Sicherheitsstrategie verbessern: IT-Risikoanalyse sichert kritische Vermögenswerte

Die Sicherheitsstrategie eines Unternehmens kann dann erfolgreich angesehen werden, wenn es gelingt, Risiken zu senken. Damit dies gelingt, muss verstanden werden, worum es in der Cybersicherheit geht: Nicht nur darum, die Risiken für kritische Vermögenswerte zu verstehen, sondern auch darum, sie zu verwalten, zu kontrollieren und eben zu mindern. Das hat zur Folge, dass sich IT-Sicherheitsverantwortliche mit dem Thema Risikomanagement auseinandersetzen müssen.

IT-Risikoanalyse: Was ist das konkret?

Die IT-Risikoanalyse als Teil der Sicherheitsstrategie folgt idealerweise einem systemischen Ansatz. So befasst sich die Risikoanalyse („Risk Assessment“) im IT-Umfeld mit strukturierten und methodischen Maßnahmen, die dazu dienen, Gefahren sowie Bedrohungen der informationsverarbeitenden Systeme erkennen, benennen und bewerten zu können.

Eine solche Risikoanalyse deckt Schwachstellen auf, sowohl im technischen als auch im menschlichen Umfeld (Stichwort Sensibilisierung). Mithilfe methodischer Verfahren liefert die IT-Risikoanalyse quantitative sowie qualitative Wahrscheinlichkeiten für Gefahren und Ausfälle. Unternehmen fokussieren ihre Risikoanalysen oft in Richtung Kosten und Konsequenzen, die Ausfälle der IT, Datenverluste oder andere Ereignisse mit sich bringen.

Sind die Risiken identifiziert und eingeordnet, lassen sich daraus entsprechende Maßnahmen entwickeln. Weiter kann die Wahrscheinlichkeit des Eintretens dieser Risiken effizient minimiert und damit die Auswirkungen auf das gesamte Unternehmen reduziert werden. Unternehmen tun gut daran, individuelle Risikomanagementprozesse aufzusetzen. Sie bilden einen wichtigen Teil der IT-Risikoanalyse, liefern äußerst relevante Ergebnisse und müssen fester Bestandteil jeder Sicherheitsstrategie sein.

Verschiedene Phasen der IT-Risikoanalyse

Um ein strukturiertes Vorgehen zu gewährleisten, verläuft die IT-Risikoanalyse in verschiedenen Phasen:

• Risiken identifizieren: Nach einer Ist-Analyse der vorhandenen Situation (erfassen von sämtlichen Datenverarbeitungsprozessen, auffinden von Speicherorten, etc.) werden Sicherheitslücken deutlich. Aus diesen ergeben sich Risiken. Bedenken Sie beim Identifizieren von Bedrohungen nicht nur Fehler in Systemen oder menschliches Versagen, sondern beispielsweise auch Naturkatastrophen.
• Eintrittswahrscheinlichkeiten beurteilen: Art. 35 DSGVO erklärt die sogenannte „Datenschutz-Folgeabschätzung“. Sie ermöglicht eine umfassende Risikobewertung einschließlich der Eintrittswahrscheinlichkeit dieser Risiken sämtlicher Datenverarbeitungsvorgänge.
• Folgen sowie konkrete Schäden abschätzen: Eintreten können Folgen und Schäden beispielsweise durch den Verlust von Vertraulichkeit, Verfügbarkeit, Integrität sowie Authentizität von Daten oder durch eingeschränkte Systemfunktionen. Mögliche Auswirkungen sind etwa der Imageverlust, Reparaturkosten, der Stillstand von Produktionen, Strafgebühren, rechtliche Auseinandersetzungen, Umsatzeinbrüche, aber auch demotiviertes Personal oder eine sich daraus ergebene hohe Fluktuation von Mitarbeitern.
• Risiken zum Bestimmen ihres Gesamtumfangs bündeln: Multiplizieren Sie nun die Höhe des möglichen Schadens mit der Eintrittswahrscheinlichkeit, so ergibt sich das tatsächliche Risiko. Nutzen Sie diese letzte Phase zum Bestimmen des Gesamtumfangs, indem Sie Risiken aggregieren.

