Methoden der Risikobewertung
Seit der Finanzkrise ab 2008 hat die Risikoanalyse im internen Management von Organisationen stark an Bedeutung gewonnen. Vorher wurde in diesem Bereich in den meisten Unternehmen unsystematisch und isoliert gearbeitet. Seitdem haben Unternehmen ihre interne Kontrolle gestärkt und das Risikomanagement auf alle Bereiche ausgeweitet.
Heute gibt es zahlreiche Methoden der Risikoanalyse, mit denen sich das Risikomanagement systematisch gestalten lässt. Innerhalb der unternehmensweiten Risikoanalyse ist es besonders wichtig, die Risiken zu betrachten, die die Informationssicherheit gefährden können. Dafür gibt es verschiedene Methoden der Risikobewertung. In diesem Artikel stellen wir drei der bekanntesten vor: MEHARI, EBIOS und OCTAVE.
Alle drei folgen derselben Grundlogik: ermitteln, was geschützt werden muss, Bedrohungen und Schwachstellen identifizieren, das Risiko bewerten und mit einem Behandlungsplan abschließen, der es auf ein akzeptables Niveau senkt. Den Vergleich zwischen dem Risiko vor und nach den Maßnahmen erklären wir unter inhärentes Risiko und Restrisiko, und wenn Sie das Risiko zusätzlich in Euro ausdrücken möchten, unter Risikoquantifizierung.
Die Methode MEHARI
MEHARI ist eine Methode, die der CLUSIF (Club de la Sécurité de l’Information Français) 1998 entwickelt hat und die seit 2007 Open Source ist.
Ziel der Methode ist es, Risikosituationen, die in verschiedenen Szenarien beschrieben sind, direkt und einzeln zu analysieren. Dazu bietet sie einen vollständigen Werkzeugsatz für das Sicherheitsmanagement auf kurze, mittlere und lange Sicht, der sich an unterschiedliche Reifegrade anpassen lässt.
MEHARI gliedert sich in folgende Phasen:
- Risikoanalyse oder Risikobewertung
Eine Risikosituation lässt sich durch verschiedene Faktoren beschreiben:
- Strukturelle (oder organisatorische) Faktoren, die nicht von den Sicherheitsmaßnahmen abhängen, sondern von der Haupttätigkeit der Organisation, ihrem Umfeld und ihrem Kontext.
- Risikomindernde Faktoren, die direkt von den eingeführten Sicherheitsmaßnahmen abhängen.
MEHARI ermöglicht eine qualitative und quantitative Bewertung dieser Faktoren und leitet daraus die Risikoniveaus ab.
Dazu bringt die Methode Werkzeuge (etwa Bewertungskriterien und Formeln) und Wissensdatenbanken mit, vor allem für die Diagnose der Sicherheitsmaßnahmen, als wesentliche Ergänzung zum Rahmen der Risikoanalyse.
Nötig ist ein strukturiertes Vorgehen, das alle möglichen Risikosituationen erfasst, damit die kritischsten analysiert und Maßnahmen bestimmt werden können, die das Risiko auf ein akzeptables Niveau senken.
- Sicherheitsbewertungen
MEHARI enthält Fragebögen zu Sicherheitsmaßnahmen, mit denen sich die Qualität der Mechanismen und Lösungen zur Risikominderung bewerten lässt. Die Maßnahmen sind in Sicherheitsdienste und Sicherheitsdomänen gruppiert. Für die Bewertung sind folgende Schritte nötig:
- Prüfung der Schwachstellen bzw. Bewertung der Sicherheitsdienste: MEHARI liefert ein strukturiertes Risikomodell, das die risikomindernden Faktoren in Form von Sicherheitsdiensten abbildet.
Die Schwachstellenbewertung soll sicherstellen, dass die Sicherheitsdienste ihre Aufgabe tatsächlich erfüllen.
Grundlage der Bewertung ist eine von MEHARI bereitgestellte Expertenwissensbasis, mit der sich die Qualität der Sicherheitsmaßnahmen einschätzen lässt.
- Sicherheitspläne auf Basis der Schwachstellenprüfung: Die Sicherheitspläne ergeben sich direkt aus der Bewertung des Zustands der Sicherheitsdienste.
Das Sicherheitsmanagement konzentriert sich darauf, eine Bewertung durchzuführen und alle Dienste zu verbessern, deren Qualität nicht ausreicht.
MEHARI stellt dafür Diagnosefragebögen bereit.
