Bauchgefühl und IT-Risiko sind eine gefährliche Kombination Bessere Risikoeinschätzung durch semi-quantitatives Risikomanagement

Anbieter zum Thema

sysob IT-Distribution GmbH & Co. KG

Arvato Systems

Fujitsu Technology Solutions GmbH

In der heutigen Zeit, in der die anhaltenden Krisen und der damit verbundene Kostendruck alle Bereiche eines Unternehmens immer mehr fordern, wird es auch für das IT-Risikomanagement Zeit die Effektivität weiter zu steigern, ohne sich dabei selbst zu Widersprechen und dort Kosten zu sparen, wo sie benötigt werden, in der IT-Sicherheit. Wie schaffen es Unternehmen einen noch besseren Kosten-Nutzen-Faktor für das IT-Risikomanagement zu verwirklichen.

Wer als Informationssicherheitsverantwortlicher dieser Tage sein Planungsbudget für das kommende Jahr nicht verteidigen muss, kann sich glücklich schätzen. Die finanziellen Folgen der anhaltenden Krisen der letzten Jahre, zwingen Unternehmen Einsparungen vorzunehmen, um lieferfähig zu bleiben und die strategischen Ziele weiter im Blick behalten zu können. Auch in der Informationssicherheit werden Ausgaben stärker reduziert. Zugleich steigen jedoch die Bedrohungen durch Cyberangriffe. Dieses diametrale Bild lässt sich in der Regel nur bedingt auflösen, ohne dabei nachvollziehbar auf akute Risiken zu verweisen.

Security-Insider Podcast – Folge 67

So managen Sie das unbekannte Risiko

Wie jedoch einem finanzgetriebenen Vorstand die Dringlichkeit einer Zero-Trust-Infrastruktur und die damit verbunden Kosten erläutern, ohne finanzielle Fakten aufzeigen zu können? Das Risikomanagement ist eine Methodik, um genau dies zu tun. Ein Werkzeug, welches es der Unternehmensleitung ermöglicht, Kosten-Nutzen-Entscheidungen auf Basis ermittelter Prognosen leichter treffen zu können und somit die strategischen Ziele des Unternehmens optimal voranzutreiben. Es ist daher die Aufgabe der Informationssicherheitsverantwortlichen, die Risiken für das Unternehmen transparent und möglichst genau darzustellen. Die Risiken sollten in einer Form kommuniziert werden, welche es der Unternehmensleitung erlaubt, unkompliziert Risiken in einen unternehmerischen Kontext setzten zu können. Hierzu können verschiedene Ansätze gewählt werden. Wir wollen nachfolgend die zwei gängigsten Ansätze darstellen und einen zusätzlichen, ergänzenden Ansatz vorstellen, welcher Informationssicherheitsverantwortlichen bei der Bewältigung ihrer Herausforderungen unterstützen kann.

Qualitatives Risikomanagement

Der erste Ansatz, welcher sich für die meisten Unternehmen bewährt hat, ist der des qualitativen Risikomanagement. Dabei wird die (finanzielle) Auswirkung und die Eintrittswahrscheinlichkeit von Risiken aufgrund von Erfahrung und einem gewissen Bauchgefühl bestimmt. Dieser Ansatz ist am leichtesten umzusetzen jedoch auch mit einer gewissen Unschärfe verbunden.

Quantitatives Risikomanagement

Das zweite Mittel der Wahl kann dabei ein quantitativer Risikomanagementansatz sein, welcher Risiken monetär darstellt. Das Open FAIR Model beschreibt einen solchen Ansatz. Es stellt eine Faktor-Analyse für Informationsrisiken dar und hat sich über die Jahre als eine verlässliche Methode erwiesen, der Komplexität im Bereich Cyber- und Information Security zu begegnen.

