Definition Risikomanagement in der IT

Was ist Risikomanagement?

| Autor / Redakteur: tutanch / Peter Schmitz

Risikomanagement in der Informationstechnologie hilft Unternehmen dabei, Risiken für den Betriensablauf zu erkennen, zu analysieren, zu bewerten und zu überwachen.
Risikomanagement in der Informationstechnologie hilft Unternehmen dabei, Risiken für den Betriensablauf zu erkennen, zu analysieren, zu bewerten und zu überwachen. (Bild: Pixabay / CC0)

Das Risikomanagement in der Informationstechnologie erkennt, analysiert, bewertet und überwacht die verschiedenen IT-Risiken. Es begleitet den gesamten System-Lebenszyklus der IT und stellt Gegenmaßnahmen oder Notfallpläne für verschiedene Szenarien bereit.

In vielen Unternehmen bilden die IT-Systeme das Rückgrat und die Grundlage für das Funktionieren der Geschäftsmodelle. Probleme mit IT-Systemen können zu enormen Schäden für das betroffene Unternehmen führen. Dies reicht von Produktionsausfällen über Umsatzeinbußen bis hin zur existenziellen Bedrohung des Unternehmens. Zu den möglichen Risiken zählen beispielsweise Hardwareausfälle, Softwarefehler, Datendiebstahl, Datenverlust, Datenmissbrauch oder Spionage.

Da IT-Systeme immer komplexer werden und prinzipiell fehleranfällig sind, ergeben sich zahlreiche Bedrohungsszenarien mit großen Risiken. Um diesen Risiken zu begegnen und mit ihnen umzugehen, kommt das Risikomanagement zum Einsatz. Es umfasst alle Maßnahmen, die möglichen Risiken zu erkennen, zu analysieren, zu bewerten, zu überwachen und sie zu kontrollieren. Das Risikomanagement kommt schon bei der Implementierung der Informationssysteme zur Anwendung und begleitet den kompletten Lebenszyklus aller IT-Komponenten. Dies reicht von der Konzeption über die Entwicklung und Umsetzung bis hin zum Betrieb und der Stilllegung der IT-Systeme.

Ein großes Gefahrenpotential ergibt sich durch das Internet und mögliche Bedrohungen von außen. Durch Hackerangriff können Daten gestohlen, manipuliert oder missbraucht werden. Auch diese Sicherheitsrisiken sind im IT-Risikomanagement zu berücksichtigen. Ziel aller Maßnahmen ist es, die wesentlichen Gefahren für die IT zu minimieren oder beim tatsächlichen Eintreten der Risiken deren Auswirkungen zu begrenzen. Im Optimalfall ist das Unternehmen auf die unterschiedlichen Risiken vorbereitet und hält entsprechende Abwehrmaßnahmen und Notfallpläne bereit.

Allgemeine Vorgehensweise im Risikomanagement

Auch in der IT kommt im Rahmen des Risikomanagements die typische Vorgehensweise des allgemeinen Risikomanagements mit seinen einzelnen Arbeitsschritten zum Einsatz. Im ersten Schritt geht es darum, die verschiedenen Risiken zu identifizieren und zu benennen. Anschließend kann die Analyse und Bewertung der Risiken erfolgen. Die Einzelrisiken werden im Hinblick auf Wahrscheinlichkeit und mögliche Auswirkungen eingeordnet. Hierfür kann eine mehrstufige Matrix verwendet werden, die Eintrittswahrscheinlichkeit und Akzeptanz der Risiken benennt. Mögliche Wahrscheinlichkeiten sind:

  • häufig
  • wahrscheinlich
  • gelegentlich
  • unwahrscheinlich
  • unvorstellbar

Auswirkungen der einzelnen Risiken können sein:

  • katastrophal
  • kritisch
  • akzeptabel
  • unwesentlich

Die Einteilungen können je nach Modell und verwendeter Matrix feiner oder grober sein. Im Rahmen der Klassifizierung der Risiken werden diese unterschiedlichen Auswirkungsklassen wie organisatorisch, rechtlich, technisch, prozessual, wirtschaftlich und weiteren zugeordnet. Die Risikoüberwachung und -beherrschung versucht durch konkrete Maßnahmen, die Eintrittswahrscheinlichkeiten und Gefahren zu reduzieren und eventuelle Folgen leichter beherrschbar zu machen. Hierfür kommen kontinuierliches Monitoring und Reporting in Kombination mit ausführlichen Dokumentationen und Notfallplänen zum Einsatz.

