Risikobeurteilung - Versionsgeschichte

Stief1falco am 3. Februar 2021 um 11:35 Uhr

2021-02-03T11:35:25Z

Stief1falco am 3. Februar 2021 um 11:35 Uhr

2021-02-03T11:35:19Z

Stief1falco am 3. Februar 2021 um 11:35 Uhr

2021-02-03T11:35:07Z

Stief1falco am 3. Februar 2021 um 11:33 Uhr

2021-02-03T11:33:33Z

Stief1falco am 1. Februar 2021 um 14:07 Uhr

2021-02-01T14:07:20Z

Stief1falco am 1. Februar 2021 um 14:05 Uhr

2021-02-01T14:05:08Z

Stief1falco am 1. Februar 2021 um 14:04 Uhr

2021-02-01T14:04:53Z

Stief1falco: /* Risikoidentifizierung */

2021-02-01T14:03:40Z

Risikoidentifizierung

Stief1falco: Die Seite wurde neu angelegt: „Jede Änderung des Zustands einer Informationsverarbeitung wird als Ereignis (Event) betrachtet. Handelt es sich um ein Ereignis, das zumindest theoretisch…“

2021-02-01T13:56:42Z

Die Seite wurde neu angelegt: „Jede Änderung des Zustands einer Informationsverarbeitung wird als Ereignis (Event) betrachtet. Handelt es sich um ein Ereignis, das zumindest theoretisch…“

Neue Seite

Jede Änderung des Zustands einer [[Informationsverarbeitung]] wird als Ereignis (Event) betrachtet. Handelt es sich um ein Ereignis, das zumindest theoretisch Auswirkungen auf die Sicherheit haben könnte, spricht man von einem [[Sicherheitsereignis (Security Event)]]. Auswirkungen auf die Sicherheit liegen immer dann vor, wenn [[Sicherheitsziele]] einer Organisation beeinträchtigt werden können. 
Ein Sicherheitsvorfall (Security Incident) ist ein Ereignis, bei dem eine hohe Wahrscheinlichkeit für Auswirkungen auf die Sicherheit besteht. 
 
In der Norm wird sehr genau zwischen [[Events und Incidents Unterscheidung|Events und Incidents]] unterschieden. 
Ein [[(Sicherheits-)Notfall]] ist ein [[Sicherheitsvorfall]] mit gravierenden oder sogar katastrophalen Auswirkungen auf die Sicherheit. 
== Definition von Risiko ==
In der Informationssicherheit wird der mögliche Eintritt von Sicherheitsereignissen als Risiko angesehen. Ein Risiko wird in aller Regel als eine Kombination aus [[Eintrittswahrscheinlichkeit]] und [[Schadenhöhe]] definiert. 
Sind Eintrittswahrscheinlichkeit und Schadenhöhe zahlenmäßig bestimmbar, wäre das Produkt beider Zahlen eine solche Kombination. 
== Risikobeurteilung in der Praxis ==
In der Praxis lassen sich Risiken meist nicht auf diese Weise berechnen, weil hinreichend genaue Zahlen fehlen: Man legt deshalb für die Eintrittswahrscheinlichkeit und die Schadenhöhe jeweils [[Risikostufen|Stufen]] fest, und betrachtet [[Risikoklassen]] als Kombination solcher Stufen. 
Ein Risiko kann immer dann eintreten, wenn Schwachstellen vorhanden sind, d.h. wenn Sicherheitsmaßnahmen fehlen, ungeeignet konstruiert oder fehlerhaft angewendet werden. Bei den letzten beiden Fällen spricht man von [[konstruktive Schwachstellen|konstruktiven]] bzw. [[operative Schwachstellen|operativen Schwachstellen]].
== Risikoidentifizierung ==

@@ Zeile 6: / Zeile 6: @@
 In der Norm wird Risikobeurteilung als Zusammenfassung der Teilaktivitäten Risikoidentifizierung, Risikoanalyse und Risikobewertung betrachtet. Gelegentlich taucht auch der Begriff "Chance" auf, eine Chance besteht immer dann, wenn ein Ereignis mit einer gewissen Wahrscheinlichkeit einen Nutzen zur Folge haben kann.<br>
 Est wenn eine ausreichende Reduktion der Risiken vorliegt, wird man mit den vorhandenen und geplanten Maßnahmen "zufrieden" sein. Man kann dies von Risiko zu Risiko einzeln entscheiden - oder einen allgemeinen Schwellenwert für die Akzeptanz verbleibender Risiken festlegen.<br><br>
 Der Schwellenwert wird meist eine der festgelegten Bewertungsstufen sein: Risiken einer bestimmten Stufe (und aller Stufen darunter) werden als akzeptabel angesehen.
 == Definition von Risiko ==

