IT-Sicherheitsrichtlinie - Universität zu Lübeck

IT-Sicherheitsrichtlinie – Risikoanalyse
4. Risikoanalyse
Für jeden IT-Arbeitsprozess bzw. jedes IT-
Verfahren mit hohem oder sehr hohem
Schutzbedarf (Schadensstufe „hoch“ und
„sehr hoch“) muss eine Bedrohungs- und
Risikoanalyse durchgeführt werden. Die
dabei ermittelten untragbaren Risiken
müssen durch geeignete Maßnahmen auf
ein tragbares Maß reduziert werden. Separat
für jeden IT-Arbeitsprozess bzw. jedes
IT-Verfahren sind die Ergebnisse in geeigneter
Weise zu dokumentieren.
Der Begriff „Risiko“ ist definiert als ein Maß
für die Gefährdung, die von einer Bedrohung
ausgeht. Das Risiko setzt sich zusammen
aus zwei Komponenten: die Wahrscheinlichkeit,
mit der das Ereignis eintritt,
und die Höhe des Schadens, der als Folge
des Ereignisses auftritt.
In der Schutzbedarfsanalyse wird – unabhängig
von bereits getroffenen Maßnahmen
– der mögliche Schadensumfang abgeschätzt („worst case“-Analyse). Die Bewertungstabelle
(siehe Tabelle 1, Seite 54) definiert die Schwelle des noch tragbaren Risikos.
Ergibt sich ein Schutzbedarf von „hoch“ oder „sehr hoch“, werden in einem zweiten Schritt
(Risikoanalyse) – also nach Erkennen der Gefahr – Vorkehrungen und Maßnahmen erarbeitet,
um die Wahrscheinlichkeit des Schadenseintritts und damit das Risiko zu reduzieren.
Ziel ist es, eine relative Sicherheit herzustellen.
Bei der Bedrohungs- und Risikoanalyse wird vorausgesetzt, dass die im Kapitel IT-
Grundschutz vorgesehenen Maßnahmen auch für die hier betrachteten Verfahren umgesetzt
werden. Daher werden die dort festgelegten Maßnahmen hier nicht noch einmal
aufgeführt. Das Ergebnis der Risikoanalyse beinhaltet somit nur die zusätzlich notwendigen,
über den Grundschutz hinausgehenden Maßnahmen.
Zur Durchführung einer Risikoanalyse existieren verschiedene Methoden. Die hier vorgestellte
Methode orientiert sich an dem Sicherheitshandbuch des BSI. Zur Durchführung
einer Risikoanalyse kann aber auch eine alternative Methode angewendet werden. Die
Anwendung einer alternativen Methode sollte in Absprache mit der für die Meldung von
IT-Verfahren zuständigen Stelle, zurzeit der IT-Sicherheitsbeauftragter, erfolgen.
59 von 75