Eine IT-Risikoanalyse kann qualitativ oder quantitativ sein. Bei der quantitativen Herangehensweise wird eine numerische Skala zum Klassifizieren herangezogen. Das tatsächliche Risiko ergibt sich aus der Multiplikation dieser numerischen Werte mit der Eintrittswahrscheinlichkeit. Bei der qualitativen Risikobewertung hingegen ist das Ziel ein anderes: Man versucht, den Gesamteindruck über ein bestimmtes Risiko zu verfestigen. Numerische Werte sind deshalb nicht Mittel der Wahl, sondern man teilt subjektiv ein, beispielsweise in „minimal“, „mittel“ und „hoch“.

Inhalte der IT-Risikoanalyse

Für eine einfache IT-Risikoanalyse genügt für gewöhnlich ein Fragenkatalog. Hier finden sich Fragen zum Abschätzen von Schäden sowie zum Bewerten von Bedrohungen und Schwachstellen. Aus all dem ergibt sich dann die Eintrittswahrscheinlichkeit.

Es gibt jedoch auch vollständige Kataloge, die gewährleisten, dass Unternehmen all ihre Risiken kennen. Analysen und Zertifizierungen geben Unternehmen solche Kataloge an die Hand. Zu den bekanntesten gehören die folgenden drei Varianten:

• ISA+ Informations-Sicherheits-Analyse: Sie hilft insbesondere KMU, das Gefährdungspotenzial kennenzulernen und entsprechende Maßnahmen daraus abzuleiten.
• ISIS12: Ebenfalls für KMU eignet sich ISIS12. In 12 einfachen Schritten wird Ihr Unternehmen nicht nur zertifiziert, sondern es erhält die Basis dafür, später die international anerkannte ISO/IEC 27001-Zertifizierung anzugehen. Ihre Risiken werden sichtbar dargestellt. Zu den 12 Stufen gehört jedoch auch, Maßnahmen zum Reduzieren dieser Risiken zu entwickeln. Da Informationssicherheit als Prozess zu verstehen ist, ergeben sich aus ISIS12 Revisionslisten, mit denen Ihre IT-Sicherheit stabil bleibt.
• ISO/IEC 27001: Hinter dieser Norm verbirgt sich ein weltweit anerkannter Standard für die Informationssicherheit. Vom Kleinunternehmen über den Großkonzern bis hin zu Betreibern Kritischer Infrastrukturen hat sich dieser Standard etabliert. Sie ist zwar die umfangreichste aller möglichen Zertifizierungen, jedoch minimiert die ISO 27001 die klassische Risikoanalyse.

Auf Basis der IT-Grundschutz-Kataloge des Bundesamts für Sicherheit in der Informationstechnik (BSI) lassen sich vereinfachte Analysen der Risiken für die Informationssicherheit durchführen. Eine individuelle Risikoanalyse ist zwar nicht vorgesehen, jedoch können sich Unternehmen und Organisationen an den Maßnahmen der BSI-Standards orientieren. Sie können auf der Website des BSI folgende Hilfestellungen nutzen:

• Elementare Gefährdungen: Eine Übersicht über viele mögliche Arten von Risiken
• Bausteine: Von Anwendungen über IT-Systeme bis zum Sicherheitsmanagement erfahren Sie hier mehr über die Bausteine, die es zu schützen gilt.
• Umsetzungshinweise: Was gilt es beim Umsetzen zu beachten?
• Migrationsanleitung: Das BSI stellt eine Anleitung zur Migration von Sicherheitskonzepten bereit.

