Anleitungen
Risiko behandeln mit KaitoSec
Ein geführtes Szenario von der Risikobeschreibung bis zur Restrisikoakzeptanz.
Dieses Szenario führt ein Risiko vom unscharfen Bauchgefühl zur dokumentierten Behandlungsentscheidung. Entscheidend ist, dass Risiko, Maßnahme und Restrisiko zusammenpassen.
| Baustein | Inhalt |
|---|
| Normziel | ISO 27001 Abschnitte 6.1.2 und 6.1.3. Informationssicherheitsrisiken müssen bewertet, behandelt und als Restrisiko akzeptiert werden. |
| Funktion | KaitoSec verbindet Risikoszenario, Bewertung, Behandlungsoption, Maßnahmen, Nachweise, Restrisiko und Akzeptanzentscheidung. |
| Ergebnis | Ein behandeltes Risiko mit begründeter Maßnahme, nachweisbarer Wirkung und akzeptiertem Restrisiko. |
| Schritt | Arbeit in KaitoSec | Ergebnis |
|---|
| 1 | Betroffenes Asset, Ursache, Ereignis und Auswirkung beschreiben. | Gute Risikobeschreibung. |
| 2 | Eintritt und Auswirkung vor Maßnahmen bewerten. | Bruttorisiko. |
| 3 | Mindern, akzeptieren, übertragen oder vermeiden entscheiden. | Behandlungsentscheidung. |
| 4 | Bestehende oder neue Maßnahmen mit Verantwortlichkeit und Frist zuordnen. | Behandlungsplan. |
| 5 | Nachweise zur Umsetzung und Wirksamkeit bestimmen. | Nachweisstrategie. |
| 6 | Risiko nach Behandlung neu bewerten und akzeptieren lassen. | Akzeptiertes Restrisiko. |
| Feld | Beispiel |
|---|
| Risiko | Unberechtigter Zugriff auf CRM-Kundendaten durch kompromittiertes Benutzerkonto. |
| Asset | CRM-Plattform. |
| Ursache | Phishing oder schwache Anmeldekontrolle. |
| Bruttorisiko | Hoch. |
| Behandlung | Mindern durch Mehrfaktoranmeldung, Rollenprüfung und Sensibilisierung. |
| Restrisiko | Mittel, akzeptiert durch die ISMS-verantwortliche Person. |
| Nachweis | Rollenexport, Schulungsabschluss und Konfigurationsprüfung. |
Das ist ausreichend, wenn das Risiko als Szenario verständlich ist und die Behandlung nachweislich Eintritt oder Auswirkung reduziert.
| Fehler | Beraterhinweis |
|---|
| Risiko als Schlagwort | Schlagworte wie Datenverlust reichen nicht für Bewertung und Behandlung. |
| Maßnahmen ohne Wirkung | Beschreibe, wie die Maßnahme Eintritt oder Auswirkung reduziert. |
| Restrisiko vergessen | Nach Behandlung muss eine neue Bewertung und Akzeptanz erfolgen. |
| Situation | Nächster Schritt |
|---|
| Beschreibung ist zu allgemein | Ursache, Ereignis, Asset und Auswirkung ergänzen. |
| Maßnahme fehlt | Bestehende Maßnahme verbinden oder neue Aufgabe erstellen. |
| Restrisiko bleibt hoch | Managemententscheidung und weitere Behandlung dokumentieren. |
