BSI Standard 200-3 - Versionsgeschichte

Dirk: /* Realisierung und Überprüfung */

2024-08-26T14:49:19Z

Realisierung und Überprüfung

← Nächstältere Version		Version vom 26. August 2024, 16:49 Uhr
Zeile 196:		Zeile 196:

	Priorisiere die Maßnahmen basierend auf der Risikobewertung und planen deren Umsetzung mit Verantwortlichen und Zielterminen.		Priorisiere die Maßnahmen basierend auf der Risikobewertung und planen deren Umsetzung mit Verantwortlichen und Zielterminen.

			Hierfür ist ein [[LF-Realisierungsplan\|Realisierungs- oder Risikobehandlungsplan]] zu erstellen.

	=== Realisierung und Überprüfung ===		=== Realisierung und Überprüfung ===

Dirk am 26. August 2024 um 14:09 Uhr

2024-08-26T14:09:11Z

← Nächstältere Version		Version vom 26. August 2024, 16:09 Uhr
Zeile 4:		Zeile 4:
	\|keywords=ISMS,BSI,IT-Grundschutz,Informationssicherheit,Risikomanagement,Risikoanalysen,Standard 200-3		\|keywords=ISMS,BSI,IT-Grundschutz,Informationssicherheit,Risikomanagement,Risikoanalysen,Standard 200-3
	\|description=Dieser Artikel beschreibt das Vorgehen zur Durchführung einer Risikoanalyse nach BSI Standard 200-3 "Risikoanalyse auf der Basis von IT-Grundschutz".		\|description=Dieser Artikel beschreibt das Vorgehen zur Durchführung einer Risikoanalyse nach BSI Standard 200-3 "Risikoanalyse auf der Basis von IT-Grundschutz".
	}}		}}{{SHORTDESC:Durchführung einer Risikoanalyse nach BSI Standard 200-3}}
	~~Der vorliegende~~ Artikel beschreibt kompakt das Vorgehen für eine Risikoanalyse nach BSI Standard 200-3 "Risikoanalyse auf der Basis von IT-Grundschutz".		[[Datei:Cube-1295080.png\|alternativtext=Würfel\|rechts\|150x150px\|Image by OpenClipart-Vectors from Pixabay]]''Dieser Artikel beschreibt kompakt das Vorgehen für eine Risikoanalyse nach dem BSI-Standard 200-3 "Risikoanalyse auf der Basis von IT-Grundschutz". Dabei handelt es sich um einen Best-Practice-Ansatz, der sich in der Praxis bewährt hat.''

	== Einleitung ==		== Einleitung ==
Zeile 20:		Zeile 20:
	Im Standard werden hier für die Eintrittshäufigkeit die quantitativen Beispiele "selten, mittel, häufig, sehr häufig" genannt, die mit konkreten zeitlichen Beschreibungen wie "Ereignis tritt einmal im Jahr bis einmal pro Monat ein" definiert werden. Dies ist nicht immer sinnvoll und zielführend. Zum einen sind zeitliche Begriffe wie "selten" oder "häufig" sehr abstrakt, zum anderen sind zeitliche Definitionen von "einmal in 5 Jahren" bis "wöchentlich" nicht hilfreich, da die Eintrittshäufigkeit je nach betrachtetem Ereignis in ganz unterschiedlichen Dimensionen liegen kann. Für die Explosion eines Atomkraftwerkes würde man "selten" und "häufig" sicher ganz anders definieren als für einen Paketverlust in einem Netzwerk.		Im Standard werden hier für die Eintrittshäufigkeit die quantitativen Beispiele "selten, mittel, häufig, sehr häufig" genannt, die mit konkreten zeitlichen Beschreibungen wie "Ereignis tritt einmal im Jahr bis einmal pro Monat ein" definiert werden. Dies ist nicht immer sinnvoll und zielführend. Zum einen sind zeitliche Begriffe wie "selten" oder "häufig" sehr abstrakt, zum anderen sind zeitliche Definitionen von "einmal in 5 Jahren" bis "wöchentlich" nicht hilfreich, da die Eintrittshäufigkeit je nach betrachtetem Ereignis in ganz unterschiedlichen Dimensionen liegen kann. Für die Explosion eines Atomkraftwerkes würde man "selten" und "häufig" sicher ganz anders definieren als für einen Paketverlust in einem Netzwerk.

	In Standard wird unter Kapitel 5.1 Risikobewertung explizit darauf hingewiesen, dass eine quantitative Betrachtung sehr aufwändig sein kann und eine qualitative Bewertung praktikabler ist. ~~Daher~~ werden hier im Beispiel im Gegensatz zum Standard Eintrittshäufigkeit und Schadenshöhe qualitative Kategorien beschrieben.		In Standard wird unter Kapitel 5.1 Risikobewertung explizit darauf hingewiesen, dass eine quantitative Betrachtung sehr aufwändig sein kann und eine qualitative Bewertung praktikabler ist. Und dennoch findet sich im Standard und in der Praxis häufig die o.g. quantitativen Kategorien, weil sie ein Gefühl von "Berechenbarkeit" vermitteln.

