Definition Risikomanagement in der IT

Was ist Risikomanagement?

| Autor / Redakteur: tutanch / Peter Schmitz

Risikomanagement in der Informationstechnologie hilft Unternehmen dabei, Risiken für den Betriensablauf zu erkennen, zu analysieren, zu bewerten und zu überwachen.
Risikomanagement in der Informationstechnologie hilft Unternehmen dabei, Risiken für den Betriensablauf zu erkennen, zu analysieren, zu bewerten und zu überwachen. (Bild: Pixabay / CC0)

Das Risikomanagement in der Informationstechnologie erkennt, analysiert, bewertet und überwacht die verschiedenen IT-Risiken. Es begleitet den gesamten System-Lebenszyklus der IT und stellt Gegenmaßnahmen oder Notfallpläne für verschiedene Szenarien bereit.

In vielen Unternehmen bilden die IT-Systeme das Rückgrat und die Grundlage für das Funktionieren der Geschäftsmodelle. Probleme mit IT-Systemen können zu enormen Schäden für das betroffene Unternehmen führen. Dies reicht von Produktionsausfällen über Umsatzeinbußen bis hin zur existenziellen Bedrohung des Unternehmens. Zu den möglichen Risiken zählen beispielsweise Hardwareausfälle, Softwarefehler, Datendiebstahl, Datenverlust, Datenmissbrauch oder Spionage.

Da IT-Systeme immer komplexer werden und prinzipiell fehleranfällig sind, ergeben sich zahlreiche Bedrohungsszenarien mit großen Risiken. Um diesen Risiken zu begegnen und mit ihnen umzugehen, kommt das Risikomanagement zum Einsatz. Es umfasst alle Maßnahmen, die möglichen Risiken zu erkennen, zu analysieren, zu bewerten, zu überwachen und sie zu kontrollieren. Das Risikomanagement kommt schon bei der Implementierung der Informationssysteme zur Anwendung und begleitet den kompletten Lebenszyklus aller IT-Komponenten. Dies reicht von der Konzeption über die Entwicklung und Umsetzung bis hin zum Betrieb und der Stilllegung der IT-Systeme.

Ein großes Gefahrenpotential ergibt sich durch das Internet und mögliche Bedrohungen von außen. Durch Hackerangriff können Daten gestohlen, manipuliert oder missbraucht werden. Auch diese Sicherheitsrisiken sind im IT-Risikomanagement zu berücksichtigen. Ziel aller Maßnahmen ist es, die wesentlichen Gefahren für die IT zu minimieren oder beim tatsächlichen Eintreten der Risiken deren Auswirkungen zu begrenzen. Im Optimalfall ist das Unternehmen auf die unterschiedlichen Risiken vorbereitet und hält entsprechende Abwehrmaßnahmen und Notfallpläne bereit.

Allgemeine Vorgehensweise im Risikomanagement

Auch in der IT kommt im Rahmen des Risikomanagements die typische Vorgehensweise des allgemeinen Risikomanagements mit seinen einzelnen Arbeitsschritten zum Einsatz. Im ersten Schritt geht es darum, die verschiedenen Risiken zu identifizieren und zu benennen. Anschließend kann die Analyse und Bewertung der Risiken erfolgen. Die Einzelrisiken werden im Hinblick auf Wahrscheinlichkeit und mögliche Auswirkungen eingeordnet. Hierfür kann eine mehrstufige Matrix verwendet werden, die Eintrittswahrscheinlichkeit und Akzeptanz der Risiken benennt. Mögliche Wahrscheinlichkeiten sind:

  • häufig
  • wahrscheinlich
  • gelegentlich
  • unwahrscheinlich
  • unvorstellbar

Auswirkungen der einzelnen Risiken können sein:

  • katastrophal
  • kritisch
  • akzeptabel
  • unwesentlich

Die Einteilungen können je nach Modell und verwendeter Matrix feiner oder grober sein. Im Rahmen der Klassifizierung der Risiken werden diese unterschiedlichen Auswirkungsklassen wie organisatorisch, rechtlich, technisch, prozessual, wirtschaftlich und weiteren zugeordnet. Die Risikoüberwachung und -beherrschung versucht durch konkrete Maßnahmen, die Eintrittswahrscheinlichkeiten und Gefahren zu reduzieren und eventuelle Folgen leichter beherrschbar zu machen. Hierfür kommen kontinuierliches Monitoring und Reporting in Kombination mit ausführlichen Dokumentationen und Notfallplänen zum Einsatz.