- Wissensdatenbanken als Grundlage für ein Sicherheitsreferenzwerk: Mit den Wissensdatenbanken von MEHARI lässt sich direkt ein Sicherheitsreferenzwerk erstellen, das alle Sicherheitsregeln und -anweisungen enthält und beschreibt, die die Organisation befolgen muss.
Die Bewertungsfragebögen von MEHARI sind eine gute Arbeitsgrundlage für Sicherheitsverantwortliche, um zu entscheiden, was in der Organisation umgesetzt werden soll.
Ein Regelwerk über ein Sicherheitsreferenzwerk stößt bei der Umsetzung vor Ort oft auf Schwierigkeiten. Deshalb müssen Ausnahmen und Abweichungen gesteuert werden.
- Abgedeckte Bereiche des Moduls zur Schwachstellenbewertung: Aus Sicht der Risikoanalyse, die alle Risikosituationen erfassen und alle inakzeptablen Risiken abdecken will, beschränkt sich MEHARI nicht auf die IT.
Neben den Informationssystemen deckt das Bewertungsmodul die gesamte Organisation ab, etwa den Schutz des Standorts, das Arbeitsumfeld sowie rechtliche und regulatorische Aspekte.
- Bedrohungsanalyse
Unabhängig von der Ausrichtung der Sicherheitspolitik sind sich alle Verantwortlichen in einem Punkt einig: Die Investitionen in Sicherheit müssen in einem ausgewogenen Verhältnis zur Bedeutung der wichtigsten geschäftlichen Herausforderungen stehen.
Das heißt: Die Bedrohungen für das Geschäft zu verstehen ist unverzichtbar, und die Analyse des Sicherheitskontexts verdient hohe Priorität und eine strenge, sorgfältige Bewertungsmethode.
Die Bedrohungsanalyse soll eine doppelte Frage beantworten: Was kann passieren, und wenn es passiert, ist es ernst?
MEHARI bietet ein Modul zur Bedrohungsanalyse mit zwei Arten von Ergebnissen:
- Eine Werteskala möglicher Fehlfunktionen in den operativen Prozessen.
- Eine Klassifizierung der Informationen und IT-Werte: Für jede Informationsart, jeden IT-Wert und jedes Klassifizierungskriterium (meist Vertraulichkeit, Integrität und Verfügbarkeit) wird eine Einstufung festgelegt. Die Klassifizierung ist die zuvor definierte Skala der Fehlfunktionen, übersetzt in Sensibilitätsindikatoren für die IT-Werte.
Die Skala der Fehlfunktionen und die Klassifizierung von Informationen und Werten sind zwei unterschiedliche Arten, Sicherheitsbedrohungen auszudrücken. Die erste ist detaillierter und liefert CISOs mehr Informationen, die zweite ist allgemeiner und eignet sich besser für Sensibilisierungs- und Informationskampagnen.
Die Methode EBIOS
EBIOS ist eine Methode, die von der DCSSI (Direction centrale de la sécurité des systèmes d’information), der heutigen ANSSI, für französische Behörden gefördert wurde. Seit 2018 gilt die Fassung EBIOS Risk Manager, die in fünf Workshops gegliedert ist und Angriffsszenarien in den Mittelpunkt stellt. Die folgenden Schritte stammen aus der früheren Fassung, die weiterhin hilft, die Logik der Methode zu verstehen. Ziel der Methode ist eine umfassende und stimmige Sicht auf die Sicherheit der Informationssysteme, aus der sich die Sicherheitsziele und -anforderungen des Unternehmens ableiten lassen.
Die frühere Fassung von EBIOS bestand aus fünf Schritten:
- Untersuchung des Kontexts
Zunächst werden der Kontext des Unternehmens und seine Entwicklung untersucht. So lassen sich alle wesentlichen Elemente identifizieren, die mit dem Unternehmen verbunden sind: Hardware, Software, Netze, Organisationseinheiten, Personal und Standorte.
- Sicherheitsbedarf beschreiben
Jedes identifizierte Element hat einen eigenen Sicherheitsbedarf. Er wird anhand von Sicherheitskriterien wie Verfügbarkeit, Integrität und Vertraulichkeit beschrieben und nach festgelegten Kriterien bewertet, wobei die Auswirkungen berücksichtigt werden, die der Verlust eines dieser Kriterien haben kann.