			Da wir aber hier keine "gefühlte" Informationssicherheit machen wollen, werden hier im Beispiel im Gegensatz zum Standard Eintrittshäufigkeit und Schadenshöhe qualitative Kategorien beschrieben.

	==== Qualitative Kategorien Eintrittshäufigkeit ====		==== Qualitative Kategorien Eintrittshäufigkeit ====
Zeile 206:		Zeile 208:

	=== Kontinuierliche Überwachung und Weiterentwicklung ===		=== Kontinuierliche Überwachung und Weiterentwicklung ===
			Die kontinuierliche Überwachung und Verbesserung der Risikoanalyse sollte regelmäßig, mindestens jährlich, erfolgen. Dabei wird überprüft, ob die Bewertung der Risiken noch angemessen ist und ob die Maßnahmen noch den aktuellen Bedrohungen entsprechen. Diese regelmäßigen Überprüfungen ermöglichen es, die Risikoanalyse an die sich verändernde Bedrohungslage anzupassen und sicherzustellen, dass die Sicherheitsmaßnahmen weiterhin effektiv sind. Dies ist entscheidend, um die IT-Sicherheit dauerhaft auf einem hohen Niveau zu halten.
	[[Kategorie:Artikel]]		[[Kategorie:Artikel]]

Dirk: /* Definition des Gefährdungskatalogs */

2024-08-26T03:58:34Z

Definition des Gefährdungskatalogs

← Nächstältere Version		Version vom 26. August 2024, 05:58 Uhr
Zeile 128:		Zeile 128:

	Bei Bedarf kann die Oganisation ihren Gefährdungskatalog noch um zusätzliche organisationsspezifische Gefährdungen ergänzen.		Bei Bedarf kann die Oganisation ihren Gefährdungskatalog noch um zusätzliche organisationsspezifische Gefährdungen ergänzen.

			Mögliche zusätzliche/spezifische Gefährdungen sind in der [[Zusätzliche Gefährdungen\|Liste der zusätzlichen Gefährdungen]] zu finden.

	== Grundlagenermittlung und Vorbereitung ==		== Grundlagenermittlung und Vorbereitung ==

Dirk: /* Richtlinie zum Risikomanagement */

2024-08-26T03:54:32Z

Richtlinie zum Risikomanagement

← Nächstältere Version		Version vom 26. August 2024, 05:54 Uhr
Zeile 14:		Zeile 14:
	=== Richtlinie zum Risikomanagement ===		=== Richtlinie zum Risikomanagement ===
	Es muss in der Organisation eine [[RiLi-Risikoanalyse\|Richtlinie]] geben, die Vorgaben zur Methodik, Durchführung und Dokumetation von Risikoanalysen beschreibt. So ist ein einheitliches Vorgehen und eine Vergleichbarkeit von Risikoanalysen gewährleistet.		Es muss in der Organisation eine [[RiLi-Risikoanalyse\|Richtlinie]] geben, die Vorgaben zur Methodik, Durchführung und Dokumetation von Risikoanalysen beschreibt. So ist ein einheitliches Vorgehen und eine Vergleichbarkeit von Risikoanalysen gewährleistet.

	~~Definition Eintrittshäufigkeit und~~

	==== Definition der Eintrittshäufigkeit und Schadenshöhe ====		==== Definition der Eintrittshäufigkeit und Schadenshöhe ====
Zeile 119:		Zeile 117:
	Das Risiko muss weiter behandet werden. Es kann nicht getragen werden.		Das Risiko muss weiter behandet werden. Es kann nicht getragen werden.
	\|}		\|}
			Die Zuordnung der Risikokategorien sollte mit Augenmaß und nicht mit der Gießkanne erfolgen. Im Beispiel der Risikomatrix rechts wurde für die Eintrittswahrscheinlichkeit/-häufigkeit der Kategorie 1 (unwahrscheinlich) durchgängig die Risikokategorie gering gewählt, selbst bei Schadensausmaß 4 (existenzbedrohend). Dies hat in diesem Beispiel zwei pragmatische Gründe:

			# Das Ereignis ist noch nie eingetreten und auch nicht zu erwarten, so dass hier die Standardmaßnahmen des Grundschutzes ausreichen sollten.
			# Die überwiegende Mehrheit der möglichen Maßnahmen reduziert die Eintrittshäufigkeit und nur wenige Maßnahmen reduzieren das Schadensausmaß (Verhältnis ca. 80/20). Die Eintrittshäufigkeit ist bereits die niedrigste Kategorie d.h. 80% der möglichen Maßnahmen wären wirkungslos. Das Schadensausmaß kann meist nur mit erheblichem (finanziellem) Aufwand reduziert werden. Dieser stünde in keinem vernünftigen Verhältnis zur nahezu ausgeschlossenen Eintrittswahrscheinlichkeit.

