Definition Risikomanagement in der IT

Was ist Risikomanagement?

| Autor / Redakteur: tutanch / Peter Schmitz

Risikomanagement in der Informationstechnologie hilft Unternehmen dabei, Risiken für den Betriensablauf zu erkennen, zu analysieren, zu bewerten und zu überwachen.
Risikomanagement in der Informationstechnologie hilft Unternehmen dabei, Risiken für den Betriensablauf zu erkennen, zu analysieren, zu bewerten und zu überwachen. (Bild: Pixabay / CC0)

Das Risikomanagement in der Informationstechnologie erkennt, analysiert, bewertet und überwacht die verschiedenen IT-Risiken. Es begleitet den gesamten System-Lebenszyklus der IT und stellt Gegenmaßnahmen oder Notfallpläne für verschiedene Szenarien bereit.

In vielen Unternehmen bilden die IT-Systeme das Rückgrat und die Grundlage für das Funktionieren der Geschäftsmodelle. Probleme mit IT-Systemen können zu enormen Schäden für das betroffene Unternehmen führen. Dies reicht von Produktionsausfällen über Umsatzeinbußen bis hin zur existenziellen Bedrohung des Unternehmens. Zu den möglichen Risiken zählen beispielsweise Hardwareausfälle, Softwarefehler, Datendiebstahl, Datenverlust, Datenmissbrauch oder Spionage.

Da IT-Systeme immer komplexer werden und prinzipiell fehleranfällig sind, ergeben sich zahlreiche Bedrohungsszenarien mit großen Risiken. Um diesen Risiken zu begegnen und mit ihnen umzugehen, kommt das Risikomanagement zum Einsatz. Es umfasst alle Maßnahmen, die möglichen Risiken zu erkennen, zu analysieren, zu bewerten, zu überwachen und sie zu kontrollieren. Das Risikomanagement kommt schon bei der Implementierung der Informationssysteme zur Anwendung und begleitet den kompletten Lebenszyklus aller IT-Komponenten. Dies reicht von der Konzeption über die Entwicklung und Umsetzung bis hin zum Betrieb und der Stilllegung der IT-Systeme.

Ein großes Gefahrenpotential ergibt sich durch das Internet und mögliche Bedrohungen von außen. Durch Hackerangriff können Daten gestohlen, manipuliert oder missbraucht werden. Auch diese Sicherheitsrisiken sind im IT-Risikomanagement zu berücksichtigen. Ziel aller Maßnahmen ist es, die wesentlichen Gefahren für die IT zu minimieren oder beim tatsächlichen Eintreten der Risiken deren Auswirkungen zu begrenzen. Im Optimalfall ist das Unternehmen auf die unterschiedlichen Risiken vorbereitet und hält entsprechende Abwehrmaßnahmen und Notfallpläne bereit.

Allgemeine Vorgehensweise im Risikomanagement

Auch in der IT kommt im Rahmen des Risikomanagements die typische Vorgehensweise des allgemeinen Risikomanagements mit seinen einzelnen Arbeitsschritten zum Einsatz. Im ersten Schritt geht es darum, die verschiedenen Risiken zu identifizieren und zu benennen. Anschließend kann die Analyse und Bewertung der Risiken erfolgen. Die Einzelrisiken werden im Hinblick auf Wahrscheinlichkeit und mögliche Auswirkungen eingeordnet. Hierfür kann eine mehrstufige Matrix verwendet werden, die Eintrittswahrscheinlichkeit und Akzeptanz der Risiken benennt. Mögliche Wahrscheinlichkeiten sind:

  • häufig
  • wahrscheinlich
  • gelegentlich
  • unwahrscheinlich
  • unvorstellbar

Auswirkungen der einzelnen Risiken können sein:

  • katastrophal
  • kritisch
  • akzeptabel
  • unwesentlich

Die Einteilungen können je nach Modell und verwendeter Matrix feiner oder grober sein. Im Rahmen der Klassifizierung der Risiken werden diese unterschiedlichen Auswirkungsklassen wie organisatorisch, rechtlich, technisch, prozessual, wirtschaftlich und weiteren zugeordnet. Die Risikoüberwachung und -beherrschung versucht durch konkrete Maßnahmen, die Eintrittswahrscheinlichkeiten und Gefahren zu reduzieren und eventuelle Folgen leichter beherrschbar zu machen. Hierfür kommen kontinuierliches Monitoring und Reporting in Kombination mit ausführlichen Dokumentationen und Notfallplänen zum Einsatz.