Standards des Risikomanagements

Effizientes Risikomanagement greift auf bewährte Vorgehensweisen und etablierte Standards zurück. Diese schließen die typischen Fehler selbst entwickelter Vorgehensweisen aus und sorgen für die Einhaltung des aktuellen Stands der Technik. Die Standards helfen, die risikobehafteten und sicherheitsrelevanten Prozesse der IT zu verbessern. Sie stellen Methoden zur Verfügung, ein leistungsfähiges Sicherheits- und Risikomanagement zu definieren und zu realisieren. Grundlegende Standards des IT-Sicherheits- und Risikomanagements sind beispielsweise IT-GS (IT-Grundschutz), ISO/IEC 18028 (IT Netzwerksicherheit), ISO/IEC 27005 (Informationssicherheits-Risikomanagement), ISO/IEC 15816 (Sicherheitsobjekte für Zugriffskontrolle), ISO/IEC 27001 (Informationssicherheit in Organisationen) und viele weitere.

Einzelaspekte des IT-Risikomanagements in der Praxis

Wichtige Einzelaspekte des IT-Risikomanagements in der Praxis sind die physische Sicherheit der IT und die Anwendung kryptographischer IT-Sicherheitsverfahren. Viele IT-Risiken ergeben sich durch die mangelnde physische Sicherheit der IT. Um diese Risiken zu vermeiden, ist auf eine geeignete Unterbringung der IT-Komponenten zu achten, die unbefugten physischen Zugriff auf die Systeme unterbindet und Gefahren durch Feuer oder andere externe Einflussfaktoren reduziert. Das IT-Risikomanagement bewertet die Risiken durch mangelnde physische Sicherheit und sorgt bei unvertretbaren Folgen für die Einhaltung der wesentlichen Standards der physischen Sicherheit.

Viele Risiken in der Datenverarbeitung und elektronischen Kommunikation lassen sich mit kryptographisch abgesicherter Kommunikation zwischen Sender und Empfänger reduzieren. Erfolgreiches Risikomanagement schafft die Basis für Verfahren, die die Integrität, Vertraulichkeit und Authentizität der Daten sicherstellt.

Kommentare werden geladen....

Kommentar zu diesem Artikel

Anonym mitdiskutieren oder einloggen Anmelden

Avatar
  1. Avatar
    Avatar
    Bearbeitet von am
    Bearbeitet von am
    1. Avatar
      Avatar
      Bearbeitet von am
      Bearbeitet von am

Kommentare werden geladen....

Kommentar melden

Melden Sie diesen Kommentar, wenn dieser nicht den Richtlinien entspricht.

Kommentar Freigeben

Der untenstehende Text wird an den Kommentator gesendet, falls dieser eine Email-hinterlegt hat.

Freigabe entfernen

Der untenstehende Text wird an den Kommentator gesendet, falls dieser eine Email-hinterlegt hat.

Aktuelle Beiträge zu diesem Thema

Cyber-Angriffe überfordern Vorstände

Krisenmanagement

Cyber-Angriffe überfordern Vorstände

Laut einer aktuellen Studie zum Thema Cyber-Sicherheit der globalen Risikomanagementberatung Control Risks fühlen sich viele Führungskräfte angesichts der Bedrohungen aus dem Cyberspace überfordert; das denken zumindest die für Sicherheit zuständigenIT-Entscheider. lesen

HPE Software bereitet Unternehmen auf EU-Datenschutzgrundverordnung vor

Starter Kit prüft GDPR-Compliance

HPE Software bereitet Unternehmen auf EU-Datenschutzgrundverordnung vor

Hewlett Packard Enterprise (HPE) Software stellt ein Lösungspaket zur Verfügung, mit dem Unternehmen einen wichtigen ersten Schritt zur Vorbereitung auf die kommende EU-Datenschutzgrundverordnung (General Data Protection Regulation, GDPR) machen können. Das Software-Paket hilft Unternehmen dabei, Informationen, die unter die neue Richtlinie fallen, zu identifizieren, zu klassifizieren und entsprechend zu sichern. lesen