			Anders verhält es sich bei geringem Schadensausmaß aber hoher Eintrittshäufigkeit, hier kann allein die ggf. hohe Häufigkeit des Auftretens ggf. auch mehrerer unterschiedlicher kleiner Schäden in der Summe schwerwiegendere Auswirkungen haben. Zudem lässt sich die Eintrittshäufigkeit i.d.R. durch eine Vielzahl von Maßnahmen z.T. mit geringem Aufwand reduzieren.

	=== Definition des Gefährdungskatalogs ===		=== Definition des Gefährdungskatalogs ===
	Grundlage für die Risikoanalysen nach BSI-Standard 200-3 ist der [https://www.bsi.bund.de/SharedDocs/Downloads/DE/BSI/Grundschutz/Kompendium/Elementare_Gefaehrdungen.html Risikokatalog der "elementaren Gefährdungen"] des BSI. Darin werden 47 allgemeine Gefährdungen beschrieben.		Grundlage für die Risikoanalysen nach BSI-Standard 200-3 ist der [https://www.bsi.bund.de/SharedDocs/Downloads/DE/BSI/Grundschutz/Kompendium/Elementare_Gefaehrdungen.html Risikokatalog der "elementaren Gefährdungen"] des BSI. Darin werden 47 allgemeine Gefährdungen beschrieben.

Dirk: /* Identifikation spezifischer Gefährdungen */

2024-07-15T13:44:20Z

Identifikation spezifischer Gefährdungen

← Nächstältere Version		Version vom 15. Juli 2024, 15:44 Uhr
Zeile 154:		Zeile 154:
	* '''Systemspezifische Gefährdungen:''' Zusätzliche, nicht im Katalog aufgeführte Gefährdungen, die aufgrund besonderer organisatorischer, technologischer oder geografischer Bedingungen relevant sein könnten.		* '''Systemspezifische Gefährdungen:''' Zusätzliche, nicht im Katalog aufgeführte Gefährdungen, die aufgrund besonderer organisatorischer, technologischer oder geografischer Bedingungen relevant sein könnten.
	* '''Experteneinschätzungen:''' Ziehe ggf. Sicherheitsexperten hinzu, um die Vollständigkeit der Gefährdungsliste zu überprüfen und ggf. weitere spezifische Risiken zu identifizieren.		* '''Experteneinschätzungen:''' Ziehe ggf. Sicherheitsexperten hinzu, um die Vollständigkeit der Gefährdungsliste zu überprüfen und ggf. weitere spezifische Risiken zu identifizieren.
			Eine [[Zusätzliche Gefährdungen\|Beispiel-Liste möglicher zusätzlicher/spezifischer Gefährdungen]] enhält einige Vorschläge.

	=== Bewertung der Gefährdungen ===		=== Bewertung der Gefährdungen ===

Dirk am 30. Juni 2024 um 10:49 Uhr

2024-06-30T10:49:07Z

← Nächstältere Version		Version vom 30. Juni 2024, 12:49 Uhr
Zeile 15:		Zeile 15:
	Es muss in der Organisation eine [[RiLi-Risikoanalyse\|Richtlinie]] geben, die Vorgaben zur Methodik, Durchführung und Dokumetation von Risikoanalysen beschreibt. So ist ein einheitliches Vorgehen und eine Vergleichbarkeit von Risikoanalysen gewährleistet.		Es muss in der Organisation eine [[RiLi-Risikoanalyse\|Richtlinie]] geben, die Vorgaben zur Methodik, Durchführung und Dokumetation von Risikoanalysen beschreibt. So ist ein einheitliches Vorgehen und eine Vergleichbarkeit von Risikoanalysen gewährleistet.

	==== Definition der Eintrittshäufigkeit ====		Definition Eintrittshäufigkeit und
	In der Richtlinie müssen die ~~Stufen~~ für die Eintrittshäufigkeit (auch Eintrittswahrscheinlichkeit genannt) nachvollziehbar definiert sein. Beispiel:
			==== Definition der Eintrittshäufigkeit und Schadenshöhe ====
			In der Richtlinie müssen die Kategorien für Eintrittshäufigkeit und Schadenshöhe nachvollziehbar definiert werden.

