Das Beispielunternehmen RECPLAST - Bundesamt für Sicherheit in ...

Webkurs IT-Grundschutz – das Beispielunternehmen RECPLAST
7 Ergänzende Risikoanalyse
Immer dann, wenn ein Zielobjekt mindestens eine der folgenden drei Charakteristiken aufweist, ist zu
prüfen, ob die Standard-Sicherheitsmaßnahmen der IT-Grundschutz-Kataloge hinreichend und
angemessen sind, um den vorhandenen Risiken zu begegnen:
• Das Zielobjekt hat einen hohen oder sehr hohen Schutzbedarf in mindestens einem der drei
Grundwerte Vertraulichkeit, Integrität oder Verfügbarkeit haben.
• Das Zielobjekt kann mit den vorhandenen Bausteinen des IT-Grundschutzes nicht hinreichend
abgebildet (modelliert) werden.
• Es wird in einer für das Anwendungsgebiet des IT-Grundschutzes untypischen Weise oder
Einsatzumgebung betrieben.
Im Rahmen der IT-Grundschutz-Vorgehensweise wird in einer ergänzenden Sicherheitsanalyse
erwogen, welche Zielobjekte mit Hilfe einer Risikoanalyse genauer untersucht werden sollen. Diese
ergänzende Risikoanalyse umfasst die Schritte:
1. Erstellung einer Gefährdungsübersicht
2. Ermittlung zusätzlicher Gefährdungen
3. Bewertung der Gefährdungen
4. Behandlung der Risiken und Maßnahmenauswahl
5. Konsolidierung des IT-Sicherheitskonzepts
Diese Schritte werden nachfolgend an einem Beispiel veranschaulicht und zwar dem Zielobjekt C7,
den Clients in der Entwicklungsabteilung, deren Schutzbedarf bezüglich Vertraulichkeit mit sehr hoch
bewertet wurde. In diesem Zusammenhang sind ebenfalls die Büroräume zu berücksichtigen, in denen
diese IT-Systeme untergebracht sind (Räume 2.14 – 2.20 in Bonn-Beuel).
Weitere Informationen zur ergänzenden Risikoanalyse und zu ihrer Einordnung in die IT-
Grundschutz-Vorgehensweise finden Sie in Kapitel 4.5 von BSI-Standard 100-2 sowie umfassend in
dem BSI-Standard 100-3: Risikoanalyse auf der Basis von IT-Grundschutz.
Seite 54