Standards des Risikomanagements

Effizientes Risikomanagement greift auf bewährte Vorgehensweisen und etablierte Standards zurück. Diese schließen die typischen Fehler selbst entwickelter Vorgehensweisen aus und sorgen für die Einhaltung des aktuellen Stands der Technik. Die Standards helfen, die risikobehafteten und sicherheitsrelevanten Prozesse der IT zu verbessern. Sie stellen Methoden zur Verfügung, ein leistungsfähiges Sicherheits- und Risikomanagement zu definieren und zu realisieren. Grundlegende Standards des IT-Sicherheits- und Risikomanagements sind beispielsweise IT-GS (IT-Grundschutz), ISO/IEC 18028 (IT Netzwerksicherheit), ISO/IEC 27005 (Informationssicherheits-Risikomanagement), ISO/IEC 15816 (Sicherheitsobjekte für Zugriffskontrolle), ISO/IEC 27001 (Informationssicherheit in Organisationen) und viele weitere.

Einzelaspekte des IT-Risikomanagements in der Praxis

Wichtige Einzelaspekte des IT-Risikomanagements in der Praxis sind die physische Sicherheit der IT und die Anwendung kryptographischer IT-Sicherheitsverfahren. Viele IT-Risiken ergeben sich durch die mangelnde physische Sicherheit der IT. Um diese Risiken zu vermeiden, ist auf eine geeignete Unterbringung der IT-Komponenten zu achten, die unbefugten physischen Zugriff auf die Systeme unterbindet und Gefahren durch Feuer oder andere externe Einflussfaktoren reduziert. Das IT-Risikomanagement bewertet die Risiken durch mangelnde physische Sicherheit und sorgt bei unvertretbaren Folgen für die Einhaltung der wesentlichen Standards der physischen Sicherheit.

Viele Risiken in der Datenverarbeitung und elektronischen Kommunikation lassen sich mit kryptographisch abgesicherter Kommunikation zwischen Sender und Empfänger reduzieren. Erfolgreiches Risikomanagement schafft die Basis für Verfahren, die die Integrität, Vertraulichkeit und Authentizität der Daten sicherstellt.

Kommentare werden geladen....

Kommentar zu diesem Artikel

Anonym mitdiskutieren oder einloggen Anmelden

Avatar
Zur Wahrung unserer Interessen speichern wir zusätzlich zu den o.g. Informationen die IP-Adresse. Dies dient ausschließlich dem Zweck, dass Sie als Urheber des Kommentars identifiziert werden können. Rechtliche Grundlage ist die Wahrung berechtigter Interessen gem. Art 6 Abs 1 lit. f) DSGVO.
  1. Avatar
    Avatar
    Bearbeitet von am
    Bearbeitet von am
    1. Avatar
      Avatar
      Bearbeitet von am
      Bearbeitet von am

Kommentare werden geladen....

Kommentar melden

Melden Sie diesen Kommentar, wenn dieser nicht den Richtlinien entspricht.

Kommentar Freigeben

Der untenstehende Text wird an den Kommentator gesendet, falls dieser eine Email-hinterlegt hat.

Freigabe entfernen

Der untenstehende Text wird an den Kommentator gesendet, falls dieser eine Email-hinterlegt hat.

Aktuelle Beiträge zu diesem Thema

Netzwerkfähige Produkte bedürfen neuer Zertifizierung

Produktzertifizierungen

Netzwerkfähige Produkte bedürfen neuer Zertifizierung

Heute sind bereits viele Geräte an das Internet angeschlossen – Tendenz steigend. Das bringt völlig neue Herausforderungen für die Hersteller, die jetzt auch die Cybersicherheit ihrer Produkte berücksichtigen müssen. lesen

Was ist Bedrohungsanalyse?

Definition Bedrohungsanalyse

Was ist Bedrohungsanalyse?