			Im Standard werden hier für die Eintrittshäufigkeit die quantitativen Beispiele "selten, mittel, häufig, sehr häufig" genannt, die mit konkreten zeitlichen Beschreibungen wie "Ereignis tritt einmal im Jahr bis einmal pro Monat ein" definiert werden. Dies ist nicht immer sinnvoll und zielführend. Zum einen sind zeitliche Begriffe wie "selten" oder "häufig" sehr abstrakt, zum anderen sind zeitliche Definitionen von "einmal in 5 Jahren" bis "wöchentlich" nicht hilfreich, da die Eintrittshäufigkeit je nach betrachtetem Ereignis in ganz unterschiedlichen Dimensionen liegen kann. Für die Explosion eines Atomkraftwerkes würde man "selten" und "häufig" sicher ganz anders definieren als für einen Paketverlust in einem Netzwerk.

			In Standard wird unter Kapitel 5.1 Risikobewertung explizit darauf hingewiesen, dass eine quantitative Betrachtung sehr aufwändig sein kann und eine qualitative Bewertung praktikabler ist. Daher werden hier im Beispiel im Gegensatz zum Standard Eintrittshäufigkeit und Schadenshöhe qualitative Kategorien beschrieben.

			==== Qualitative Kategorien Eintrittshäufigkeit ====
			In der Richtlinie müssen die Kategorien für die Eintrittshäufigkeit (auch Eintrittswahrscheinlichkeit genannt) <u>nachvollziehbar</u> definiert sein. Beispiel:
	{\| class="wikitable"		{\| class="wikitable"
	!		!
	!~~Stufe~~		!Kategorie
	!Definition		!Definition
	\|-		\|-
Zeile 26:		Zeile 35:
	\|Die Gefährdung ist sehr abstrakt.		\|Die Gefährdung ist sehr abstrakt.
	Es erfordert ein sehr hohes Fachwissen, interne Kenntnisse und erheblichen Aufwand des Angreifers.		Es erfordert ein sehr hohes Fachwissen, interne Kenntnisse und erheblichen Aufwand des Angreifers.

	Es ist praktisch noch nie vorgekommen und absehbar nicht zu erwarten oder erfordert ein Zusammentreffen mehrerer widriger Umstände.		Es ist praktisch noch nie vorgekommen und absehbar nicht zu erwarten oder erfordert ein Zusammentreffen mehrerer widriger Umstände.
	\|-		\|-
Zeile 32:		Zeile 42:
	\|Die Gefährdung ist möglich aber nicht zu erwarten.		\|Die Gefährdung ist möglich aber nicht zu erwarten.
	Ein Angriff erfordert interne Kenntnisse oder hohes Fachwissen.		Ein Angriff erfordert interne Kenntnisse oder hohes Fachwissen.

	Ein Vorfall ist bisher nicht bekannt oder nur einmalig aufgetreten.		Ein Vorfall ist bisher nicht bekannt oder nur einmalig aufgetreten.
	\|-		\|-
Zeile 38:		Zeile 49:
	\|Die Gefährdung ist realistisch und erwartbar.		\|Die Gefährdung ist realistisch und erwartbar.
	Ein Angriff ist mit üblichen Fachkenntnissen oder Hilfsmitteln und mäßigem Aufwand möglich.		Ein Angriff ist mit üblichen Fachkenntnissen oder Hilfsmitteln und mäßigem Aufwand möglich.

	Entsprechende Vorfälle sind schon mehrfach eingetreten.		Entsprechende Vorfälle sind schon mehrfach eingetreten.
	\|-		\|-
Zeile 44:		Zeile 56:
	\|Die Gefährdung ist permanent/akut vorhanden.		\|Die Gefährdung ist permanent/akut vorhanden.
	Ein Angriff ist auch ohne Vorkenntnisse oder Fachwissen mit geringem Aufwand möglich.		Ein Angriff ist auch ohne Vorkenntnisse oder Fachwissen mit geringem Aufwand möglich.

	Entsprechende Vorfälle treten regelmäßig auf.		Entsprechende Vorfälle treten regelmäßig auf.
	\|}		\|}

	==== ~~Definition der~~ Schadenshöhe ====		==== Qualitative Stufen Schadenshöhe ====
	In der Richtlinie müssen ebenso die ~~Stufen~~ für die Schadenshöhe (oder Schadensausmaß) nachvollziehbar definiert sein. Beispiel:		In der Richtlinie müssen ebenso die Kategorien für die Schadenshöhe (oder Schadensausmaß) <u>nachvollziehbar</u> definiert sein. Beispiel:
	{\| class="wikitable"		{\| class="wikitable"
	!		!
	!~~Stufe~~		!Kategorie
	!Definition		!Definition
	\|-		\|-
Zeile 58:		Zeile 71:
	\|Es entsteht kein nennenswerter Schaden.		\|Es entsteht kein nennenswerter Schaden.
	Prozesse, Dienste oder Verfahren werden nicht beeinträchtigt.		Prozesse, Dienste oder Verfahren werden nicht beeinträchtigt.