Standards des Risikomanagements

Effizientes Risikomanagement greift auf bewährte Vorgehensweisen und etablierte Standards zurück. Diese schließen die typischen Fehler selbst entwickelter Vorgehensweisen aus und sorgen für die Einhaltung des aktuellen Stands der Technik. Die Standards helfen, die risikobehafteten und sicherheitsrelevanten Prozesse der IT zu verbessern. Sie stellen Methoden zur Verfügung, ein leistungsfähiges Sicherheits- und Risikomanagement zu definieren und zu realisieren. Grundlegende Standards des IT-Sicherheits- und Risikomanagements sind beispielsweise IT-GS (IT-Grundschutz), ISO/IEC 18028 (IT Netzwerksicherheit), ISO/IEC 27005 (Informationssicherheits-Risikomanagement), ISO/IEC 15816 (Sicherheitsobjekte für Zugriffskontrolle), ISO/IEC 27001 (Informationssicherheit in Organisationen) und viele weitere.

Einzelaspekte des IT-Risikomanagements in der Praxis

Wichtige Einzelaspekte des IT-Risikomanagements in der Praxis sind die physische Sicherheit der IT und die Anwendung kryptographischer IT-Sicherheitsverfahren. Viele IT-Risiken ergeben sich durch die mangelnde physische Sicherheit der IT. Um diese Risiken zu vermeiden, ist auf eine geeignete Unterbringung der IT-Komponenten zu achten, die unbefugten physischen Zugriff auf die Systeme unterbindet und Gefahren durch Feuer oder andere externe Einflussfaktoren reduziert. Das IT-Risikomanagement bewertet die Risiken durch mangelnde physische Sicherheit und sorgt bei unvertretbaren Folgen für die Einhaltung der wesentlichen Standards der physischen Sicherheit.

Viele Risiken in der Datenverarbeitung und elektronischen Kommunikation lassen sich mit kryptographisch abgesicherter Kommunikation zwischen Sender und Empfänger reduzieren. Erfolgreiches Risikomanagement schafft die Basis für Verfahren, die die Integrität, Vertraulichkeit und Authentizität der Daten sicherstellt.

Kommentare werden geladen....

Kommentar zu diesem Artikel

Der Kommentar wird durch einen Redakteur geprüft und in Kürze freigeschaltet.

Anonym mitdiskutieren oder einloggen Anmelden

Avatar
Zur Wahrung unserer Interessen speichern wir zusätzlich zu den o.g. Informationen die IP-Adresse. Dies dient ausschließlich dem Zweck, dass Sie als Urheber des Kommentars identifiziert werden können. Rechtliche Grundlage ist die Wahrung berechtigter Interessen gem. Art 6 Abs 1 lit. f) DSGVO.
  1. Avatar
    Avatar
    Bearbeitet von am
    Bearbeitet von am
    1. Avatar
      Avatar
      Bearbeitet von am
      Bearbeitet von am

Kommentare werden geladen....

Kommentar melden

Melden Sie diesen Kommentar, wenn dieser nicht den Richtlinien entspricht.

Kommentar Freigeben

Der untenstehende Text wird an den Kommentator gesendet, falls dieser eine Email-hinterlegt hat.

Freigabe entfernen

Der untenstehende Text wird an den Kommentator gesendet, falls dieser eine Email-hinterlegt hat.

Aktuelle Beiträge zu diesem Thema

Cyberattacken auf deutsche Industrie nehmen stark zu

Bitkom-Studie

Cyberattacken auf deutsche Industrie nehmen stark zu

Die deutsche Industrie steht immer häufiger im Fadenkreuz von Cyberkriminellen: Für gut acht von zehn Industrieunternehmen (84 Prozent) hat die Anzahl der Cyberattacken in den vergangenen zwei Jahren zugenommen, für mehr als ein Drittel (37 Prozent) sogar stark. Das ist das Ergebnis einer Studie des Digitalverbands Bitkom, für die 503 Geschäftsführer und Sicherheitsverantwortliche quer durch alle Industriebranchen repräsentativ befragt wurden. lesen

