IT-Sicherheitsrichtlinie - Universität zu Lübeck

IT-Sicherheitsrichtlinie – Risikoanalyse
Die Bedrohungs- und Risikoanalyse wird in mehreren Schritten durchgeführt. Zunächst
werden alle für den Betrieb eines IT-Verfahrens benötigten Komponenten, Personen usw.
(in Anlehnung an die Terminologie des BSI-Grundschutz- und Sicherheitshandbuchs „Objekte“
genannt) erfasst. Anschließend werden systematisch die Risiken bzw. Bedrohungen
ermittelt, die an diesen Objekten angreifen können. Die daraus resultierenden Schäden
werden nach der im Kapitel 3 Schutzbedarfsanalyse verwendeten dreiteiligen Werteskala
(siehe Tabelle 1, Seite 54) klassifiziert. Danach wird eine Abschätzung vorgenommen, bei
der ermittelt werden soll, mit welcher Wahrscheinlichkeit ein Schaden in dieser Höhe zu
erwarten ist. Hierfür wird wiederum eine Skala mit Werten von „häufig“ bis „praktisch nie“
verwendet, wobei den Werten die in der folgenden Tabelle aufgeführten Bedeutungen
unterlegt werden.
Bedeutung
praktisch nie
sehr selten
selten
öfter
häufig
Beschreibung
Das Schadensereignis tritt praktisch nie auf und wird daher nicht betrachtet. (z.B. Erdbeben)
Das Eintreten des Schadensereignis ist nicht auszuschließen, tritt aber nur sehr selten
auf (alle 50 bis 100 Jahre, z.B. Brand)
Das Schadensereignis tritt alle paar Jahre einmal auf (z.B. Festplattenausfall)
Das Schadensereignis tritt alle paar Monate einmal auf (z.B. Bandfehler bei Backup/Restore,
versehentliches Löschen von Daten)
Das Schadensereignis tritt alle paar Wochen einmal auf (z.B. Ausfall der Netzwerkverbindung;
Eingabefehler)
Tabelle 4: Häufigkeitswerte der Eintrittswahrscheinlichkeit von Schäden.
Das Risiko, das aus einer Bedrohung erwächst, wird bestimmt durch die Höhe des Schadens
und die relative Häufigkeit des Eintretens der Bedrohung. Mathematisch ausgedrückt
ist das Risiko der Erwartungswert für den Schaden pro Zeiteinheit. Das Risiko wird also beschrieben
durch das Wertepaar Schadenshöhe und Schadenshäufigkeit. Es wird unterschieden
zwischen tragbaren und untragbaren Risiken.
Die Zuordnung von Risiken zu einer bestimmten Kategorie erfolgt anhand der nachstehenden
Tabelle 5. Dabei bedeuten
Untragbar – untragbares Risiko,
Tragbar – noch tragbares Risiko.
Untragbare Risiken müssen durch zusätzliche Maßnahmen auf das tragbare Maß reduziert
werden. Der Verfahrensverantwortliche hat zu entscheiden, ob durch die verwirklichten
Schutzmaßnahmen das Risiko tragbar und somit der Betrieb des IT-Verfahren in der vorgesehenen
Form verantwortbar für die teilnehmenden Institutionen ist.
60 von 75