Risikomanagement, Profiling Flashcards
IT-Sicherheitsmanagement
Katastrophen, technische Mängel, ungeschulte MA, Hacker
Risikomanagementprozess
Risiko-Assesment, R-Identifikation, R-Analyse, R-Bewertung, Risikobehandlung, Risikoakzeptanz
Werte
Dinge für die ein Unternehmen einen Wert haben
Vorfall
unerwünschte Vorfälle + wie man mit diesen umgeht
Festlegen des Kontexts
- Anwendungsbereich + Grenzen
- Rollen und Verantwortlichkeit
- Basiskriterien
Risikoidentifikation
- Identifikation der Assets, Bedrohungen, umgesetzter Maßnahmen, Schwachstellen, Schadenauswirkung
Assets
Geschäftsprozesse + Informationen
Identifikation von Bedrohungen
OWASP TOP 10
Risikoanalyse
- Abschätzung vornehmen
- Arbeiten mir Wahrscheinlichkeit
Risikobewertung
welche Risiken --> Priorisieren BSP: Worst Case : 100.000€ Eintrittswahrscheinlichkeit: 0,1% → 100€ pro Zeitraum
Risikoakzeptanz
- Kommunikation zum Management
- schriftliche Doku
Annual Loss Expectancy (ALE)
SE= SW(WorstCase)/T(Eintrittswahrscheinlichkeit)
Wirtschaftsanalyse ROSI
ROSI (=Return on Security Investment)
Annahme: Sicherheitsinvestition mindert Eintrittswahrscheinlichkeit eines Schadensereignis
Grundidee: Bewertung einer Gegenmaßnahme bzw. S-Investition anhand der prognostizierten Reduktion der Schadenserwartung
Beispiel ALE ROSI
ALE = SW * p(SW) ROSI = ALEvorher - ALEnachher - Investition
Information Security Management System (ISMS)
Managementsystem zur konkreten Anwendung von Risikomanagement hinsichtlich Informationssicherheit in einem Unternehmen
PDCA
Plan, Do, Check, Act ISMS: - P: planen, festlegen - D: instand halten, verbessern - C: Überwachung - A: umsetzen
Compliance
Regeltreue ist in der betriebswirtschaftlichen Fachsprache der Begriff für die Einhaltung von Gesetzen und Richtlinien
→ im U. Verantwortung, Haftung
Gesetze: KontraG, Basel ll, Bundesdatenschutzgesetz
Standards
ISO 27000: ISMS
ISO 31000: Risikomanagement + Methoden zum Risiko-Assessment
BSI Grundschutz: Empfehlungen zu Methoden, Prozesse, Verfahren
Common Criteria Produktzertifizierung hinsichtlich Vertrauenswürdigkeit
Datenschutz
Schutz des einzelnen vor Beeinträchtigung seines Persönlichkeitsrechts beim Umgang mit personbezogene Daten
personbezogene Daten
Daten über persönliche / sachliche Verhältnisse einer bestimmten Person
Funktion von Datenschutz
verstärkter Einsatz von IT- Systemen + Netzwerken führt zu riesigen Datenmengen, automatischen Analysen, Extraktion von Wissen
→ nicht jede Verarbeitung kann kontrolliert werden (Netzknoten)
Gefahren einer Datenüberwachung
persönliche Datenüberwachung: Fehler durch niedrige Datenqualität, Fehlen Einwilligung zu Datenflüssen, Blacklisting
Massenüberwachung: Gefahr für Individuen, Gesellschaft
Gefahren einer Datenüberwachung: Individuen
Willkür, Hexenjagd, versteckte Operationen
Gefahren einer Datenüberwachung: Gesellschaft
feindliche Beziehung, ungleiche Anwendung von Gesetzen
