Definition Risikoanalyse im IT-Umfeld Was ist Risikoanalyse in der IT?

Die Risikoanalyse verfolgt einen systematischen Ansatz zur Identifikation und Bewertung von Risiken. Im IT-Umfeld befasst sich die Risikoanalyse mit Risiken rund um die IT-Systeme, IT-Anwendungen und Daten. Beispielrisiken sind Daten- oder Funktionsverlust.

Anbieter zum Thema

Mimecast Germany GmbH

Rapid7 Germany

TXOne Networks

Die Risikoanalyse, im Englischen threat and risk assessment, kann in verschiedensten Bereichen zum Einsatz kommen. Sie identifiziert und bewertet die möglichen Risiken in Unternehmen und Organisationen. Im Umfeld der Informationstechnik befasst sie sich mit methodischen und strukturierten Verfahren, um Gefahren und Bedrohungen zu benennen und zu bewerten, denen die informationsverarbeitenden Systeme ausgesetzt sind oder die durch sie verursacht werden.

Im Rahmen der Analyse lassen sich Schwachstellen ausfindig machen, die technischen oder menschlichen Ursprungs sind. Die methodischen Verfahren der Risikoanalyse liefern quantitative oder qualitative Wahrscheinlichkeiten für Ausfälle und Gefährdungen. In Unternehmen stehen bei der Risikoanalyse die möglichen Kosten und Konsequenzen, die ein Ausfall der IT oder ein Datenverlust verursachen, im Fokus. Ziel ist es, durch die Identifikation der Risiken und ihrer Einordnung Maßnahmen zu entwickeln, die Wahrscheinlichkeit ihres Eintretens zu minimieren und die möglichen Auswirkungen auf das Unternehmen oder die Organisation zu reduzieren. Hierfür werden eigene Risikomanagementprozesse aufgesetzt, für die die Risikoanalyse einen wesentlichen Teil einnimmt und wichtige Ergebnisse liefert.

Die Phasen der Risikoanalyse

Bei der Risikoanalyse werden mehrere Phasen nacheinander durchlaufen. Diese Phasen sind:

• 1. die Identifikation der Risiken

• 2. die Beurteilung der Eintrittswahrscheinlichkeiten

• 3. die Abschätzung der Folgen und konkreten Schäden

• 4. die Aggregation von Risiken zur Bestimmung des Gesamtumfangs

Nachdem ein Risiko identifiziert ist, wird anschließend die Eintrittswahrscheinlichkeit für das Risiko näher bestimmt. Im nächsten Schritt geht es darum, die möglichen Auswirkungen und Folgen für das Unternehmen oder die Organisation zu ermitteln. Diese Auswirkungen können beispielsweise durch den Verlust der Verfügbarkeit, Integrität, Authentizität oder Vertraulichkeit der Daten oder durch Verlust wichtiger Systemfunktionen eintreten. Mögliche Auswirkungen sind die Schädigung des Unternehmensrufs, Imageverlust, Kosten für Reparaturen, rechtliche Auseinandersetzungen, Strafgebühren, Verlust von Marktanteilen, Umsatz- und Gewinneinbrüche, eine demotivierte Belegschaft oder hohe Personalfluktuation.

Das tatsächliche Risiko ergibt sich aus dem Ergebnis der Multiplikation von Eintrittswahrscheinlichkeit und Höhe des Schadens. Als letzte Phase kann sich die Bestimmung des Gesamtumfangs durch die Aggregation von mehreren Risiken anschließen.

Unterschiede zwischen qualitativer und quantitativer Risikobewertung

Bei der Bewertung von Risiken kann grundsätzlich zwischen qualitativer und quantitativer Bewertung unterschieden werden. Die quantitative Risikobewertung nutzt eine numerische Skala zur Klassifikation. Mit Hilfe dieser numerischen Werte kann das tatsächliche Risiko sehr einfach durch die Multiplikation mit der Eintrittswahrscheinlichkeit ermittelt werden. Die qualitative Bewertung versucht eher einen Gesamteindruck über ein bestimmtes Risiko zu gewinnen. Das Verfahren verwendet daher keine numerischen Werte, sondern subjektive Einteilungen wie hoch, mittel oder niedrig.

Die Risikoanalyse und der IT-Grundschutz des BSI

Der IT-Grundschutz des Bundesamtes für Sicherheit in der Informationstechnik (BSI) sieht keine individuelle Risikoanalyse vor. Zur Umsetzung der Standard-Sicherheit in der IT genügen in der Regel die Maßnahmen für die in den BSI-Standards und IT-Grundschutzkatalogen beschriebenen typischen Risiken von IT-Systemen. Erfordert die IT jedoch einen besonderen Schutz oder sind die Risiken nicht in den Standard-Dokumenten beschrieben, bietet der BSI-Standard 100-3 eine Risikoanalyse auf der Basis von IT-Grundschutz.

Die Risikoanalyse schließt sich in diesem Fall nahtlos der IT-Grundschutzanalyse an und richtet sich an Anwender der Informationstechnik wie Sicherheitsverantwortliche oder Sicherheitsbeauftragte oder an externe Berater und Sicherheitsexperten. In vielen Fällen ist es empfehlenswert, die Risikoanalyse durch externe Experten durchführen zu lassen. In einer Ergänzung zum BSI-Standard 100-3 beschreibt der BSI, wie die elementaren Gefährdungen bei der Risikoanalyse zu verwenden sind. Die Risikoanalyse im Rahmen des IT-Grundschutzes des BSI ist zu verwenden, wenn erhöhte Sicherheitsanforderungen bestehen, Anwendungen oder Systeme betrieben werden, die nicht in den IT-Grundschutzkatalogen behandelt sind oder Szenarien zum Einsatz kommen, die im IT-Grundschutz nicht vorgesehen sind.

(ID:44895097)