Definition Risikomanagement in der IT

Was ist Risikomanagement?

| Autor / Redakteur: Stefan Luber / Peter Schmitz

Risikomanagement in der Informationstechnologie hilft Unternehmen dabei, Risiken für den Betriensablauf zu erkennen, zu analysieren, zu bewerten und zu überwachen.
Risikomanagement in der Informationstechnologie hilft Unternehmen dabei, Risiken für den Betriensablauf zu erkennen, zu analysieren, zu bewerten und zu überwachen. (Bild: Pixabay / CC0)

Das Risikomanagement in der Informationstechnologie erkennt, analysiert, bewertet und überwacht die verschiedenen IT-Risiken. Es begleitet den gesamten System-Lebenszyklus der IT und stellt Gegenmaßnahmen oder Notfallpläne für verschiedene Szenarien bereit.

In vielen Unternehmen bilden die IT-Systeme das Rückgrat und die Grundlage für das Funktionieren der Geschäftsmodelle. Probleme mit IT-Systemen können zu enormen Schäden für das betroffene Unternehmen führen. Dies reicht von Produktionsausfällen über Umsatzeinbußen bis hin zur existenziellen Bedrohung des Unternehmens. Zu den möglichen Risiken zählen beispielsweise Hardwareausfälle, Softwarefehler, Datendiebstahl, Datenverlust, Datenmissbrauch oder Spionage.

Da IT-Systeme immer komplexer werden und prinzipiell fehleranfällig sind, ergeben sich zahlreiche Bedrohungsszenarien mit großen Risiken. Um diesen Risiken zu begegnen und mit ihnen umzugehen, kommt das Risikomanagement zum Einsatz. Es umfasst alle Maßnahmen, die möglichen Risiken zu erkennen, zu analysieren, zu bewerten, zu überwachen und sie zu kontrollieren. Das Risikomanagement kommt schon bei der Implementierung der Informationssysteme zur Anwendung und begleitet den kompletten Lebenszyklus aller IT-Komponenten. Dies reicht von der Konzeption über die Entwicklung und Umsetzung bis hin zum Betrieb und der Stilllegung der IT-Systeme.

Cyber Risk Management

eBOOK

Cyber Risk Management

Das Risikomanagement ist eine zentrale Aufgabe für jeden CISO oder IT-Sicherheitsverantwortlichen. Das Cyber Risk Management muss alle Cyber-Bedrohungen für ein Unternehmen erfassen und bewerten, denn das größte Risiko sind nicht erkannte Risiken. weiter...

Ein großes Gefahrenpotential ergibt sich durch das Internet und mögliche Bedrohungen von außen. Durch Hackerangriff können Daten gestohlen, manipuliert oder missbraucht werden. Auch diese Sicherheitsrisiken sind im IT-Risikomanagement zu berücksichtigen. Ziel aller Maßnahmen ist es, die wesentlichen Gefahren für die IT zu minimieren oder beim tatsächlichen Eintreten der Risiken deren Auswirkungen zu begrenzen. Im Optimalfall ist das Unternehmen auf die unterschiedlichen Risiken vorbereitet und hält entsprechende Abwehrmaßnahmen und Notfallpläne bereit.

Allgemeine Vorgehensweise im Risikomanagement

Auch in der IT kommt im Rahmen des Risikomanagements die typische Vorgehensweise des allgemeinen Risikomanagements mit seinen einzelnen Arbeitsschritten zum Einsatz. Im ersten Schritt geht es darum, die verschiedenen Risiken zu identifizieren und zu benennen. Anschließend kann die Analyse und Bewertung der Risiken erfolgen. Die Einzelrisiken werden im Hinblick auf Wahrscheinlichkeit und mögliche Auswirkungen eingeordnet. Hierfür kann eine mehrstufige Matrix verwendet werden, die Eintrittswahrscheinlichkeit und Akzeptanz der Risiken benennt. Mögliche Wahrscheinlichkeiten sind:

  • häufig
  • wahrscheinlich
  • gelegentlich
  • unwahrscheinlich
  • unvorstellbar

Auswirkungen der einzelnen Risiken können sein:

  • katastrophal
  • kritisch
  • akzeptabel
  • unwesentlich

Die Einteilungen können je nach Modell und verwendeter Matrix feiner oder grober sein. Im Rahmen der Klassifizierung der Risiken werden diese unterschiedlichen Auswirkungsklassen wie organisatorisch, rechtlich, technisch, prozessual, wirtschaftlich und weiteren zugeordnet. Die Risikoüberwachung und -beherrschung versucht durch konkrete Maßnahmen, die Eintrittswahrscheinlichkeiten und Gefahren zu reduzieren und eventuelle Folgen leichter beherrschbar zu machen. Hierfür kommen kontinuierliches Monitoring und Reporting in Kombination mit ausführlichen Dokumentationen und Notfallplänen zum Einsatz.