	Es hat keine finanziellen Auswirkungen.		Es hat keine finanziellen Auswirkungen.
	\|-		\|-
Zeile 64:		Zeile 78:
	\|Der Schaden ist im Rahmen der betrieblichen Prozesse zu beheben.		\|Der Schaden ist im Rahmen der betrieblichen Prozesse zu beheben.
	Prozesse, Dienste oder Verfahren werden nicht nennenswert bzw. nur kurzzeitig beeinträchtigt. Verträge und Servicelevel können noch eingehalten werden.		Prozesse, Dienste oder Verfahren werden nicht nennenswert bzw. nur kurzzeitig beeinträchtigt. Verträge und Servicelevel können noch eingehalten werden.

	Es hat nur geringe finanzielle Auswirkungen innerhalb des vorhandenen Budgets.		Es hat nur geringe finanzielle Auswirkungen innerhalb des vorhandenen Budgets.
	\|-		\|-
Zeile 69:		Zeile 84:
	\|'''beträchtlich'''		\|'''beträchtlich'''
	\|Der Schaden kann nur durch Managementbeteiligung behoben werden.		\|Der Schaden kann nur durch Managementbeteiligung behoben werden.
	Prozesse und Verfahren können nicht mehr aufrechterhalten werden. Verträge, Servicelevel oder Gesetze (z.B. Ordnungswidrigkeiten) werden verletzt.		Prozesse und Verfahren können nicht mehr aufrechterhalten werden. Verträge, Servicelevel oder Gesetze (z.B. Ordnungswidrigkeiten) werden verletzt. Das Ansehen der Organisation leidet.
	Das Ansehen der Organisation leidet.
	Die finanziellen Auswirkungen sind deutlich und erfordern Budgetänderungen.		Die finanziellen Auswirkungen sind deutlich und erfordern Budgetänderungen.
	\|-		\|-
Zeile 77:		Zeile 92:
	\|Der Schaden ist existenzbedrohend.		\|Der Schaden ist existenzbedrohend.
	Verträge oder Gesetze werden massiv verletzt (z.B. Straftaten).		Verträge oder Gesetze werden massiv verletzt (z.B. Straftaten).

	Das Ansehen der gesamten Organisation wird erheblich und dauerhaft geschädigt.		Das Ansehen der gesamten Organisation wird erheblich und dauerhaft geschädigt.

	Die finanziellen Auswirkungen können existenzbedrohend sein.		Die finanziellen Auswirkungen können existenzbedrohend sein.
	\|}		\|}
Zeile 89:		Zeile 106:
	\|'''gering:'''		\|'''gering:'''
	\|Die bereits umgesetzten oder im Sicherheitskonzept vorgesehenen Sicherheitsmaßnahmen bieten einen ausreichenden Schutz.		\|Die bereits umgesetzten oder im Sicherheitskonzept vorgesehenen Sicherheitsmaßnahmen bieten einen ausreichenden Schutz.


	Es sind keine weiteren Anforderungen an die Sicherheit erforderlich, Das Risiko kann ohne weitere Maßnahmen getragen werden.		Es sind keine weiteren Anforderungen an die Sicherheit erforderlich, Das Risiko kann ohne weitere Maßnahmen getragen werden.
Zeile 95:		Zeile 111:
	\|'''mittel:'''		\|'''mittel:'''
	\|Die bereits umgesetzten oder im Sicherheitskonzept vorgesehenen Sicherheitsmaßnahmen sind möglicherweise nicht ausreichend.		\|Die bereits umgesetzten oder im Sicherheitskonzept vorgesehenen Sicherheitsmaßnahmen sind möglicherweise nicht ausreichend.


	Das Risiko muss im weiteren näher betrachtet und ggf. behandelt oder getragen werden.		Das Risiko muss im weiteren näher betrachtet und ggf. behandelt oder getragen werden.
Zeile 101:		Zeile 116:
	\|'''hoch:'''		\|'''hoch:'''
	\|Die bereits umgesetzten oder im Sicherheitskonzept vorgesehenen Sicherheitsmaßnahmen sind nicht aureichend.		\|Die bereits umgesetzten oder im Sicherheitskonzept vorgesehenen Sicherheitsmaßnahmen sind nicht aureichend.


