BSI/200-3/Risikobehandlung

Risikobehandlungsoptionen

Image:Abb_7_09_Schritt3.png?__blob=normal&v=1Bild20.png|top|alt="Risikoanalyse - Risiken behandeln (Bild hat eine Langbeschreibung)"

In der Regel wird die Gefährdungsbewertung aufzeigen, dass nicht alle Gefährdungen durch das vorhandene Sicherheitskonzept ausreichend abgedeckt sind

• In diesem Fall müssen Sie überlegen, wie angemessen mit den verbleibenden Gefährdungen umgegangen werden kann, und eine begründete Entscheidung hierzu treffen.

Image:Abb_7_09_RisikenBehandeln.png?__blob=normal&v=1Bild21.png|top|alt="Risikobehandlung (Bild hat eine Langbeschreibung)"

Risikobehandlungsoptionen

Möglichkeiten (Risikooptionen) mit Risiken umzugehen

Option	Beschreibung	Erläuterung
A	Risikovermeidung	Umstrukturierung Umstrukturierung der Geschäftsprozesse Die Risiken können vermieden werden, indem der Informationsverbund so umstrukturiert wird, dass die Gefährdung nicht mehr wirksam werden kann. Dies bietet sich beispielsweise an, wenn Gegenmaßnahmen zwar möglich sind, aber einen zu hohen Aufwand bedeuten und gleichzeitig das Risiko nicht akzeptiert werden kann.
B	Risikoreduktion/Risikomodifikation	Sicherheitsmaßnahmen Die Risiken können durch zusätzliche, höherwertige Sicherheitsmaßnahmen verringert werden. Sofern es für das Zielobjekt, das Sie in der Risikoanalyse betrachtet haben, bereits einen Baustein im Grundschutz-Kompendium gibt, finden Sie in den dort genannten Anforderungen für den erhöhten Schutzbedarf und den zugehörigen Umsetzungsempfehlungen erste Hinweise auf geeignete Maßnahmen. Weitere Quellen sind beispielsweise Produktdokumentationen, Standards zur Informationssicherheit und Fachveröffentlichungen.
C	Risikotransfer	Risiken verlagern Durch Abschluss von Versicherungen oder durch Auslagerung der risikobehafteten Aufgabe an einen externen Dienstleister kann zum Beispiel ein möglicher finanzieller Schaden (zumindest teilweise) auf Dritte abgewälzt werden. Achten Sie bei dieser Lösung auf eine sachgerechte, eindeutige Vertragsgestaltung!
D	Risikoakzeptanz	Risiken sind akzeptabel Weil die Gefährdung nur unter äußerst speziellen Bedingungen zu einem Schaden führen könnte Weil keine hinreichend wirksamen Gegenmaßnahmen bekannt sind oder Weil der Aufwand für mögliche Schutzmaßnahmen unangemessen hoch ist Ein Risiko kann nur dann akzeptiert werden, wenn das (z. B. nach Umsetzung von Schutzmaßnahmen verbleibende) Restrisiko von der Institution getragen werden kann, sich also im Einklang mit den festgelegten Risikoakzeptanzkriterien befindet.

Restrisiko

Restrisiko bleibt

Risiken unter Beobachtung

Manche Risiken können zwar vorübergehend in Kauf genommen werden, es ist aber damit zu rechnen, dass sich die Gefährdungslage in Zukunft verändern wird und die Risiken dann nicht mehr akzeptiert werden können.

• In solchen Fällen empfiehlt es sich, die Risiken unter Beobachtung zu stellen und von Zeit zu Zeit zu prüfen, ob nicht doch ein Handlungsbedarf besteht.
• Es ist zudem sinnvoll, bereits im Vorfeld geeignete Schutzmaßnahmen auszuarbeiten, so dass eine rasche Inbetriebnahme möglich ist, sobald die Risiken nicht mehr akzeptabel sind.

Beschlüsse müssen vom Management getragen werden

• Es muss dazu bereit sein, die Kosten für die Reduktion oder den Transfer von Risiken wie auch die Verantwortung für die in Kauf genommenen Risiken zu übernehmen.
• Binden Sie daher die Leitungsebene angemessen in die Beratungen ein.
• Dokumentieren Sie die Entscheidungen so, dass sie von Dritten (z. B. Auditoren) nachvollzogen werden können, und lassen Sie dieses Schriftstück vom Management unterschreiben.