CISO-Aufgaben lassen sich nicht mehr nebenbei erfüllen

IT-Sicherheitsverantwortlicher ist kein Nebenjob

CISO-Aufgaben lassen sich nicht mehr nebenbei erfüllen

Obwohl die Sicherheitsbedrohungen immer weiter steigen, wird in vielen Unternehmen die Funktion der CISOs nur ergänzend zu weiteren Aufgaben ausgeübt. Das Beratungs­un­ter­neh­men Carmao plädiert deshalb für eine angemessene Neupositionierung der IT-Sicher­heits­verantwortlichen. Um deren Rolle mehr Gewicht zu verleihen, hat Carmao einen neuen CISO Award ins Leben gerufen. lesen

Industrie vertraut auf IT-Sicherheitsexperten

Bitkom-Umfrage im produzierenden Gewerbe

Industrie vertraut auf IT-Sicherheitsexperten

Für die deutsche Industrie sind IT-Sicherheits­experten der beste Schutz gegen Cyber­attacken. Jedes Industrieunternehmen (100 Prozent) hält qualifizierte IT-Sicherheits­kräfte für eine geeignete Maßnahme, um sich gegen Datendiebstahl, Industrie­spionage oder Sabotage zu wappnen, 77 Prozent sehen dies als sehr geeignet. Das zeigt eine Studie des Digitalverbands Bitkom. lesen

Nachhaltige Prävention, statt Reaktion auf Cyber-Gefahren

Sustainable Cyber Resilience

Nachhaltige Prävention, statt Reaktion auf Cyber-Gefahren

Durch Digitalisierung und Vernetzung hat sich die für Cyberkriminelle ausnutzbare Angriffsfläche bei Unternehmen vergrößert. Für Unternehmen wird es daher unverzichtbar, einen Zustand der „Sustainable Cyber Resilience“ zu erreichen, der nachhaltigen Widerstandsfähigkeit. Schwachstellen-Management ist dafür ein unverzichtbarer Faktor. lesen

Netzwerkfähige Produkte bedürfen neuer Zertifizierung

Produktzertifizierungen

Netzwerkfähige Produkte bedürfen neuer Zertifizierung

Heute sind bereits viele Geräte an das Internet angeschlossen – Tendenz steigend. Das bringt völlig neue Herausforderungen für die Hersteller, die jetzt auch die Cybersicherheit ihrer Produkte berücksichtigen müssen. lesen

Was ist Bedrohungsanalyse?

Definition Bedrohungsanalyse

Was ist Bedrohungsanalyse?

Die Bedrohungsanalyse ist ein Teilbereich des Risikomanagements und der Risikoanalyse. Mithilfe der Bedrohungsanalyse lassen sich die verschiedenen Bedrohungen für IT-Systeme und IT-Prozesse systematisch erfassen, strukturieren und bewerten. Es handelt sich dabei nicht um einen einmaligen, sondern einen sich wiederholenden Prozess. lesen

Wie Sie die Herausforderungen meistern

Security für Medizingeräte

Wie Sie die Herausforderungen meistern

Gerade in der Medizinelektronik muss für die eingebettete Software ein hohes Maß an Security gelten. Dabei müssen nicht nur Zertifizierungsauflagen und gesetzliche Bestimmungen, sondern auch spezielle Konditionen der Einsatzorte des medizintechnischen Geräts im Auge behalten werden. lesen

Was ist Business Continuity?

Definition Business Continuity

Was ist Business Continuity?

Im Rahmen der Business Continuity sind Maßnahmen und Prozesse beschrieben, die den IT-Betrieb unter Krisensituationen aufrecht erhalten oder den problemlosen Anlauf nach einem Ausfall sicherstellen sollen. Business Continuity soll Risiken und Schäden für Unternehmen und Organisationen minimieren. lesen

Risikomanagement optimiert das ISMS für mehr Sicherheit

Risikobasierte Information Security Management Systeme

Risikomanagement optimiert das ISMS für mehr Sicherheit

Sechs von zehn Unternehmen in Deutschland haben nach eigenen Angaben eine aktuelle IT-Sicherheitsstrategie formuliert dokumentiert und verabschiedet. Viele versäumen allerdings, die einzelnen Maßnahmen risikobasiert abzustufen. Damit verplanen sie Ressourcen an wenig riskanten Stellen, die an Hochrisikoprozessen und an Schnittstellen dringend benötigt werden. Bewährt hat sich ein mit den Gesamtzielen verzahntes Sicherheitskonzept. lesen

copyright

Dieser Beitrag ist urheberrechtlich geschützt. Sie wollen ihn für Ihre Zwecke verwenden? Infos finden Sie unter www.mycontentfactory.de (ID: 44751867 / Definitionen)