	Das Risiko muss weiter behandet werden. Es kann nicht getragen werden.		Das Risiko muss weiter behandet werden. Es kann nicht getragen werden.
Zeile 116:		Zeile 130:

	=== Schutzbedarfsfeststellung ===		=== Schutzbedarfsfeststellung ===
	Bestimme den [[Schutzbedarf]] der Geschäftsprozesse und der zugehörigen Informationen. Dies beinhaltet eine Bewertung der möglichen Schäden bei Verlust der Vertraulichkeit, Integrität oder Verfügbarkeit.		Bestimme den [[Schutzbedarf]] der Geschäftsprozesse und der zugehörigen Informationen. Dies beinhaltet eine Bewertung der möglichen Schäden bei Verlust der Vertraulichkeit, Integrität oder Verfügbarkeit. Wenn die Geschäftsprozesse nicht oder nur unzureichend definiert sind, kann der Schutzbedarf auf der Basis von Anwendungen ermittelt werden.

	=== Modellierung nach IT-Grundschutz ===		=== Modellierung nach IT-Grundschutz ===
Zeile 122:		Zeile 136:

	=== Definition des Betrachtungsgegenstands ===		=== Definition des Betrachtungsgegenstands ===
	Der Betrachtungsgegenstand bezieht sich auf spezifische Prozesse, geschäftskritische Informationen, bestimmte Verfahren, Anwendungen oder IT-Systeme, die auf potenzielle Risiken hin bewertet werden sollen. Eine präzise Definition ermöglicht eine zielgerichtete und effektive Analyse, die relevante Sicherheitsbedrohungen und Schwachstellen ~~identifiziert~~.		Der Betrachtungsgegenstand bezieht sich auf spezifische Prozesse, geschäftskritische Informationen, bestimmte Verfahren, Anwendungen oder IT-Systeme, die auf potenzielle Risiken hin bewertet werden sollen. Eine präzise Definition ermöglicht eine zielgerichtete und effektive Analyse, die relevante Sicherheitsbedrohungen und Schwachstellen.

	Auch der Blickwinkel, aus dem eine Risikoanalyse durchgeführt wird, kann das Ergebnis und die Wirksamkeit der daraus abgeleiteten Maßnahmen signifikant beeinflussen. Es ist wichtig, alle relevanten Perspektiven zu berücksichtigen und die Teilnehmer entsprechend auszuwählen.		Auch der Blickwinkel, aus dem eine Risikoanalyse durchgeführt wird, kann das Ergebnis und die Wirksamkeit der daraus abgeleiteten Maßnahmen signifikant beeinflussen. Es ist wichtig, alle relevanten Perspektiven zu berücksichtigen und die Teilnehmer entsprechend auszuwählen.

Dirk am 6. Mai 2024 um 06:46 Uhr

2024-05-06T06:46:26Z

← Nächstältere Version		Version vom 6. Mai 2024, 08:46 Uhr
Zeile 5:		Zeile 5:
	\|description=Dieser Artikel beschreibt das Vorgehen zur Durchführung einer Risikoanalyse nach BSI Standard 200-3 "Risikoanalyse auf der Basis von IT-Grundschutz".		\|description=Dieser Artikel beschreibt das Vorgehen zur Durchführung einer Risikoanalyse nach BSI Standard 200-3 "Risikoanalyse auf der Basis von IT-Grundschutz".
	}}		}}
	Der vorliegende Artikel beschreibt das Vorgehen für eine Risikoanalyse nach BSI Standard 200-3 "Risikoanalyse auf der Basis von IT-Grundschutz".		Der vorliegende Artikel beschreibt kompakt das Vorgehen für eine Risikoanalyse nach BSI Standard 200-3 "Risikoanalyse auf der Basis von IT-Grundschutz".

	== Einleitung ==		== Einleitung ==

Dirk am 11. April 2024 um 06:52 Uhr

2024-04-11T06:52:15Z

Änderungen zeigen

Dirk am 9. April 2024 um 11:51 Uhr

2024-04-09T11:51:09Z

← Nächstältere Version		Version vom 9. April 2024, 13:51 Uhr
Zeile 8:		Zeile 8:

	== Einleitung ==		== Einleitung ==
	~~Der~~ BSI-Standard 200-3, "Risikoanalyse auf der Basis von IT-Grundschutz", ~~bietet~~ eine ~~strukturierte Methode zur Durchführung~~ einer ~~Risikoanalyse~~ für ~~Informationstechnologie in Organisationen~~. ~~Dieser Ansatz soll Organisationen~~ dabei ~~unterstützen~~, Risiken zu identifizieren, ~~zu bewerten~~ und geeignete Sicherheitsmaßnahmen ~~zu ergreifen~~, um die Risiken auf ~~ein akzeptables Maß~~ zu ~~reduzieren~~. ~~Hier ist ein vereinfachter Überblick~~ über das ~~praktische Vorgehen einer Risikoanalyse nach BSI Standard 200-3~~:		Die Risikoanalyse nach BSI Standard 200-3 "Risikoanalyse auf der Basis von IT-Grundschutz" zielt darauf ab, die Informationssicherheitsrisiken in Organisationen systematisch zu identifizieren, zu bewerten und geeignete Maßnahmen zur Risikobehandlung festzulegen. Dieser Prozess basiert auf den im IT-Grundschutz-Kompendium beschriebenen elementaren Gefährdungen.