Im Gegensatz zum qualitativen Riskmanagement werden dazu jedoch genaue Zahlen und Daten benötigt, die sich grundsätzlich über drei Arten ermitteln lassen:

• 1. Historische Daten: Messen und auswerten von Daten, Systemen oder Prozessen für eine genaue Ermittlung von vergleichbaren Werten.

• 2. Szenarienbasierte Daten: Stehen keine Daten zu Verfügung, kann die Betrachtung von fiktiven Szenarien dabei helfen, Daten zu generieren. Dabei kann anhand von erarbeiteten Modellen vorgegangen werden.

• 3. Externe Quellen: In manchen Fällen können Daten aus Quellen außerhalb der eigenen Organisation verwendet werden.

• 4. Diese Methodik ist sehr ressourcenintensiv und verlangt eine entsprechende Datengrundlage, gewinnt man jedoch den erhoffen Mehrwert, ist eine quantifizierbare Methodik wie Open FAIR ein Instrument, welches Sicherheitsverantwortlichen die Möglichkeit bietet, wirtschaftlicher und transparenter mit Risiken umzugehen.

Gegenüberstellung des qualitativen und quantitativen Ansatzes:

Vergleichen wir das qualitative und quantitative Risikomanagement, so stellen wir fest, dass die qualitative Methode relativ einfach und mit überschaubarem Aufwand verbunden ist, jedoch schwammige Ergebnisse liefert. Dahingegen kann eine quantitative Methode schon fast wissenschaftliche Züge annehmen. Der Aufwand, der mit quantitativen Methoden verbunden ist, muss durch jedes Unternehmen in punkto Kosten/Nutzen genaustens hinterfragt werden. Die Ergebnisse sind monetärer Natur und lassen sich gut weiterverarbeiten, doch ob dies am Ende einen erhöhten Mehrwert bietet, ist offen.

Es stellt sich die Frage: Gibt es nicht etwas zwischen den „Extremen“, einen Mittelweg?

" In Gefahr und größter Not bringt der Mittelweg den Tod“
(Friedrich von Logau)

Semi-Quantitatives Risikomanagement

In diesem Fall ist ein Mittelweg eine sehr gute Lösung, um Problemen der Informations­sicherheits­verantwortlichen zu begegnen. Die Lösung ist eine Kombination der Vorteile des qualitativen und quantitativen Risikomanagement. Risiken lassen sich dadurch besser einschätzen und zugleich ist der Mehraufwand überschaubar. Nutzt ein Unternehmen die weit verbreitete qualitative Risikoanalyse können quantitative Analysen teilweise integriert werden. Risikomanagement­systeme bleiben so schlank und überschaubar in ihrer Komplexität. Zugleich könnten jedoch, durch die Verwendung von quantitativen Ansätzen, für Kernfragen präzisere Ergebnisse erzielt werden, welche die Qualität des Risikomanagements beträchtlich erhöhen. Risikomanager können sich auf strategische Risiken fokussieren und Entscheidern in ihrer eigenen “Business Sprache” begegnen, was die Akzeptanz erhöht.

Im Bereich der Informationssicherheit sind Entscheider häufig mit horrenden Summen und unklaren Sicherheitsniveaus konfrontiert und gezwungen qualitative und quantitative Argumente gegenüberzustellen. Besonders herausfordernd ist dies, wenn die beteiligten Entscheider nicht im Bereich des Risikomanagements tätig sind. Das fehlende Fachverständnis führt dazu, dass Entscheidungen zu Freigaben oder Investitionen rein aus einem Bauchgefühl heraus getroffen werden.

Risikomanager können hier unterstützen, indem sie spezifische Risiken einer quantitativen Risikobewertung unterziehen, um den Entscheidern harte Zahlen und vergleichbare Daten zu liefern auf deren Basis nachvollziehbare Argumente abgewogen werden können und somit „bessere“ Entscheidungen getroffen werden können.