Beispiel

Entscheidungen zur Risikobehandlung

• Gefährdungen für einen Virtualisierungsserver

Behandlung der Risiken

Gefährdung	Titel	Kategorie	Behandlung	Beschreibung
G 0.15	Abhören	mittel	D: Akzeptanz	(hier bei Live-Migration) (Risikoübernahme ohne zusätzliche Sicherheitsmaßnahme) Auf das Live-Migration-Netz dürfen nur befugte Administratoren zugreifen. Diesen wird vertraut. Das bestehende Restrisiko wird von der RECPLAST als vertretbar eingeschätzt und übernommen.
G 0.25	Ausfall von Geräten oder Systemen	mittel	B: Reduktion	(hier Ausfall des Virtualisierungsservers) Ergänzende Sicherheitsmaßnahme: Der Server ist redundant ausgelegt, damit ist sichergestellt, dass bei einem Ausfall die virtuelle Infrastruktur weiterhin problemlos betrieben wird. Das System wird so konfiguriert, dass bei Ausfall automatisch auf einen Ersatzrechner innerhalb des Clusters umgeschaltet und dadurch die Ausfallzeit verkürzt wird. Mit ergänzenden Maßnahmen: gering

Risiken unter Beobachtung

Bei der Risikoanalyse können unter Umständen Gefährdungen identifiziert werden, aus denen Risiken resultieren, die zwar derzeit akzeptabel sind, in Zukunft jedoch voraussichtlich steigen werden.

• Dies bedeutet, dass sich in der weiteren Entwicklung ein Handlungsbedarf ergeben könnte.
• In solchen Fällen ist es sinnvoll und üblich, bereits im Vorfeld ergänzende Sicherheitsmaßnahmen zu erarbeiten und vor­

zubereiten, die in Betrieb genommen werden können, sobald die Risiken inakzeptabel werden. Diese ergänzenden Sicherheitsmaßnahmen sind zu dokumentieren und vorzumerken.

• Die Risiken werden beobachtet und sobald sie nicht mehr akzeptabel sind, werden die vorgemerkten ergänzen­

den Sicherheitsmaßnahmen überprüft, gegebenenfalls aktualisiert und in das Sicherheitskonzept übernommen.

• Die Risikoeinstufung wird gemäß Kapitel 5 entsprechend angepasst.
• Nachdem die Ri­

sikobehandlung für die verbleibenden Risiken abgeschlossen ist und die Restrisiken von der Leitungsebene akzeptiert wurden, kann das Sicherheitskonzept für den betrachteten Informationsverbund fertiggestellt werden. Generell sollten jedoch alle Risiken beobachtet werden, also nicht nur solche, die in Zukunft voraussichtlich steigen werden.

• Um die Beobachtung der Risiken und Anpassung der Maßnahmen bzw. 

Handlungsalternativen zu dokumentieren, ist es in der Praxis üblich, hierfür Risikoregister oder Risikoverzeichnisse anzulegen. Für benutzerdefinierte Bausteine müssen die Gefährdungen in regelmäßigen Zeitabständen überprüft und neu bewertet werden.

• Da die Zielobjekte, die mit benutzerdefinierten Bausteinen abgedeckt werden, den normalen Anwendungsfall des IT-Grundschutz-Kompendiums überschreiten, müssen die hier beschriebenen Aktivitäten zur Beobachtung von Risiken in jedem Fall berücksichtigt werden.

Beispiel (Auszug): Ffr die in Kapitel 5 mit Risikokategorie „mittel“ oder „hoch“ identifizierten Gefährdungen wurden folgende Entscheidungen getroffen:

Virtualisierungsserver S1

Vertraulichkeit: hoch
Integrität: hoch
Verfügbarkeit: hoch
Gefährdung
Risikokategorie
Risikobehandlungsoption
G 0.15 Abhören
(hier mittel
Live-Migration)
D: Risikoakzeptanz (Risikoübernahme ohne zu­
sätzliche Maßnahmen)
Auf das Live-Migration-Netz dürfen nur befugte
Administratoren zugreifen. 

• Diesen wird vertraut.

Das bestehende Restrisiko wird von der RECPLAST
als vertretbar eingeschätzt und übernommen.
G 0.25 Ausfall von Geräten mittel
B: Risikoreduktion
oder Systemen
Ergänzende Sicherheitsmaßnahme:
mit ergänzender(hier Ausfall des zentralen Der zentrale Verwaltungsserver wird redundant
Maßnahme:
Verwaltungsservers)
ausgelegt, damit sichergestellt ist, dass bei einem
gering
Ausfall die virtuelle Infrastruktur weiterhin pro­
blemlos betrieben wird. 