Es kann durchaus sinnvoll sein, für die IT-Risikoanalyse einen externen Experten zu beauftragen. Das BSI beschreibt in seiner Ergänzung zum BSI-Standard 100-3, wie sich die elementaren Gefährdungen in die Risikoanalyse einfügen lassen. Bestehen erhöhte Sicherheitsanforderungen oder werden Anwendungen sowie Systeme betrieben, die nicht innerhalb der IT-Grundschutzkataloge behandelt werden, oder geht es um Szenarien, die der IT-Grundschutz nicht vorsieht, so empfiehlt das BSI eine Risikoanalyse im Rahmen des IT-Grundschutzes.

Was spricht für eine IT-Risikoanalyse als Bestandteil der Sicherheitsstrategie?

Verstehen Sie die IT-Risikoanalyse als festen Bestandteil Ihrer Sicherheitsstrategie, so ergeben sich daraus diverse Vorteile: Ziel der Risikoanalyse ist es, erkannte Risiken zu minimieren – und dies ist der erste Vorteil. Eine durchdachte Analyse gibt Unternehmen die Möglichkeit, ihren Ist-Stand nicht nur zu kennen, sondern bestehende Risiken zu minimieren.

Weiter versetzt die IT-Risikoanalyse das Management in die Lage, dringliche, realistische sowie wirtschaftlich sinnvolle Maßnahmen zu ergreifen, um die Auswirkungen der identifizierten Risiken weitmöglich zu reduzieren.

Idealerweise verbinden Sie Ihre IT-Risikoanalyse mit einem Maßnahmenkatalog. Daraus ergibt sich, dass Ihre IT-Sicherheit messbar ist. Sie erhalten Wettbewerbsvorteile gegenüber Unternehmen, die sich nicht so ausgiebig mit dem Schutz von Daten befassen. Auch sind Sie auf den Ernstfall vorbereitet: Der Maßnahmenkatalog, der sich aus der Risikoanalyse ergeben hat, enthält auch Richtlinien, an die sich Mitarbeiter im Falle eines Datendiebstahls oder ähnlicher eintretender Risiken zu verhalten haben. Die Datenwiederherstellung oder das Austauschen von Hardware sind Beispiele dafür. Das kann auch mögliche Sanktionen zur DSGVO deutlich reduzieren. Da Sie die Risiken Ihres Unternehmens kennen, sind Sie außerdem in der Lage, eintretende Risiken zügig als solche zu erkennen und strategisch entgegenzuwirken.

Kosten und Gewinn einer Risikoanalyse

Um Ihre IT-Risikoanalyse in den Händen zu halten, müssen Sie zunächst investieren. Je nachdem, wie umfangreich die Analyse ausfällt, ob Sie auf externe Experten oder interne Mitarbeiter setzen, wie groß Ihre Organisation ist und ob sie womöglich aus dem Bereich der Kritischen Infrastrukturen oder aus der Privatwirtschaft kommt, können diese Kosten unterschiedlich hoch ausfallen. Kostenreduzierend können sich vorgefertigte Kataloge auswirken, beispielsweise der IT-Grundschutz des BSI oder die bereits oben erwähnte ISA+.

Die Risikoanalyse kann jedoch unterm Strich trotz ihrer Kosten Gewinne verursachen. Sie kennen Maßnahmen, mit denen sich die Risiken reduzieren lassen. Gerade jene Risiken mit einer hohen Eintrittswahrscheinlichkeit schon im Vorfeld reduzieren zu können, hilft dabei, Kosten zu sparen. Würde das Risiko eintreten, wären die Folgen kaum kalkulierbar: Ihr Imageverlust lässt sich nicht beziffern, Sanktionen, weil Sie den Vorgaben der DSGVO nicht nachgekommen sind, schon eher. Die Folgen möglicher Risiken sind deutlich beherrschbarer und ufern deshalb auch in ihren Kosten nicht so aus.

Mit der IT-Risikoanalyse minimieren Sie identifizierte Risiken systematisch, stärken Ihre Organisation im Wettbewerb und rüsten sich für die Zukunft, in der sich die Technologien wandeln.