Hier möchten wir Ihnen gerne eine umfassende ISO 27005 Einführung geben.

Die ISO 27005 findet man vor allem in der IT-Branche. Dort regelt die ISO 27005 das Risikomanagement eines ISMS (Informationssicherheits- Managementsystem). Mehr über ISMS können Sie auch auf dieser Seite erfahren.

Im Bereich Informationssicherheitsmanagement ISMS stellt die ISO 27005 eine genaue Anleitung zur IT Risikoanalyse und zum Risikomanagement im IT Bereich. Die ISO 27005 beinhaltet dabei einerseits eine Beschreibung des kompletten Risikomanagementprozesses als Ganzes und andererseits eine genaue Beschreibung der einzelnen Schritte des Risikomanagement und der Risikoanalyse. Die Anhänge der IEC 27005 liefern nützliche Informationen zur Etablierung eines Risikomanagement im Bereich Informationssicherheit und damit zur Erfüllung von Forderungen der ISMS Norm ISO 27001.

VORLAGE:

Hier erhalten Sie die Verfahrensanweisung Risikomanagement nach ISO 27001 kostenlos!

Risikomanagement und IT Risikoanalyse, wie in der IEC 27005 beschrieben, begründen sich auf den in der ISO IEC 27001 verankerten Forderungen nach:

• einer klaren Vorgehensweise zur Einschätzung von Risiken inkl. der Festlegung von Akzeptanzkriterien
• der Identifikation von Risiken, insbesondere bezogen auf bedrohte Werte, direkte und indirekte Bedrohungen und Schwachstellen
• der Analyse der Risikoauswirkungen sowie der Abschätzung der Risikowahrscheinlichkeit und des Risikoniveaus
• Optionen zur Risikobehandlung
• Identifikation und Evaluation von passenden Risikomanagementmaßnahmen

Dabei verlangt die ISO 27001 eine systematische, reproduzierbare und dokumentierte Vorgehensweise.

THEMENLINK:

Alles über ISO 27001 & IT-Sicherheit

 

Bei der Risikoanalyse im Bereich Informationssicherheits- Management wird eine Aussage über Eintrittswahrscheinlichkeit und Schadenshöhe möglicher Risiken getroffen. Die Risikoanalyse ist ein systematisches Verfahren, welches Risiken bewertet und Zusammenhänge transparent macht. So können Probleme und eventuelle Schäden frühzeitig entdeckt werden und es entstehen weniger Schäden.

                          

Abb. I: Ablauf Risikoanalyse

Folgende Schritte kennzeichnen eine IT Risiko Analyse:

1. Definition eines systematischen Ansatzes für den Umgang mit Risiken (Risikomanagement)
2. Beschreibung eines geeigneten Ansatzes (Methode) zur Analyse, Bewertung und Behandlung von Risiken (Risikomanagementhandbuch):

• Festlegung der Schutzklassen und Kriterien (Schadenshöhe, Eintrittswahrscheinlichkeit, Risikoakzeptanz)
• Festlegen der Verantwortlichkeiten
• Festlegen der Review-Zyklen

3. Verfahrensanweisung zum IT Risk Management
4. Erfassen aller bedrohten Objekte und deren Wert (Klassifizieren nach Schutzklassen)
5. Erfassen der Daten und Informationen (Klassifizieren nach Schutzklassen) durch eine IT Risiko Analyse
6. Erfassen der Bedrohungen und der Schwachstellen

• Die Bedrohungen sind im Zuge der IT Risikoanalyse in einer Excel Tabelle systematisch zu erfassen
• Bewertung von möglichen Schäden durch Verlust, Veränderung oder Ausfall
• Die Schäden sind in einer Excel Tabelle systematisch zu erfassen und zu bewerten

7. Bewertung der Eintrittswahrscheinlichkeit
8. Erstellung einer Risikomatrix (siehe Abbildung)

• Eintrittswahrscheinlichkeit pro Schaden sowie die zu erwartende Schadenshöhe

         

Abb. II: Risikomatrix

THEMENLINK:

ISMS Einführung

Um sich bei projektorientiertem Risikomanagement nicht allzu sehr im Detail zu verlieren, sollte man bei der Durchführung einer Risikoanalyse folgendes beachten:

• Gruppiere die ermittelten Werte in der ISO 27005 Risikoanalyse nach ihrem Eigentümer
• Beginne mit nur ca. 10 Wertegruppen
• Beginne mit nur ca. 10 allgemeinen Bedrohungen
• Versuche Wissensträger mit einzubeziehen und Szenarien abzuleiten
• Betrachte nur umfangreiche Risiken, nicht die alltäglichen
• Führe die Abschätzung der Risikowahrscheinlichkeit in 3 Stufen durch (häufig, selten und sehr selten)
• Schätze die Schadenshöhe im Zuge der Risikoanalyse nach ISO 27005 Risikomanagement in 3 Stufen (erheblich, kritisch und katastrophal)

Für IT Risiko Analysen zur Informations- und Datensicherheit stehen eine ganze Reihe von Modellen und Methoden zur Verfügung. Die wichtigsten sind mathematische Modelle wie Sie insbesondere bei Versicherungen und Banken zum Einsatz kommen, Integrierte Ansätze aus dem Controllingbereich z.B. Planrechnungen, die sogenannte Suva-Methode, natürlich die FMEA (Fehler Möglichkeits- und Einfluss Analyse), die Failure Tree Analysis oder die komplexere Balanced Score Card. Dazu gibt es noch zahlreiche qualitativ-heuristische Methoden, die den Vorteil eines verhältnismäßig geringeren Aufwands bieten.

---

Ausbildung zum ISMS Beauftragten Wir bilden Sie in nur 3 Stufen zum ISMS Beauftragten aus – nach der Ausbildung können Sie ein ISMS einrichten, betreuen und verbessern! Seminar ISMS - ISO 27001 Basiswissen Seminar Interner Auditor ISMS - ISO 27001 Seminar ISMS Beauftragter - ISO 27001

---