Die Bedrohungsanalyse ist ein Teilbereich des Risikomanagements und der Risikoanalyse. Mithilfe der Bedrohungsanalyse lassen sich die verschiedenen Bedrohungen für IT-Systeme und IT-Prozesse systematisch erfassen, strukturieren und bewerten. Es handelt sich dabei nicht um einen einmaligen, sondern einen sich wiederholenden Prozess. lesen

Wie Sie die Herausforderungen meistern

Security für Medizingeräte

Wie Sie die Herausforderungen meistern

Gerade in der Medizinelektronik muss für die eingebettete Software ein hohes Maß an Security gelten. Dabei müssen nicht nur Zertifizierungsauflagen und gesetzliche Bestimmungen, sondern auch spezielle Konditionen der Einsatzorte des medizintechnischen Geräts im Auge behalten werden. lesen

Was ist Business Continuity?

Definition Business Continuity

Was ist Business Continuity?

Im Rahmen der Business Continuity sind Maßnahmen und Prozesse beschrieben, die den IT-Betrieb unter Krisensituationen aufrecht erhalten oder den problemlosen Anlauf nach einem Ausfall sicherstellen sollen. Business Continuity soll Risiken und Schäden für Unternehmen und Organisationen minimieren. lesen

Risikomanagement optimiert das ISMS für mehr Sicherheit

Risikobasierte Information Security Management Systeme

Risikomanagement optimiert das ISMS für mehr Sicherheit

Sechs von zehn Unternehmen in Deutschland haben nach eigenen Angaben eine aktuelle IT-Sicherheitsstrategie formuliert dokumentiert und verabschiedet. Viele versäumen allerdings, die einzelnen Maßnahmen risikobasiert abzustufen. Damit verplanen sie Ressourcen an wenig riskanten Stellen, die an Hochrisikoprozessen und an Schnittstellen dringend benötigt werden. Bewährt hat sich ein mit den Gesamtzielen verzahntes Sicherheitskonzept. lesen

Cybersicherheit: eine Chance für Führungskräfte im Zeitalter der digitalen Transformation

[Gesponsert]

Bedarf an Sicherheit steigt weiter an

Cybersicherheit: eine Chance für Führungskräfte im Zeitalter der digitalen Transformation

Zum Schutz einer Organisation reichen kleinen Gruppen hochspezialisierter technischer Experten, die solche Bedrohungen analysieren, nicht aus. Moderne Unternehmen streben derzeit ein holistischeres Verständnis für die Natur der Risiken und deren potentielle Auswirkungen auf ihre Geschäftstätigkeit an. lesen

Was ist die (ISC)2 Cybersicherheitszertifizierung?

[Gesponsert]

Steigerung der Sicherheitskompetenz

Was ist die (ISC)2 Cybersicherheitszertifizierung?

Mit der Vorbereitung auf eine (ISC)2-Zertifizierung, beispielsweise die weithin anerkannte Qualifikation als Certified Information Systems Security Professional (CISSP) oder ein anderes Zertifikat, wollen die Teilnehmer meist ihre Karrierechancen erhöhen, sich beruflich verbessern oder mehr verdienen. Nach der Zertifizierung stellen sie allerdings meist fest, dass sie wesentlich breiteren Nutzen daraus ziehen: Sie gehören damit zu einer Gemeinschaft aktiver, informierter Fachkräfte. lesen

SAS setzt auf analytische Betrugsbekämpfung

Neue Geschäftsdivision gegründet

SAS setzt auf analytische Betrugsbekämpfung

Der Softwarehersteller SAS hat eine neue Division für analytische Betrugsbekämpfung ins Leben gerufen. „SAS Fraud & Security Intelligence“ ist bereits aktiv und wird von Finanzdienstleistern wie der Société Générale oder der isländischen Landsbankinn genutzt. lesen

SSCP – Cybersicherheit ist eine Trumpfkarte im heutigen IT-Arbeitsmarkt

[Gesponsert]

Business Continuity

SSCP – Cybersicherheit ist eine Trumpfkarte im heutigen IT-Arbeitsmarkt

In unserer zunehmend vernetzten Welt ist es wichtiger denn je, IP-Systeme und -Services stets aktuell und verfügbar zu halten. Business Continuity ist das Schlagwort des Tages. Und genau diese fortlaufende Verfügbarkeit der IT-Systeme und –Daten wird von den zunehmenden Cyberrisiken bedroht. lesen

copyright

Dieser Beitrag ist urheberrechtlich geschützt. Sie wollen ihn für Ihre Zwecke verwenden? Infos finden Sie unter www.mycontentfactory.de (ID: 44751867 / Definitionen)