			== Regulatorscher Rahmen zum Vorgehen ==

			=== Richtlinie zum Risikomanagement ===

			=== Definition der Eintrittswahrscheinlichkeiten ===

			=== Definition der Schadensklassen ===

			=== Definition der Risikoschwellwerte ===

			=== Definition des Gefährdungskatalogs ===

			== Grundlagenermittlung und Vorbereitung ==

			=== Strukturanalyse ===
			Erfasse in der [[Strukturanalyse]] des betrachteten Informationsverbundes die IT-Infrastruktur, Systeme, Anwendungen und Prozesse. Dies dient als Basis für die weitere Analyse.

			=== Schutzbedarfsfeststellung ===
			Bestimme den [[Schutzbedarf]] der Geschäftsprozesse und der zugehörigen Informationen. Dies beinhaltet eine Bewertung der möglichen Schäden bei Verlust der Vertraulichkeit, Integrität oder Verfügbarkeit.

			=== Modellierung nach IT-Grundschutz ===
			Modelliere den Informationsverbund mithilfe des BSI IT-Grundschutz-Kompendium, um standardisierte Sicherheitsanforderungen auf die erfassten Komponenten anzuwenden. Für Bereiche, deren Einsatzscenario durch den IT-Grundschutz nicht vollständig abgedeckt ist oder Komponenten die nicht vollständig mdelliert werden können, weil es keine passenden Bausteine im Kompendium gibt muss eine Risikoanalyse durchgeführt werden.

			=== Definition des Betrachtungsgegenstands ===
			Der Betrachtungsgegenstand kann sich auf spezifische Prozesse, geschäftskritische Informationen, bestimmte Verfahren, Anwendungen oder IT-Systeme beziehen, die auf potenzielle Risiken hin bewertet werden sollen. Eine präzise Definition ermöglicht eine zielgerichtete und effektive Analyse, die relevante Sicherheitsbedrohungen und Schwachstellen identifiziert.

			Auch die Perspektive oder der Betrachtungswinkel, aus der eine Risikoanalyse durchgeführt wird (z.B. Schutz von Informationen, Schutz der Infrastruktur, Datenschutz), kann einen signifikanten Einfluss auf das Ergebnis und die Wirksamkeit der daraus abgeleiteten Maßnahmen haben. Es sollten möglichst alle relevanten Perspektiven berücksichtigt werden und die Teilnehmer für eine Risikoanalyse entstprechend ausgewäht werden.

			== Risikoanalyse ==

			=== Erstellung einer Gefährdungsübersicht ===
			Die Gefährdungsübersicht dient dazu, potenzielle Gefährdungen (Risiken) für den Betrachtungsgegenstand zu erfassen, die für die folgende Risikobewertung relevant sind.

			==== Ermittlung von elementaren Gefährdungen ====
			Unter Nutzung des Gefährdungskatalogs des IT-Grundschutz-Kompendiums oder des erweiteren Katalogs der Organisation werden für jeden betrachteten Geschäftsprozess bzw. jedes betrachtete Zielobjekt relevante elementare Gefährdungen identifiziert. Dabei werden alle Gefährdungen berücksichtigt die durch den erhöhten Schutzbedarf einer der Grundwerte, eine hohe Eintrittshäufigkeit oder einschneidende Auswirkungen als erhöhte Gefährdung angesehen werden.

			Beispiel: Besteht nur ein erhöhter Schutzbedarf für die Verfügbarkeit, müssen alle elementaren Gefährdungen, die auf die Verfügbarkeit (A) wirken auf ihre erhöhte Relevanz geprüft werden. Gefährdungen die nur auf die Vertraulichkeit (C) und Integrität (I) wirken, können dabei bereits als "nicht relevant" übersprungen werden.

			==== Identifikation spezifischer Gefährdungen ====
			Neben den elementaren Gefährdungen können bei Bedarf spezifische oder zusätzliche Gefährdungen identifiziert werden, die sich aus dem besonderen Einsatzszenario oder Anwendungsfall ergeben können.
			* '''Systemspezifische Gefährdungen:''' Zusätzliche, nicht im Katalog aufgeführte Gefährdungen, die aufgrund besonderer organisatorischer, technologischer oder geografischer Bedingungen relevant sein könnten.
			* '''Experteneinschätzungen:''' Ziehe ggf. Sicherheitsexperten hinzu, um die Vollständigkeit der Gefährdungsliste zu überprüfen und ggf. weitere spezifische Risiken zu identifizieren.

