7Risikoanalyse

Für alle Daten bzw. Datenverarbeitungsschritte, für die in der Schutzbedarfsanalyse ein erhöhter Schutzbedarf ermittelt wurde (Schadensstufe "hoch" oder "sehr hoch"), muss zusätzlich eine Analyse der Risiken durchgeführt werden. Im Unterschied zur Schutzbedarfsanalyse werden in der Risikoanalyse die schadensverursachenden Ereignisse betrachtet.

7.1Begriffsdefinitionen

Der Begriff "Risiko" ist definiert als Maß der Gefährdung, die von einer Bedrohung ausgeht. Das Risiko setzt sich aus zwei Komponenten zusammen: der Wahrscheinlichkeit, mit der das Ereignis eintritt und der Höhe des Schadens, der als Folge des Ereignisses auftritt.

Für die Abschätzung, mit welcher Wahrscheinlichkeit ein Schaden zu erwarten ist, werden Werte von "selten" bis "häufig" verwendet. Dabei werden den Werten die in der folgenden Tabelle aufgeführten Bedeutungen unterlegt.

In der Risikoanalyse werden die für IT-Verfahren benötigten Komponenten als Zielobjekte bezeichnet. Die Zielobjekte können in Kategorien geordnet werden.

7.2Vorgehensweise

Die Risikoanalyse wird in mehreren Schritten durchgeführt. Ausgehend von der Erfassung aller für den Betrieb eines IT-Verfahrens benötigten Zielobjekte werden die folgenden Arbeitsschritte durchgeführt:

Untragbare Risiken müssen durch zusätzliche Maßnahmen auf das für die Freie Universität Berlin tragbare Maß reduziert werden. Das Ergebnis der Risikoanalyse beinhaltet nur die zusätzlich notwendigen, über den Grundschutz hinausgehenden Maßnahmen. Der/die Verfahrensverantwortliche hat zu entscheiden, ob durch die umgesetzten Schutzmaßnahmen das Risiko tragbar und somit der Betrieb des IT-Verfahren in der vorgesehenen Form verantwortbar für die Freie Universität Berlin ist.

7.3Beispiel

Anhand des folgenden Beispiels soll die Vorgehensweise bei der Risikoanalyse verdeutlicht werden. Das Beispiel-IT-Verfahren besteht nur aus dem Betrieb eines Fileservers. Darum wird nur die Gruppe der Komponenten betrachtet, die für den Betrieb des Fileservers relevant sind. Die grüne unterbrochene Linie soll diese Abgrenzung kennzeichnen.

Ausgangssituation

Die Schutzbedarfsanalyse hat ergeben, dass die auf dem Fileserver abgelegten Daten vertraulich behandelt werden müssen (Schutzbedarf "hoch"). Für die Verfügbarkeit und Integrität der Daten wurden keine be-sonderen Anforderungen ermittelt. Daher muss in diesem Beispiel nur die Vertraulichkeit berücksichtigt werden.

Die Relevanz der Komponenten ergibt sich aus der Abgrenzung des betrachteten Bereichs. Für den Betrieb des Fileservers sind der Server selbst und die darauf installierte Software relevant. Außerdem ist das angeschlossene Netzwerk, die für den Betrieb zuständigen Administratoren sowie der Aufstellungsort des Servers relevant. Die Nutzer und die am Netz angeschlossenen Client-Geräte sind für den Serverbetrieb nicht relevant.

Schritt 1: Identifizierung der an dem IT-Verfahren beteiligten Komponenten

Schritt 2: Bestimmung der relevanten Komponenten,
                basierend auf dem Ergebnis der Schutzbedarfsanalyse³⁾

Schritt 3: Bestimmung der Gefährdungen der ermittelten Komponenten

Schritt 4: Abschätzung der Häufigkeit von Schäden

Bei der Abschätzung der Häufigkeit von Schäden kann ein Blick in die vergangenen Jahre hilfreich sein. Tritt bei vergleichbaren Szenarien eine Häufung von Schäden bei bestimmten Zielobjekten auf, kann dies ein Hinweis sein. Werden keine Anhaltspunkte gefunden, kann oft eine Befragung der Administratoren oder Anwender in diesem Bereich nützlich sein.