Standards des Risikomanagements

Effizientes Risikomanagement greift auf bewährte Vorgehensweisen und etablierte Standards zurück. Diese schließen die typischen Fehler selbst entwickelter Vorgehensweisen aus und sorgen für die Einhaltung des aktuellen Stands der Technik. Die Standards helfen, die risikobehafteten und sicherheitsrelevanten Prozesse der IT zu verbessern. Sie stellen Methoden zur Verfügung, ein leistungsfähiges Sicherheits- und Risikomanagement zu definieren und zu realisieren. Grundlegende Standards des IT-Sicherheits- und Risikomanagements sind beispielsweise IT-GS (IT-Grundschutz), ISO/IEC 18028 (IT Netzwerksicherheit), ISO/IEC 27005 (Informationssicherheits-Risikomanagement), ISO/IEC 15816 (Sicherheitsobjekte für Zugriffskontrolle), ISO/IEC 27001 (Informationssicherheit in Organisationen) und viele weitere.

Cyber-Risiken erkennen, bewerten und abwehren

Neues eBook „Cyber Risk Management“

Cyber-Risiken erkennen, bewerten und abwehren

02.04.19 - Das Cyber Risk Management bildet die Basis für die Cyber Security Strategie eines Unternehmens. Lücken im Cyber Risk Management führen deshalb zu einer unvollständigen Cyber-Sicherheit. Das neue eBook erklärt, was alles zu den Cyber-Risiken gerechnet werden muss, wie die Risiken im Cyber-Raum priorisiert werden können und warum die Cyber-Abwehr mehr als reine Technik umfasst. lesen

Einzelaspekte des IT-Risikomanagements in der Praxis

Wichtige Einzelaspekte des IT-Risikomanagements in der Praxis sind die physische Sicherheit der IT und die Anwendung kryptographischer IT-Sicherheitsverfahren. Viele IT-Risiken ergeben sich durch die mangelnde physische Sicherheit der IT. Um diese Risiken zu vermeiden, ist auf eine geeignete Unterbringung der IT-Komponenten zu achten, die unbefugten physischen Zugriff auf die Systeme unterbindet und Gefahren durch Feuer oder andere externe Einflussfaktoren reduziert. Das IT-Risikomanagement bewertet die Risiken durch mangelnde physische Sicherheit und sorgt bei unvertretbaren Folgen für die Einhaltung der wesentlichen Standards der physischen Sicherheit.

Viele Risiken in der Datenverarbeitung und elektronischen Kommunikation lassen sich mit kryptographisch abgesicherter Kommunikation zwischen Sender und Empfänger reduzieren. Erfolgreiches Risikomanagement schafft die Basis für Verfahren, die die Integrität, Vertraulichkeit und Authentizität der Daten sicherstellt.

Kommentare werden geladen....

Kommentar zu diesem Artikel

Der Kommentar wird durch einen Redakteur geprüft und in Kürze freigeschaltet.

Anonym mitdiskutieren oder einloggen Anmelden

Avatar
Zur Wahrung unserer Interessen speichern wir zusätzlich zu den o.g. Informationen die IP-Adresse. Dies dient ausschließlich dem Zweck, dass Sie als Urheber des Kommentars identifiziert werden können. Rechtliche Grundlage ist die Wahrung berechtigter Interessen gem. Art 6 Abs 1 lit. f) DSGVO.
  1. Avatar
    Avatar
    Bearbeitet von am
    Bearbeitet von am
    1. Avatar
      Avatar
      Bearbeitet von am
      Bearbeitet von am

Kommentare werden geladen....

Kommentar melden

Melden Sie diesen Kommentar, wenn dieser nicht den Richtlinien entspricht.

Kommentar Freigeben

Der untenstehende Text wird an den Kommentator gesendet, falls dieser eine Email-hinterlegt hat.

Freigabe entfernen

Der untenstehende Text wird an den Kommentator gesendet, falls dieser eine Email-hinterlegt hat.

Aktuelle Beiträge zu diesem Thema

KI und ML in der Cybersecurity

Künstliche Intelligenz und maschinelles Lernen

KI und ML in der Cybersecurity

Künstliche Intelligenz (KI), maschinelles Lernen (ML) und Deep Learning (DL) haben das Potenzial, die Produktivität in vielen Branchen zu steigern. Die drei Begriffe werden oft synonym verwendet, aber worin unterscheiden sie sich wirklich? Wo werden sie gegenwärtig und wahrscheinlich zukünftig eingesetzt? Wie funktionieren sie und welche Vor- und Nachteile gibt es? lesen

