Risk-Assessment & -Treatment Maßnahmen zur Risikoanalyse und Risikobehandlung

Anbieter zum Thema

Arvato Systems

Rapid7 Germany

TXOne Networks

Bei der stetig steigenden Verlagerung von Wertschöpfung in die digitale Welt entstehen zwangsläufig neue Risiken. Diese Risiken gilt es zu identifizieren, analysieren, bewerten und zu behandeln. Ein Risikomanagement bildet bei Anwendung der Inhalte aus dem Standard ISO/IEC 27005 ein kontextbasiertes, theoretisches Vorgehensmodell, frei verfügbare Control Frameworks und Modelle unterstützen bei der praktischen Umsetzung bis hin zur Sicherung von Evidenzen.

Initial ist es unerlässlich, die individuellen Unternehmenswerte (Assets) zu kennen und aktiv zu managen. Der Standard unterscheidet zwischen Primary Assets (business-relevante Prozesse und Aktivitäten) und Supporting Asssets (Gebäudeinfrastruktur, Menschen, Reputation, Services, Hardware, Software, Industrial Control Systems, Shopfloor-Systeme, IoT-Devices, …). Letztere weisen Schwachstellen auf, die von Bedrohungen ausgenutzt werden können und darauf abzielen, die Primary Assets zu beeinträchtigen.

Oft liegen diese Informationen bereits in Form von Ergebnissen einer Business-Impact-Analyse, verschiedener Brainstorming-Sessions oder aus dem Business-Continuity-Management vor. Wichtig ist, die Informationen unvoreingenommen und neutral zu erarbeiten, z. B. können identifizierbare „Wissen- und Kopfmonopole“ Primary Assets darstellen - beispielsweise wenn die komplette Administration der IT einer Person im Unternehmen obliegt oder ein Mitglied der Unternehmensleitung exklusive, tiefgreifende Details zur einer Kunden- oder Lieferantenbeziehung („seit der Unternehmensgründung über die Jahre so gewachsen“) besitzt.

Mapping auf Schutzziele

Wichtig ist, fundiert und reproduzierbar beurteilen zu können, welche Auswirkungen der Verlust bzw. die Beeinträchtigung der Vertraulichkeit, Integrität und Verfügbarkeit und möglicher weiterer Schutzziele auf der Basis finanzieller und nicht finanzieller Parameter auf den Geschäftsbetrieb haben. Spätestens hier wird klar, dass Informations­sicherheits­risiko nur ein Teil des (übergreifenden) Unternehmens­risiko­managements sein kann. Ein Grund dafür ist, dass mit steigendem Digitalisierungsgrad die Grenzen von Finanz-, Geschäfts- und operationeller Risiken zunehmend verschwimmen.

Bedrohungskataloge

Die Vorgehensweise „nah am Standard“ sieht die Verwendung eines Bedrohungskatalogs vor. Entsprechende Ansätze bis hin zu konkreten Beispielen für den Inhalt eines solchen Katalogs liefert der Annex C des Standards, aber auch andere Quellen, wie z. B. der Grundschutzkatalog des BSI mit den sog. Elementargefährdungen. Hinsichtlich der möglichen Bewertung von Risiken im Zusammenhang mit Cloud-Computing liefern die Informationen und Werkzeuge der Cloud Security Alliance wertvolle Unterstützung. Neben der „internen Sichtweise“ muss bei der Klassifizierung der Assets auch die Beziehung zu Lieferanten und Kunden betrachtet werden, Stichwort 3rd party risk.

Wichtig ist, dass die Inhalte der Bedrohungskataloge jederzeit reproduzierbar, durch Dritte nachvollziehbar und plausibel sind und der stetigen Weiterentwicklung innerhalb der Organisation unterliegen. Nur so kann der angestrebte Verbesserungsprozess fundierte und belegbare Ergebnisse liefern.