- Untersuchung der Bedrohungen
Jede Organisation ist je nach natürlichem und kulturellem Umfeld, Image, Tätigkeitsbereich usw. verschiedenen Gefahrenquellen oder Bedrohungen ausgesetzt. Deshalb müssen alle Gefahrenquellen und ihre möglichen Angriffsmethoden ermittelt werden.
Je nach Angriffsmethode hat jedes Unternehmen andere Schwachstellen, die von den jeweiligen Gefahrenquellen ausgenutzt werden können.
- Sicherheitsziele festlegen
Nun bleibt, das Risiko zu bestimmen, also wie die Gefahrenquellen mit ihren Angriffsmethoden die wesentlichen Elemente treffen können.
Das Risiko steht für einen möglichen Schadensfall: die Möglichkeit, dass eine Gefahrenquelle die wesentlichen Elemente beeinträchtigt, indem sie mit einer bestimmten Angriffsmethode Schwachstellen der Einheiten ausnutzt, auf denen diese Elemente beruhen.
Die Sicherheitsziele sollen die in der Organisation festgestellten Schwachstellen abdecken.
Gleichzeitig ist es sinnlos, zu schützen, was nicht exponiert ist. Je größer das Risiko, desto wichtiger die Sicherheitsziele, und für Nichtexponiertes müssen keine Ziele festgelegt werden.
- Sicherheitsanforderungen bestimmen
Das Team, das EBIOS anwendet, muss die erwarteten Sicherheitsfunktionen genau beschreiben und mit diesen funktionalen Anforderungen nachweisen, dass die Sicherheitsziele vollständig abgedeckt sind.
Außerdem muss es die Sicherheitsanforderungen festlegen, mit denen sich das notwendige Vertrauensniveau erreichen und anschließend belegen lässt.
Die Methode OCTAVE
Der konzeptionelle Rahmen, auf dem der ursprüngliche Ansatz von OCTAVE beruht, wurde 1999 vom SEI (Software Engineering Institute) der Carnegie Mellon University veröffentlicht. Ziel war es, die Herausforderungen bei der Einhaltung von Sicherheitsvorgaben im US-Verteidigungsministerium anzugehen.
OCTAVE richtet sich an mittlere und große Unternehmen mit mehr als 300 Beschäftigten, die folgende Merkmale aufweisen:
- Mehrstufige Organisationsstruktur
- Eigene IT-Infrastruktur
- Fähigkeit, Schwachstellen zu bewerten
- Fähigkeit, die Ergebnisse von Schwachstellenbewertungen zu interpretieren
Die Methode OCTAVE hat drei Phasen:
- Identifikation der Werte
Die Organisation ermittelt die wichtigsten Werte, mit denen Informationen verarbeitet werden. Dabei sollten alle Werte erfasst werden, die zum Unternehmen gehören und die IT-Dienste unterstützen, ebenso alle Datenträger mit Informationen.
Sind alle informationstragenden Werte erfasst, werden sie bewertet, um die für den Betrieb kritischsten zu bestimmen und ihnen alle Bedrohungen zuzuordnen, die ihre Sicherheit beeinträchtigen können.
- Analyse der Infrastruktur
Ergänzend zur Analyse aus Phase 1 bewertet das Risikoanalyse-Team die technische und physische Infrastruktur, auf der die informationstragenden Werte des Unternehmens beruhen, und ermittelt ebenso alle Bedrohungen, die die Sicherheit dieser Infrastruktur beeinträchtigen können.
- Risikoanalyse
Zum Schluss bewertet das Team alle Bedrohungen und ermittelt die für das Unternehmen relevantesten Risiken. Für die höchsten Risiken wird ein Minderungsplan entwickelt, mit dem neue Maßnahmen eingeführt oder bestehende verbessert werden, um das Risikoniveau der zuvor als kritisch eingestuften Werte zu senken.
Mit jeder dieser Methoden oder einer Kombination daraus lässt sich ein möglichst realistisches Bild der Risiken gewinnen, die die Informationssicherheit betreffen können.
Bei GlobalSuite Solutions verfügen wir über ein erfahrenes Team für Risikoanalysen in der Informationssicherheit, das je nach Unternehmen die passende Methode einsetzt und Sie bei der Verbesserung Ihres Sicherheitsmanagements unterstützen kann. Mit der vollständig von unserem Team entwickelten Software GlobalSuite® lässt sich jede Risikoanalyse aktuell halten und effizient sowie lückenlos nachvollziehbar verwalten.