• Das System wird so konfi­

guriert, dass bei Ausfall des Verwaltungsservers
automatisch auf einen Ersatzrechner innerhalb
des Clusters umgeschaltet wird.

Datenbank A1

Vertraulichkeit: hoch
Integrität: hoch
Verfügbarkeit: hoch
Gefährdung
G 0.28
Software-Schwachstellen
oder -Fehler
Risikokategorie
hoch
mit ergänzen-der Maßnahme:gering
Risikobehandlungsoption
B: Risikoreduktion
Ergänzende Sicherheitsmaßnahme:
Die manuelle Erfassung und Freigabe der Arbeits­
stunden würde einen erheblichen Mehraufwand sei­
tens der Abteilungsleiter und der Personalabteilung
darstellen, der aktuell nicht geleistet werden kann.
Bis die Webanwendung durch eine neue Anwen­
dung abgelöst wird, setzt man eine Datenbank-Fire­
wall ein, um das bestehende Risiko zu reduzieren.
Hierfür erstellen die Datenbankadministratoren ei­
nen geeigneten Satz an Regeln, die verhindern, dass
an der Webanwendung eingeschleuste SQL-Anfra­
gen auf der Datenbank ausgeführt werden. 

• Der Per­

formance-verlust, der dadurch entsteht, dass eine
Datenbank-Firewall eingesetzt werden muss, wird
für die Webanwendung als tolerabel eingeschätzt.

Datenbank A1

Vertraulichkeit: hoch
Integrität: hoch
Verfügbarkeit: hoch
Gefährdung
G 0.32 Missbrauch von
Berechtigungen
Risikokategorie
Risikobehandlungsoption
mittel

B: Risikoreduktion

Ergänzende Sicherheitsmaßnahme:
mit ergänzenderUm das bestehende Risiko zu reduzieren, wird ein
Maßnahme:
zusätzliches Modul des Datenbankmanagement­
gering
systems beschafft, mittels dessen administrative
Zugriffe auf kritische Daten in Datenbanken ver­
hindert werden. 

• Zudem werden Aktionen von Ad­

ministratorkennungen sicher protkolliert und aus­
gewertet, sodass versuchte Verstöße frühzeitig er­
kannt werden können.
Smart-Meter-Gateway-Administration Zx
Vertraulichkeit: hoch
Integrität: hoch
Verfügbarkeit: hoch
Gefährdung
Risikokategorie
Risikobehandlungsoption
G 0.18 Fehlplanung oder
hoch

B: Risikoreduktion

fehlende Anpassung
Ergänzende Sicherheitsmaßnahme:
mit ergänzender(hier: fehlende oder unzu- Um das bestehende Risiko zu reduzieren, wird die
Maßnahme:
reichende Netzsegmentie­ Smart-Meter-Gateway-Infrastruktur geeignet seg­
gering
rung)
mentiert. 

• Hierbei werden IT-Systeme, auf denen

die Benutzeroberfläche einer SMGW-Admin-Soft­
ware betrieben wird, in einem eigenen Teilnetz be­
trieben. 

• Dieses ist so konzipiert, dass es gegenüber

anderen Teilnetzen nur die minimal notwendigen
und zu begründenden Netzkoppelungen und
Kommunikationsbeziehungen aufweist.
Um Netzsegmente logisch voneinander zu tren­
nen, werden Firewalls eingesetzt.

Smart-Meter-Gateway-Administration Zx

Vertraulichkeit: hoch
Integrität: hoch
Verfügbarkeit: hoch
G 0.32 Missbrauch von Be­ hoch
rechtigungen
mit ergänzenderMaßnahme:
gering
usw.
B: Risikoreduktion
Ergänzende Sicherheitsmaßnahme:
Um das bestehende Risiko zu reduzieren, wird ein
Rollen- und Rechtekonzept umgesetzt und doku­
mentiert, das den Grundsätzen einer Funktions­
trennung genügt und nur Berechtigten einen Zu­
griff erlaubt. 

• Im Konzept ist auch auf eine geeigne­

te Rollentrennung geachtet worden. 

• Zudem deckt

das Konzept auch Zutritts-, Zugangs- und Zugriffs­
berechtigungen ab.
38

Anhang

Siehe auch

• BSI/200-3/Risikobehandlung