Schritt 5: Zusammenstellung und Bewertung (Klassifizierung) der Risiken

Schritt 6: Auswahl der Maßnahmen zur Reduzierung der untragbaren Risiken

Geeignete Maßnahmen können sowohl technische als auch organisatorische Maßnahmen sein. In diesem Beispiel wäre der Einsatz einer Firewall eine geeignete technische Gegenmaßnahme, um die häufigen Zugriffsversuche auf den Fileserver abzuwehren:

Maßnahme 1:
Installation und Betrieb einer Paketfilter-Firewall, die den gesamten Datenverkehr zum Fileserver kontrolliert. Durch geeignete Filtereinstellungen werden nur die erlaubten Datenpakete weitergeleitet.

Schritt 7: Erklärung zur Übernahme der Restrisiken durch die/den Verfahrensverantwortliche/n

Der/die Verfahrensverantwortliche bestätigt in Kenntnis der Restrisiken, dass der Betrieb des IT-Verfahrens den für die Freie Universität geltenden Sicherheitsanforderungen genügt.

Die Dokumentation der Risikoanalyse besteht im Wesentlichen aus drei Teilen:

1. dem zu betrachtenden Bereich eines IT-Verfahrens (Abgrenzung)
2. den oben skizzierten Tabellen (Dabei ist es nicht nötig, für jeden Schritt eine eigene Tabelle anzulegen. Sinnvoller wäre eine einzige Tabelle, die schrittweise ausgefüllt wird; siehe Tabelle 18.)
3. der Beschreibung der Maßnahmen

Es wird unterschieden zwischen den zwei Risikoklassen "tragbar" und "untragbar". Die Zuordnung von Risiken zu einer bestimmten Risikoklasse erfolgt anhand der nachstehenden Tabelle 10.

Dabei bedeuten

In diesem Bespiel wird bewusst eine sehr einfache IT-Landschaft zugrunde gelegt, damit die

Vorgehensweise der Risikoanalyse verdeutlicht werden kann. Aus diesem Grund bleiben auch die Vorteile der modularen Dokumentationsstruktur hier unerwähnt. In einem näher an der Realität orientierten Beispiel hätte das Zielobjekt „Netzwerk“ nach Schritt 2 (Bestimmung der relevanten Komponenten) nicht weiter analysiert werden müssen, denn ein Verweis auf das Dokumentationsmodul „Netzwerk“ des Hochschulrechenzentrums hätte ausgereicht. Der Betrieb des Netzwerks liegt in der Zuständigkeit des Hochschulrechenzentrums, dort muss es auch vollständig, also inkl. Risikoanalyse, dokumentiert werden.

Bei komplexen IT-Landschaften, d.h. die Liste der relevanten Zielobjekte ist lang, können nach Schritt 2 alle Zielobjekte als erledigt angesehen werden, die an anderer Stelle bereits dokumentiert wurden. Für jedes dieser Zielobjekte muss lediglich auf das betreffende Dokumentationsmodul der anderen Stelle verwiesen werden.

Die dabei ermittelten untragbaren Risiken müssen durch geeignete Vorkehrungen und Maßnahmen auf ein tragbares Maß reduziert werden. Diese sind in geeigneter Weise zu dokumentieren. Nach Abschluss der vollständigen Dokumentation bestätigt der/die Verfahrensverantwortliche in Kenntnis der Restrisiken, dass der Betrieb des IT-Verfahrens den für die Freie Universität geltenden Sicherheitsanforderungen genügt.

Bei der Bestimmung der Gefährdungen der ermittelten Zielobjekte (Schritt 3) soll die folgende Tabelle behilflich sein. Sie bietet eine – nicht abschließende – Übersicht über die elementaren Gefährdungen sowie die Nennung der hauptsächlich betroffenen Grundwerte (Vertraulichkeit, Integrität und Verfügbarkeit).