IT-Systeme im Gesundheits­wesen dürfen nicht kränkeln

Risikomanagement in der Gesundheitsbranche

IT-Systeme im Gesundheits­wesen dürfen nicht kränkeln

Gerade in Zeiten der Krise ist eine sichere IT in der Gesundheitsbranche unerlässlich. IT-gestützte Technologien und Geräte sichern und unterstützen zum einen lebenserhaltende Funktionen am Patienten und ermöglichen zum anderen eine präzise Diagnostik und damit die Therapie. Ausfälle der IT können im Gesund­heitswesen deswegen schnell schwere Folgen haben. Ein durchdachtes Risikomanagement ist aus diesem Grund angebracht. lesen

Supply Chain Security „as a Service“

Sicherheitsrisiken in der Lieferkette aufdecken

Supply Chain Security „as a Service“

Security Services, die die Supply Chain des Auftraggebers überprüfen, haben gute Aussichten auf Erfolg. Cybersecurity Assessments werden zunehmend Teil der Lieferantenaudits. Lösungen für den Channel sind bereits verfügbar. lesen

Sicherheit und Compliance darf man nicht gleichsetzen

Sicherheit vs. Compliance

Sicherheit und Compliance darf man nicht gleichsetzen

Oft wird IT-Sicherheit gedanklich mit Compliance gleichgesetzt. Eine scheinbar logische Schlussfolgerung, aber ganz so einfach ist es leider nicht. Die Art und Weise, wie Entwickler, Sicherheitsanalysten und Prüfer an ihre Arbeit herangehen, führt tatsächlich dazu, dass in der praktischen Umsetzung zwischen Compliance und Sicherheit Lücken entstehen. Die wiederum bringen unnötige Risiken mit sich. lesen

So legt man ein Budget für IT-Sicherheit fest

Bauchgefühl oder Risikobewertung

So legt man ein Budget für IT-Sicherheit fest

Die weltweiten Ausgaben für Informations­sicherheits­produkte und -services steigen seit Jahren stetig an. Aber wie legt man das richtige IT-Security-Budget für sein Unternehmen fest? Konzentriert man sich primär auf die unmittelbaren Bedürfnisse der Gegenwart, oder bewertet man mittels Risikoanalyse die relevantesten Bedrohungen und investiert in deren Beseitigung? lesen

Alternativen zum eigenen Security Operations Center

Neues eBook „SOC für den Mittelstand“

Alternativen zum eigenen Security Operations Center

Unternehmen aus dem Mittelstand werden nicht weniger angegriffen als Großunternehmen, doch sie können sich oftmals nicht so gut schützen. Ein SOC (Security Operations Center) könnte die Prozesse zur Erkennung und Abwehr der Cyber-Attacken verbessern. Die meisten kleinen und mittleren Unternehmen haben aber weder Personal noch Budget für ein SOC. Doch es gibt Alternativen. lesen

Gefahrenzone Social Web

RSA Quarterly Fraud Report Q3 2019

Gefahrenzone Social Web

Betrug und Markenmissbrauch im Social Web machen mittlerweile 17 Prozent aller Betrugsfälle aus. Das sind 75 Prozent mehr als zur gleichen Zeit im Jahr 2018. Seit Anfang 2019 wurden mehr als 26 Millionen kompromittierte Kreditkarten bei Online-Shops – aber eben auch auf sozialen Medien entdeckt. Das sind die Ergebnisse des RSA Quarterly Fraud Report Q3 2019. lesen

Trends in der physischen Sicherheit für Rechenzentren

Interview mit Jan Sanders, Kentix GmbH

Trends in der physischen Sicherheit für Rechenzentren

Cyber Security ist in aller Munde. Mit jedem neuen Hackerangriff steigt die Sensibilität für dieses Thema. Was jedoch viele Unternehmen nach wie vor vernachlässigen, ist die physische Sicherheit ihrer Rechenzentren. Dabei lauern hier ebenso große Gefahren, die es zu verhindern gilt. Wie dies gelingt erklärt Jan Sanders, Chief Sales Officer der Kentix GmbH, im Interview. lesen

Was ist der BSI-Standard 200-3?

Definition IT-Grundschutz BSI-Standard 200-3

Was ist der BSI-Standard 200-3?

Der BSI-Standard 200-3 ist neben den Standards 200-1 und 200-2 elementarer Bestandteil der IT-Grundschutz-Methodik des BSI. Inhalt des Standards sind Vorgehens­weisen zur Durchführung von Risikoanalysen zur Sicherstellung des IT-Grundschutzes. Der Standard stellt sämtliche risikobezogene Arbeitsschritte zur Umsetzung des IT-Grundschutzes gebündelt dar. Im Jahr 2017 löste der Standard 200-3 den vorherigen Standard 100-3 ab. lesen

copyright

Dieser Beitrag ist urheberrechtlich geschützt. Sie wollen ihn für Ihre Zwecke verwenden? Kontaktieren Sie uns über: support.vogel.de/ (ID: 44751867 / Definitionen)