Unternehmensrisiken ganz einfach managen

Security-Startups im Blickpunkt: Alyne

Unternehmensrisiken ganz einfach managen

IT-Risiken nehmen jedes Jahr weiter zu und die Fähigkeit diese effektiv zu verwalten wird von Jahr zu Jahr komplexer. Das RegTech-Startup Alyne will Unternehmen dabei helfen, Risiken so einfach zu managen, wie ein „Like“ in sozialen Netzwerken. Alyne bietet mit seinem Tool einen komfortablen und effektiven Weg, IT-Risiken eines Unternehmens mit verschiedenen Control Sets zu kanalisieren und zu identifizieren. lesen

Risikobewertung für IT-Sicherheit mit Plan

Security-Startups im Blickpunkt: 4strat

Risikobewertung für IT-Sicherheit mit Plan

IT-Sicherheit braucht eine strukturierte und intelligente Planung, sonst verzettelt man seine Ressourcen. In Zeiten von Cloud, IoT, mobile Working und DevOps ist es aber leichter gesagt als getan, die richtigen Schwerpunkte zu setzen. Expertenwissen, komprimiert in cleveren Tools ist daher ein extrem nützliches Hilfsmittel, um in diesem komplexen Feld auf das richtige Pferd zu setzen. lesen

DSGVO und die Folgen für IT-Leiter

Datenschutz

DSGVO und die Folgen für IT-Leiter

Die Datenschutz-Grundverordnung steht vor der Tür, Unternehmen haben nur noch knapp ein Jahr Zeit um die Regelungen umzusetzen. Branchenübergreifend stehen viele Unternehmen immer noch ganz am Anfang. Die Unsicherheit in Unternehmen ist groß, denn die konkrete Umsetzung der neuen Verordnung ist komplex und feste Fahrpläne gibt es nicht. Das ist das Ergebnis des „Juristischen Forum“ von Konica Minolta IT Solutions. lesen

Risikoanalyse für Industrie 4.0

TÜV Nord Security4Safety

Risikoanalyse für Industrie 4.0

Viele Industrie-Unternehmen sind sich unsicher, welche Maßnahmen der IT-Sicherheit für die Entwicklungs-, Herstellungs- und Betreiberprozesse zu treffen sind. Gültige Vorschriften betrachten bisher nur Fragen der Funktionalen Sicherheit (Safety), aber kaum die der Informationssicherheit (Security). Einen ganzheitlichen Sicherheitsansatz gibt es weder als Norm noch als Richtlinie. TÜV Nord will diese Lücke mit der Security4Safety (S4S) Risikoanalyse schließen. lesen

IT-Notfallplanung in 8 Schritten

Risikomanagement

IT-Notfallplanung in 8 Schritten

Es müssen nicht immer gleich Katastrophen sein, wie ein Brand im Rechenzentrum oder ein Hochwasserschaden in der Firma. Auch kleinere Störungen der IT-Systeme, wie der Ausfall eines Servers oder einer anderen Komponente, können die Geschäftsprozesse eines Unternehmens empfindlich stören oder vollständig lahmlegen. Eine strukturierte Notfallplanung ist daher auch für kleine Unternehmen unverzichtbar. lesen

Sicherer Umgang mit Open Source Code

Open Source Security Management

Sicherer Umgang mit Open Source Code

Die Verwendung von Open Source Code in Anwendungen hat sich im Laufe der Jahre dramatisch erhöht. Mittlerweile umfassen Open Source-Komponenten 50 Prozent und mehr von vielen Software-Applikationen. Unternehmen übersehen dabei aber oft die Sicherheitsfragen im Zusammenhang mit Open Source-Anwendungen. Es gibt aber ein paar einfache Tipps, wie Unternehmen ihre Open Source Codebasis besser managen und Sicherheitsrisiken vermeiden können. lesen

SAP will Datentreuhänder bei GCP werden

SAP und Google integrieren Lösungen für Enterprisekunden

SAP will Datentreuhänder bei GCP werden

Zu den strategischen Partnerschaften die Google dieser Tage verkündet zählt auch eine Kooperation mit SAP. Besonders interessant erscheint dabei ein eher beiläufig erwähnter Aspekt. lesen

copyright

Dieser Beitrag ist urheberrechtlich geschützt. Sie wollen ihn für Ihre Zwecke verwenden? Infos finden Sie unter www.mycontentfactory.de (ID: 44751867 / Definitionen)