Hierbei kann z. B. szenarienbasiert vorgegangen werden. Ein solches Szenario könnte das Risiko eines Ransomware-Angriffs sein. Diese erfreuen sich bei Cyber-Kriminellen seit Jahren steigender Beliebtheit, wodurch sich immer mehr Unternehmen gezwungen sehen, auf dieses Risiko zu reagieren. Damit verbunden können weitreichende Änderungen der Sicherheitsarchitektur und Erweiterungen des Notfallmanagements sein. Um die damit verbundenen hohen Investitionen leichter rechtfertigen zu können, kann ein quantitatives Risiko-Assessment angestrengt werden.

Zur Ermittlung der Eintrittswahrscheinlichkeit und Schadenshöhe können Untersuchungen, Testläufe, Penetrationstests, Phishing Kampanien aber auch Scans auf verschiedensten Ebenen durchgeführt werden. Die erhaltenen Werte können mit Geschäftsprozess- und Service-Verantwortlichen mit Hilfe der Delphi-Methode analysiert und in ihrer Qualität weiter gesteigert werden.

Zusätzlich lässt sich die Methodik wiederverwenden, was den Aufwand reduziert, somit Ressourcen schont und Ergebnisse messbar und vergleichbar macht.

Fazit

Die Fehleinschätzung von Risiken über das Bauchgefühl wird durch die Kombination des qualitativen und quantitativen Risikomanagements deutlich reduziert. Das Informationssicherheits-Risikomanagement sollte nicht als starres Korsett verstanden werden, welches den immer gleichen Regeln folgt, unabhängig vom betrachteten Rahmen oder Ziel. Das Ziel eines Informationssicherheits-Risikomanagements ist es neben der Sicherung des Fortbestands des Unternehmens, auch adäquate Methoden zu verwenden, die es erlauben, je nach gewünschter Transparenz, das Risiko des Unternehmens darzustellen. Abhängig von der eingesetzten Methodik kann dies genauer oder ungenauer erfolgen. Jedoch kann durch eine geschickte Kombination unterschiedlicher Methoden, die zu investierende Zeit verringert werden und die Qualität der Risikoeinschätzungen gesteigert werden.

Über die Autoren

Tim Du ist Experte für Risikomanagement, Informationssicherheit und IT-Governance und berät national, als auch international, privatwirtschaftliche Unternehmen sowie Behörden auf diesen Gebieten. Dabei legt er Wert auf eine nachhaltige Operationalisierung, um Sicherheitselemente kulturell und pragmatisch in bestehenden Strukturen zu verankern. „Sicherheit darf nicht als Last oder Behinderung empfunden werden, sondern muss von jedem Teil der Organisation verstanden, akzeptiert und gelebt werden.“ Als zertifizierter ISO 27001 Lead Auditor und langjähriger Berater im Bereich der Informationssicherheit hat er schon viele Unternehmen bei der Absicherung ihrer Informationswerte unterstützt.

Bernhard Otter beriet in den Themenfeldern IT-Risikomanagement, Informationssicherheit, IT-Governance- und Prozessmanagement. Zu seinen Klienten zählten unter anderem Konzerne aus dem Paketdienstleistungsbereich, privatwirtschaftliche Unternehmen aus der Telekommunikationsbranche und der Industrie, sowie staatliche Behörden und Ministerien. Er sorgte als Projektleiter für die Umsetzung von Maßnahmen, um in privatwirtschaftlichen Unternehmen und Behörden, nach den jeweils geltenden Standards, die Informationssicherheit nachhaltig zu verbessern. Bernhard Otter selbst sagt: „Nur nachhaltige Lösungen können auch in Zukunft die Informationen von Unternehmen schützen. Diese sind unabhängig von Krisenzeiten!“ Mit seiner Erfahrung als zertifizierter ISO 27001 Lead Auditor und zahlreichen Projekten im Bereich der Informationssicherheit beriet er jahrelang eine Vielzahl von Unternehmen.

(ID:49055001)