Bereichs vorhanden sein:

• Der Moderator sollte schon an Risikoanalysen teilgenommen haben, sodass er die Vorgehensweise kennt

Für eine Risikoanalyse müssen Fachverantwortliche bzw. Experten für die jeweils betrachteten Zielob­jekte einbezogen werden

• Es sollten Informationssicherheitsbeauftragte, Fachverantwortliche, Administratoren und Benutzer des jeweils betrachteten Zielobjekts und gegebenenfalls auch externe Sachverständige daran teilnehmen

Leitungsebene

• Damit die für die jeweiligen Schritte der Risikoanalyse notwendigen Beschlüsse direkt konsolidiert werden können, z. B. zu Risikoakzeptanz, Kosten und Umsetzbarkeit, sollte (zumindest gegen Ende) ein Vertreter der Leitungsebene anwesend sein

Moderation

Moderation einer Risikoanalyse

Moderator benennen

Arbeitsauftrag

• Der Arbeitsauftrag an die Teilnehmer sollte klar formuliert sein
• Die Zeit für die Sitzungen begrenzt werden
• Es hat sich bewährt, mehrere kurze als eine lange Sitzung mit allen beteiligten Mitarbeitern durchzuführen

Beispiel

Relevante Grundschutz-Bausteine für Virtualisierungsserver S007

• SYS.1.1 Allgemeiner Server
• SYS.1.3 Server unter Unix
• SYS.1.5 Virtualisierung

Referenzierten elementaren Gefährdungen

Aus den in diesen Bausteinen referenzierten elementaren Gefährdungen lässt sich die folgende auszugsweise wiedergegebene Übersicht relevanter Gefährdungen zusammenstellen

Gefährdung	Beschreibung
G 0.14	Ausspähen von Informationen (Spionage)
G 0.15	Abhören
G 0.18	Fehlplanung oder fehlende Anpassung
G 0.19	Offenlegung schützenswerter Informationen
G 0.21	Manipulation von Hard- oder Software
G 0.22	Manipulation von Informationen
G 0.23	Unbefugtes Eindringen in IT-Systeme
G 0.25	Ausfall von Geräten oder Systemen
G 0.26	Fehlfunktion von Geräten oder Systemen
G 0.28	Software-Schwachstellen oder -Fehler
G 0.30	Unberechtigte Nutzung oder Administration von Geräten und Systemen
G 0.31	Fehlerhafte Nutzung oder Administration von Geräten und Systemen
G 0.32	Missbrauch von Berechtigungen
G 0.40	Verhinderung von Diensten (Denial of Service)
G 0.43	Einspielen von Nachrichten
G 0.45	Datenverlust
G 0.46	Integritätsverlust schützenswerter Informationen

Anhang

Siehe auch

• BSI/200-3/Gefährdungsübersicht