@@ Zeile 5: / Zeile 5: @@
 Ein [[(Sicherheits-)Notfall]] ist ein [[Sicherheitsvorfall]] mit gravierenden oder sogar katastrophalen Auswirkungen auf die Sicherheit.<br><br>
 In der Norm wird Risikobeurteilung als Zusammenfassung der Teilaktivitäten Risikoidentifizierung, Risikoanalyse und Risikobewertung betrachtet. Gelegentlich taucht auch der Begriff "Chance" auf, eine Chance besteht immer dann, wenn ein Ereignis mit einer gewissen Wahrscheinlichkeit einen Nutzen zur Folge haben kann.<br>
-Est wenn eine ausreichende Reduktion der Risiken vorliegt, wird man mit den vorhandenen und geplanten Maßnahmen "zufrieden" sein. Man kann dies von Risiko zu Risiko einzeln entscheiden - oder einen allgemeinen Schwellenwert für die Akzeptanz verbleibender Risiken festlegen.<br>
+Est wenn eine ausreichende Reduktion der Risiken vorliegt, wird man mit den vorhandenen und geplanten Maßnahmen "zufrieden" sein. Man kann dies von Risiko zu Risiko einzeln entscheiden - oder einen allgemeinen Schwellenwert für die Akzeptanz verbleibender Risiken festlegen.<br><br>
 Der Schwellenwert wird meist eine der festgelegten Bewertungsstufen sein: Risiken einer bestimmten Stufe (und aller Stufen darunter) werden als akzeptabel angesehen.
 == Definition von Risiko ==

@@ Zeile 5: / Zeile 5: @@
 Ein [[(Sicherheits-)Notfall]] ist ein [[Sicherheitsvorfall]] mit gravierenden oder sogar katastrophalen Auswirkungen auf die Sicherheit.<br><br>
 In der Norm wird Risikobeurteilung als Zusammenfassung der Teilaktivitäten Risikoidentifizierung, Risikoanalyse und Risikobewertung betrachtet. Gelegentlich taucht auch der Begriff "Chance" auf, eine Chance besteht immer dann, wenn ein Ereignis mit einer gewissen Wahrscheinlichkeit einen Nutzen zur Folge haben kann.<br>
-Est wenn eine ausreichende Reduktion der Risiken vorliegt, wird man mit den vorhandenen und geplanten Maßnahmen "zufrieden" sein. Man kann dies von Risiko zu Risiko einzeln entscheiden - oder einen allgemeinen Schwellenwert für die Akzeptanz verbleibender Risiken festlegen.
+Est wenn eine ausreichende Reduktion der Risiken vorliegt, wird man mit den vorhandenen und geplanten Maßnahmen "zufrieden" sein. Man kann dies von Risiko zu Risiko einzeln entscheiden - oder einen allgemeinen Schwellenwert für die Akzeptanz verbleibender Risiken festlegen.<br>
 == Definition von Risiko ==
 In der Informationssicherheit wird der mögliche Eintritt von Sicherheitsereignissen als Risiko angesehen. Ein Risiko wird in aller Regel als eine Kombination aus [[Eintrittswahrscheinlichkeit]] und [[Schadenhöhe]] definiert.<br>

