Lektion Progress
0% Complete

Wann liegt eine Bedrohung vor?
Eine Bedrohung ist jedes potenzielle Ereignis, dessen Eintritt zu einem wahrnehmbaren Schaden führt. In der Regel sind IT-Systeme von Bedrohungen betroffen, welche die IT-Systeme unmittelbar betreffen oder durch Interaktion mit diesen Systemen entstehen (beispielsweise durch Cyber-Attacken). Damit mögliche Bedrohungslagen eines Unternehmens erkannt werden können, müssen die möglichen Bedrohungen evaluiert werden. Dabei ist folgende Frage zu beantworten: Welche Bedrohungen sind für die IT-Systeme des Unternehmens oder der Branche relevant? Die Evaluierung kann mithilfe von Workshops durchgeführt werden.

Definition der Schutzziele

Unter Schutzzielen ist im Allgemeinen die Anforderungen an ein System, die zum Schutz von Gütern erfüllt werden, zu verstehen. Die klassischen Schutzziele der IT-Sicherheit sind Vertraulichkeit, Integrität und Verfügbarkeit. Die Belastbarkeit der Systeme ergänzt das klassische Schutzziel der Verfügbarkeit.

Analyse der Verwundbarkeit-Risikoanalyse

Die evaluierte Bedrohung muss auch bewertet werden. Dazu wird dem Ergebnis eine Eintrittswahrscheinlichkeit und damit ein Risiko hinzugefügt.

Damit sich die Risiken einordnen und steuern lassen können. Die Frage, welches Risiko welche Auswirkung aufs Unternehmen hat, muss in diesem Verfahrenspunkt festgehalten werden. Die Einordnung erfolgt am besten in einer Tabelle.

Definition der Maßnahmen

Für jedes erkannte Risiko wird eine geeignete Maßnahme zum Schutz der Datensicherheit und des Datenschutzes behoben. Die Maßnahmen können in drei Kategorien eingeteilt werden:

  • Prävention, z.B. durch Datenträgerkontrollen und Schulungen zur Sensibilisierung der Mitarbeiter
  • Detektion, z.B.:  durch Auswertung von Logfiles auf Angriffe und Monitoring der Server (in Echtzeit)
  • Reaktion, z.B.: durch Response/Reaktionsplan als Teil des Notfallplans und Wiederbeschaffungs-, Wiederanlaufpläne

Aufrechterhaltung der Maßnahmen im laufenden Betrieb

Zuletzt sind die aus den Analysen und definierten Maßnahmen gewonnenen Erkenntnisse nachhaltig in das Gesamtsystem des Unternehmens einzuarbeiten.

Die zuständige Abteilung und deren Personen müssen, für die Mitarbeiter des Unternehmens bekannt gemacht werden. Die Kompetenzen und Zuständigkeiten werden innerhalb des Unternehmens für das Informations-Sicherheit-Management-System festgelegt.