			=== Bewertung der Gefährdungen ===
			Bewerte die Risiken, indem du die Eintrittswahrscheinlichkeit und das potenzielle Schadensausmaß betrachten. Dies beinhaltet die Berücksichtigung vorhandener Sicherheitsmaßnahmen und deren Effektivität.

			==== Eintrittswahrscheinlichkeit ====

			==== Schadensausmaß ====

			==== Risikobewertung ====
			Die Risikokategorien (z.B. gering, mittel, hoch) werden auf Basis der zuvor ermittelten Eintrittswahrscheinlichkeit und Schadenshöhe angand der Risikomatrix ermittelt. Darausergeben sich die Prioritäten für die Risikobehandlung und mögliche Behandlungsoptionen.

			==== Riskobehandlung ====
			Basierend auf der Risikokategorie und der Art des Risikos ergeben sich die Optionen zur Behandlung des Risikos:

			===== Risikovermeidung =====

			===== Risikominderung =====

			===== Risikoübertragung =====

			===== Risikoakzeptanz =====

			== Weitere Schritte und Nachbereitung ==

			=== Umsetzungsplanung ===
			Wähle für eine Risikominderung geeignete Sicherheitsmaßnahmen aus dem IT-Grundschutz-Kompendium (Maßnahmen für erhöhten Schutzbedarf) oder entwickle individuelle Maßnahmen, um die identifizierten Risiken zu reduzieren.

			Priorisiere die Maßnahmen basierend auf der Risikobewertung und planen deren Umsetzung mit Zuständigkeiten und Zielterminen.

			=== Realisierung und Überprüfung ===
			Implementiere die geplanten Sicherheitsmaßnahmen.

			Überprüfe regelmäßig die Wirksamkeit der Maßnahmen und passe diese bei Bedarf an, um auf neue Gefährdungen oder Änderungen in der IT-Landschaft zu reagieren.

			=== Dokumentation und Berichterstattung ===
			Dokumentiere alle Schritte der Risikoanalyse und die getroffenen Entscheidungen in einem einheitlichen Format.

			Erstelle Berichte über die Risikosituation und die umgesetzten Maßnahmen für das Management und relevante Stakeholder.

			=== Kontinuierliche Überwachung und Weiterentwicklung ===
			[[Kategorie:Artikel]]

Dirk: Die Seite wurde neu angelegt: „{{Entwurf}} {{#seo: |title=Durchführung einer Risikoanalyse nach BSI Standard 200-3 |keywords=ISMS,BSI,IT-Grundschutz,Informationssicherheit,Risikomanagement,Risikoanalysen,Standard 200-3 |description=Dieser Artikel beschreibt das Vorgehen zur Durchführung einer Risikoanalyse nach BSI Standard 200-3 "Risikoanalyse auf der Basis von IT-Grundschutz". }} Der vorliegende Artikel beschreibt das Vorgehen für eine Risikoanalyse nach BSI Standard 200-3 "Risiko…“

2024-04-01T10:04:33Z

Die Seite wurde neu angelegt: „{{Entwurf}} {{#seo: |title=Durchführung einer Risikoanalyse nach BSI Standard 200-3 |keywords=ISMS,BSI,IT-Grundschutz,Informationssicherheit,Risikomanagement,Risikoanalysen,Standard 200-3 |description=Dieser Artikel beschreibt das Vorgehen zur Durchführung einer Risikoanalyse nach BSI Standard 200-3 "Risikoanalyse auf der Basis von IT-Grundschutz". }} Der vorliegende Artikel beschreibt das Vorgehen für eine Risikoanalyse nach BSI Standard 200-3 "Risiko…“

Neue Seite

{{Entwurf}}
{{#seo:
|title=Durchführung einer Risikoanalyse nach BSI Standard 200-3
|keywords=ISMS,BSI,IT-Grundschutz,Informationssicherheit,Risikomanagement,Risikoanalysen,Standard 200-3
|description=Dieser Artikel beschreibt das Vorgehen zur Durchführung einer Risikoanalyse nach BSI Standard 200-3 "Risikoanalyse auf der Basis von IT-Grundschutz".
}}
Der vorliegende Artikel beschreibt das Vorgehen für eine Risikoanalyse nach BSI Standard 200-3 "Risikoanalyse auf der Basis von IT-Grundschutz".

== Einleitung ==
Der BSI-Standard 200-3, "Risikoanalyse auf der Basis von IT-Grundschutz", bietet eine strukturierte Methode zur Durchführung einer Risikoanalyse für Informationstechnologie in Organisationen. Dieser Ansatz soll Organisationen dabei unterstützen, Risiken zu identifizieren, zu bewerten und geeignete Sicherheitsmaßnahmen zu ergreifen, um die Risiken auf ein akzeptables Maß zu reduzieren. Hier ist ein vereinfachter Überblick über das praktische Vorgehen einer Risikoanalyse nach BSI Standard 200-3: