BSI/200-3/Gefährdungsübersicht
Beschreibung
- Erster Schritt einer Risikoanalyse
- Risiken identifizieren, denen ein Zielobjekt ausgesetzt ist
- Beschreibung
- Welchen Gefährdungen das Objekt unterliegt
- Anhand der elementaren Gefährdungen als Ausgangspunkt
Grundschutz Bausteine
- Abdeckung mit Grundschutz Bausteine
| Abdeckung | Beschreibung |
|---|---|
| Ausreichend | Alle Aspekte des Zielobjektes können vollständig mit Grundschutz-Bausteinen modelliert werden
|
| Unzureichend | Keine ausreichende Abdeckung durch Grundschutz-Bausteine
|
Relevanz einer Gefährdung
Nur Gefährdungen mit direkter Relevanz in die Gefährdungsübersicht aufnehmen
- Einwirkungen
| direkt | unmittelbar |
| indirekt | über andere, allgemeinere Gefährdungen auf das betrachtete Objekt einwirkend |
- Aufgabe
Prüfen, ob weitere elementare Gefährdungen einen nennenswerten Schaden hervorrufen können
- Die Relevanz einer Gefährdung mit der möglichen Einwirkung einer Gefährdung bestimmen
Gefährdungsübersicht
Erstellung einer Gefährdungsübersicht BSI/200-3/Elementaren Gefährdungen
Zusätzliche Gefährdungen
Ermittlung zusätzlicher Gefährdungen BSI/200-3/Gefährdungsübersicht#Zusätzliche_Gefährdungen
Risikoanalyse-Meeting
Risikoanalyse-Meeting - Kurzbeschreibung
Beschreibung
Vorbereitung
- Rahmenbedingungen
- Hohe Konzentration erforderlich
- Ungestörtes Arbeiten ermöglichen
- Analyse
Analyse klar vom Brainstorming abgrenzen
- Maßstäbe
Klare Maßstäbe für die Bewertung von Risiken festlegen
- Risiken mit demselben Niveau behandeln
- Maßnahmen vergleichbar und nachvollziehbar machen
Zusammensetzung
- Team
Das Team sollte nicht zu groß sein (bewährt haben sich vier bis acht Personen)
- Expertise
Es sollte im Team eine ausreichende Expertise für alle Aspekte des betrachteten Bereichs vorhanden sein:
- Der Moderator sollte schon an Risikoanalysen teilgenommen haben, sodass er die Vorgehensweise kennt
Für eine Risikoanalyse müssen Fachverantwortliche bzw. Experten für die jeweils betrachteten Zielobjekte einbezogen werden
- Es sollten Informationssicherheitsbeauftragte, Fachverantwortliche, Administratoren und Benutzer des jeweils betrachteten Zielobjekts und gegebenenfalls auch externe Sachverständige daran teilnehmen
- Leitungsebene
- Damit die für die jeweiligen Schritte der Risikoanalyse notwendigen Beschlüsse direkt konsolidiert werden können, z. B. zu Risikoakzeptanz, Kosten und Umsetzbarkeit, sollte (zumindest gegen Ende) ein Vertreter der Leitungsebene anwesend sein
Moderation
- Moderation einer Risikoanalyse
- Moderator benennen
- Arbeitsauftrag
- Der Arbeitsauftrag an die Teilnehmer sollte klar formuliert sein
- Die Zeit für die Sitzungen begrenzt werden
- Es hat sich bewährt, mehrere kurze als eine lange Sitzung mit allen beteiligten Mitarbeitern durchzuführen
Anlass
Umgang
Durchführung
Beispiel
- Relevante Grundschutz-Bausteine für Virtualisierungsserver S007
- SYS.1.1 Allgemeiner Server
- SYS.1.3 Server unter Unix
- SYS.1.5 Virtualisierung
- Referenzierten elementaren Gefährdungen
Aus den in diesen Bausteinen referenzierten elementaren Gefährdungen lässt sich die folgende auszugsweise wiedergegebene Übersicht relevanter Gefährdungen zusammenstellen
| Gefährdung | Beschreibung |
|---|---|
| G 0.14 | Ausspähen von Informationen (Spionage) |
| G 0.15 | Abhören |
| G 0.18 | Fehlplanung oder fehlende Anpassung |
| G 0.19 | Offenlegung schützenswerter Informationen |
| G 0.21 | Manipulation von Hard- oder Software |
| G 0.22 | Manipulation von Informationen |
| G 0.23 | Unbefugtes Eindringen in IT-Systeme |
| G 0.25 | Ausfall von Geräten oder Systemen |
| G 0.26 | Fehlfunktion von Geräten oder Systemen |
| G 0.28 | Software-Schwachstellen oder -Fehler |
| G 0.30 | Unberechtigte Nutzung oder Administration von Geräten und Systemen |
| G 0.31 | Fehlerhafte Nutzung oder Administration von Geräten und Systemen |
| G 0.32 | Missbrauch von Berechtigungen |
| G 0.40 | Verhinderung von Diensten (Denial of Service) |
| G 0.43 | Einspielen von Nachrichten |
| G 0.45 | Datenverlust |
| G 0.46 | Integritätsverlust schützenswerter Informationen |
Anhang
Siehe auch
Links
Weblinks