Risikoanalyse

Die Art der Risikoanalyse (Identifizierung und Bewertung) kann abhängig von der Kritikalität der betrachteten Assets bzw. der Komplexität der zu analysierenden Risikoszenarien durchgeführt werden und muss im Vorfeld bestimmt werden. Die Anwendung einer qualitativen Risikoanalyse verwendet eine Skala qualifizierbarer Attribute, die das subjektive Ausmaß möglicher Konsequenzen (niedrig, mittel, hoch) und die Wahrscheinlichkeit des Auftretens dieser Konsequenzen beschreiben. Die quantitative Risikoanalyse verwendet mathematische und finanzielle Analysen, indem jeder Komponente der Risikobewertung ein objektiver Wert für den potentiellen Verlust zugewiesen wird. Wichtig ist bei beiden Arten, einen Verantwortlichen für die Prozessdurchführung zu benennen, sowie die jeweiligen Asset- und Risk-Owner in den Analyseprozess aktiv einzubinden.

Risikobehandlung

Die ISO/IEC 27005 bietet 4 Optionen, mit einem Risiko umzugehen (Vermeiden, Akzeptieren, Verlagern, Reduzieren). Das vollständige Vermeiden von Risiken kann in den meisten Fällen nur durch Eliminierung der Quelle(n) realisiert werden. Erfüllt das Risiko die in Risikoakzeptanzkriterien, kann des akzeptiert werden. Möglicherweise kann es verlagert werden, z. B. an eine externe, fachliche Instanz (Outsourcing) oder eine Cyber-Versicherung. In beiden Fällen gilt es für den Auftraggeber, die geschlossenen Vertragswerke auf die Vereinbarung von Ausschlussklauseln und Verbindlichkeiten zu prüfen und auszurichten. In der Vielzahl der Fälle wird die Risikobehandlung aber darin bestehen, ein identifiziertes und kategorisiertes Risiko auf Basis eines Risk-Treatement-Plans zu reduzieren. Ziel ist es u. a., Verantwortliche und Beteiligte zu benennen sowie den Fortschritt bzw. den Reifegrad gegenüber den Inhalten/Zielen des Plans messbar zu gestalten bzw. zu überwachen.

Standards und Frameworks unterstützen

Dahingehend unterstützt die ISO/IEC 27001 mit möglichen Maßnahmen in Annex A. Beispielsweise unterstützen bei der Erstellung von Richtlinien und bei Behandlung von Sicherheitsvorfällen die Inhalte von A.16 In diesem Fall wäre „Lack of monitoring mechanisms“ eine Schwachstelle, „Illegal processing of data“ die Bedrohung, mögliche Maßnahmen werden im Artikel „Strukturierte Planung einer Incident Response Readiness“ beschrieben.

Ein weiteres Informationssicherheitsziel könnte sein, den Umsetzungs- bzw. Reifegrad von Passwort-Standards und sicherheitsrelevanter Systemkonfigurationen auf Linux-basierten Server-Systemen schrittweise zu erhöhen. Für diesen Fall kann beispielsweise auf Werkzeuge des Center for Internet Security aufgesetzt werden, die u. a. konkrete Hardening-Maßnahmen im Detail beschreiben.

Verlässlichkeit der Evidenzen

Organisationen sollten, insbesondere bei einer möglicherweise angestrebten Zertifizierung nach ISO/IEC 27001, dazu übergehen, die Nachweise für Umsetzungs- bzw. Reifegrade von Maßnahmen zuverlässig und objektiv zu erbringen. Auch die Verfolgung möglicher Nonkonformitäten aus internen oder externen Audits stellt dahingehend entsprechende Erwartungen. Bei der Zuordnung der Zuverlässigkeit der Beweise und Nachweise kann beispielsweise auf das Modell des American Insitute of Certified Public Accountants zurückgegriffen werden.

Im Fall der oben beschriebenen Szenario (Informationssicherheitsziele Linux-basierter Systeme) liefern die CIS Werkzeuge, an das AICPA-Modell angelehnt, über möglicherweise lediglich verbal erhobene, subjektiv ermittelte Evidenzen hinaus:

• Verlässliche, analytische Evidenzen (quelloffene Programme zur Erhebung relevanter Informationen auf den Zielsystemen)

• Verlässliche, technische Evidenzen (objektiv ermittelte, genaue Anzahl nicht-richtlinienkonformer Systeme)

• Verlässliche, mathematische Evidenzen (Steigerung der Anzahl der richtlinienkonformen Systeme von X% auf Y% im Zeitraum Z, Visualisierung via Dashboard)

Über den Autor: Markus Thiel unterstützt Organisationen bei Fragenstellungen zu ISMS, SIEM/SOC, Incident Response Management und risiko-orientierten Awareness-Trainings.

(ID:47061710)