IT-Security für kleinere Unternehmen Wie hoch ist meine Risikotoleranz?

Anbieter zum Thema

FTAPI Software GmbH

TXOne Networks

Outpost24 GmbH

Risiken lassen sich nicht eliminieren, aber man kann ihre Auswirkungen mit klug gewählten Strategien des Risikomanagements extrem reduzieren. Was müssen insbesondere kleinere Unternehmen beachten, um davon profitieren zu können.

Jedes Unternehmen ist mehreren ständigen Bedrohungen der Datensicherheit ausgesetzt, aber nicht alle Bedrohungen sind gleich. Ein IT-Risikomanagement überwacht, misst, kontrolliert und berichtet über risikobezogene Themen innerhalb der IT-Abteilung. Ist es von Erfolg gekrönt, sorgt es unter anderem für eine hochwertige Datenverfügbarkeit, Vertraulichkeit und Integrität für interne und externe Stakeholder. Das Modell zur Risikobestimmung umfasst im Wesentlichen drei Variablen:

• 1. Bedrohungen: Eine definierte Gefahr wie dedizierte Denial-of-Service (DDoS)-Angriffe oder Phishing-Versuche.

• 2. Schwachstellen: Eine identifizierte Lücke im Sicherheitssystem.

• 3. Konsequenzen: Höhe des Schadens, den das Unternehmen durch die Bedrohung erleidet.

Sobald diese Variablen definiert und beispielsweise auf einer Skala von 1 bis 10 bewertet sind, lässt sich das Risiko bestimmen. Dabei sollten die Bedrohungen basierend auf ihren potenziellen Auswirkungen auf den Geschäftsbetrieb und das Vertrauen der Stakeholder priorisiert werden.

Strategien der Risikominderung etablieren

Ein grundlegender Risikomanagementplan besteht aus vier Schritten: Identifizierung, Bewertung, Kontrolle des Risikos und anschließende Überprüfung dieser Kontrollen. Nach der Kategorisieren der identifizierten Risiken, ist zu bestimmen, welche der Risiken akzeptiert, vermieden, übertragen oder reduziert werden können. Eine Risikobewertung ist entscheidend, um die Risikotoleranz und -strategien zu identifizieren. Dabei ist die Erkenntnis wichtig, dass sich Risiken nie völlig eliminieren lassen.

Quantitative Risikobewertung

Die quantitative Bewertung führt das Bewertungsmodell der Risiken einen Schritt weiter, indem die potenziellen finanziellen Auswirkungen für jedes Bedrohungsszenario berechnet werden. Die Endkosten von Bedrohungen und deren Behebung sind ein nützlicher Ausgangspunkt, um die optimale Risikominderung zu bestimmen. Bei der Festlegung des finanziellen Risikos muss für jedes Risikoszenario die potenziellen finanziellen Kosten für Hardware, Software und Geräte auf der Grundlage ihrer Risikoexposition berechnet werden.

Für die Ermittlung der Risikominderungskosten sind die Kosten für jeden Minderungstyp zu berechnen. Diejenigen Kosten, die mehr kosten als das geplante finanzielle Risiko, können verworfen werden. Die verbleibende Minderungsoption, die den besten Return on Investment (ROI) bietet, ist zu präferieren. Eine quantitative Analyse verwendet harte Daten, um Risikostrategien zu etablieren, aber ihr Fokus auf den finanziellen Kosten berücksichtigt nicht die weiteren entscheidenden Faktoren, die eine qualitative Analyse beinhaltet.

Qualitative Risikobewertung

Anstatt harte Daten zu verwenden, beantwortet eine qualitative Bewertung beispielsweise folgende Fragen: „Welche Auswirkungen hätten Risiken auf die Service-Levels?“ und „was wären die Konsequenzen hinsichtlich der Images einer Firma?" Dieser Ansatz ist natürlich subjektiv, da er Antworten und Perspektiven mehrerer Interessengruppen verwendet, um Ergebnisse zu generieren. Die Bewertung der Auswirkungen auf das Geschäft identifiziert die Risiken mit den größten potenziellen Auswirkungen auf die gesamten Geschäftsprozesse.

Es sucht nach den verschiedenen Effekten, die ein Risiko in einem Unternehmen haben kann, und wie es die Produktivität mehrerer Arbeitsgruppen und Abteilungen beeinträchtigen könnte. Im Hinblick der Auswirkungen auf die Reputation bewertet eine qualitative Risikobewertung die potenziellen externen Auswirkungen auf Endbenutzer und Kunden, einschließlich Kundenzufriedenheitswerten, Kundenabwanderungsraten und Interaktionen in sozialen Medien.

Erfolgreiches IT-Risikomanagement praktizieren

Folgende praktische Tipps sollten bei der Implementierung von Risikomanagementstrategien insbesondere bei kleineren Unternehmen Beachtung finden.

Tipp 1: Kooperation und Kommunikation

Die Folgen nicht adressierter Risiken wirken sich auf das gesamtes Unternehmen aus. Das bedeutet, dass das Risikomanagement zu wichtig ist, um es an eine Person oder Abteilung zu übertragen. Ein effektives Risikomanagement ist ganzheitlich, bezieht mehrere Perspektiven ein und erfordert eine kontinuierliche Kommunikation zwischen den Beteiligten während der Erstbewertung bis zur anschließenden Reduktion.

Tipp 2: Alternative Szenarien betrachten

Die Inklusion mehrerer Standpunkte hilft dabei, ein sogenanntes Gruppendenken zu vermeiden, indem man sich auf eine einzige Bewertung oder Lösung festlegt, ohne alternative Möglichkeiten angemessen zu berücksichtigen. Selbst wenn eine Reaktion auf eine Bedrohung „offensichtlich“ erscheint, sollten zusätzliche Vorschläge und Ideen gesammelt werden, um den Umfang der Bewertung zu erweitern.

Tipp 3: Risikoregister implementieren

Ein Risikoregister identifiziert etwa ein halbes Dutzend der wahrscheinlichsten aktuellen Bedrohungen und die zu ergreifenden Maßnahmen, wenn sie auftreten.

• Bekannte „bekannte Risiken“: Fakten, die über das Risiko bekannt sind.

• Bekannte „unbekannte Risiken“: Fakten, die über das Risiko bekannt sind, aber gerne vergessen oder vernachlässigt werden.

• Unbekannte „unbekannte Risiken“: Fakten, die in Bezug auf das Risiko existieren, von denen die Unternehmen nichts wissen.

• Positive Risiken: Mit dem Risiko verbundene Chancen.

Das Risikoregister ist ein praktisches Instrumentarium, mit dem der User sofort starten kann, wenn eine erwartete Bedrohung auftritt, anstatt jedes Mal von vorn anfangen zu müssen.

Fazit

Risiken, denen das Netzwerk eines Unternehmens und die zugehörigen IT-Ressourcen ausgesetzt sind, lassen sich nicht völlig eliminieren. Darum sollten Risiken bewältigt werden, statt die Betroffenen zu Opfern zu machen. Eine proaktive Risikomanagementstrategie mit Beiträgen mehrerer Interessengruppen mindert potenzielle Bedrohungen für Unternehmen und seine externen Beziehungen. Dies gilt insbesondere auch für kleinere Unternehmen, die von möglichen Bedrohungen nicht ausgenommen sind.

(ID:48596525)