@@ Zeile 4: / Zeile 4: @@
 In der Norm wird sehr genau zwischen [[Events und Incidents Unterscheidung|Events und Incidents]] unterschieden.<br>
 Ein [[(Sicherheits-)Notfall]] ist ein [[Sicherheitsvorfall]] mit gravierenden oder sogar katastrophalen Auswirkungen auf die Sicherheit.<br><br>
-In der Norm wird Risikobeurteilung als Zusammenfassung der Teilaktivitäten Risikoidentifizierung, Risikoanalyse und Risikobewertung betrachtet. Gelegentlich taucht auch der Begriff "Chance" auf, eine Chance besteht immer dann, wenn ein Ereignis mit einer gewissen Wahrscheinlichkeit einen Nutzen zur Folge haben kann.
+In der Norm wird Risikobeurteilung als Zusammenfassung der Teilaktivitäten Risikoidentifizierung, Risikoanalyse und Risikobewertung betrachtet. Gelegentlich taucht auch der Begriff "Chance" auf, eine Chance besteht immer dann, wenn ein Ereignis mit einer gewissen Wahrscheinlichkeit einen Nutzen zur Folge haben kann.<br>
 == Definition von Risiko ==
 In der Informationssicherheit wird der mögliche Eintritt von Sicherheitsereignissen als Risiko angesehen. Ein Risiko wird in aller Regel als eine Kombination aus [[Eintrittswahrscheinlichkeit]] und [[Schadenhöhe]] definiert.<br>

@@ Zeile 4: / Zeile 4: @@
 In der Norm wird sehr genau zwischen [[Events und Incidents Unterscheidung|Events und Incidents]] unterschieden.<br>
 Ein [[(Sicherheits-)Notfall]] ist ein [[Sicherheitsvorfall]] mit gravierenden oder sogar katastrophalen Auswirkungen auf die Sicherheit.<br><br>
-In der Norm wird Risikobeurteilung als Zusammenfassung der Teilaktivitäten Risikoidentifizierung, Risikoanalyse und Risikobewertung betrachtet.
+In der Norm wird Risikobeurteilung als Zusammenfassung der Teilaktivitäten Risikoidentifizierung, Risikoanalyse und Risikobewertung betrachtet. Gelegentlich taucht auch der Begriff "Chance" auf, eine Chance besteht immer dann, wenn ein Ereignis mit einer gewissen Wahrscheinlichkeit einen Nutzen zur Folge haben kann.
 == Definition von Risiko ==
 In der Informationssicherheit wird der mögliche Eintritt von Sicherheitsereignissen als Risiko angesehen. Ein Risiko wird in aller Regel als eine Kombination aus [[Eintrittswahrscheinlichkeit]] und [[Schadenhöhe]] definiert.<br>

← Nächstältere Version		Version vom 1. Februar 2021, 14:03 Uhr
Zeile 11:		Zeile 11:
	Ein Risiko kann immer dann eintreten, wenn Schwachstellen vorhanden sind, d.h. wenn Sicherheitsmaßnahmen fehlen, ungeeignet konstruiert oder fehlerhaft angewendet werden. Bei den letzten beiden Fällen spricht man von [[konstruktive Schwachstellen\|konstruktiven]] bzw. [[operative Schwachstellen\|operativen Schwachstellen]].		Ein Risiko kann immer dann eintreten, wenn Schwachstellen vorhanden sind, d.h. wenn Sicherheitsmaßnahmen fehlen, ungeeignet konstruiert oder fehlerhaft angewendet werden. Bei den letzten beiden Fällen spricht man von [[konstruktive Schwachstellen\|konstruktiven]] bzw. [[operative Schwachstellen\|operativen Schwachstellen]].
	== Risikoidentifizierung ==		== Risikoidentifizierung ==
		+	Die Ermittlung (Erfassung und Benennung) von einzelnen Risiken für die [[Information Assets\|Informationswerte]] der Organisation, soweit sie im Anwendungsbereich des [[ISMS]] liegen.<br>
		+	Diese Ermittlung muss im Zusammenspiel mit den Verantwortlichen ([[Asset Owner]] bzw. [[Risk Owner]]) für die einzelnen [[Information Assets\|Informationswerte]] geschehen.
		+	== Risikanalyse ==
		+	Abschätzen bzw. Klassifizieren der Schadenhöhe und Eintrittshäufigkeit für jedes Risiko. Das Risiko wird dementsprechend festgelegt, z.B. in eine Risikoklasse.
		+	== Risikobewertung ==
		+	Feststellung, welche Auswirkungen ein Risiko auf die Organisation hat: meist geschrieht dies durch eine Bewertung der Risiken mit Stufen wie
		+	* Tolerabel
		+	* Mittel
		+	* Gravierend
		+	* Katastrophal