Brainscape's Knowledge GenomeTM

Browse over 1 million classes created by top students, professors, publishers, and experts.


See full index

TU 1 ISM > Risk Management > Flashcards

Risk Management Flashcards

1
Q

Risikomanagementprozess nach BSI

A
  • Erstellung einer Gefährdungsübersicht
    -> Zusammenstellung der Gefährdungen
    -> Prüfung der Relevanz pro Asset-Typ
  • Risikoeinstufung
    -> Festlegung der Eintrittswahrscheinlichkeit
    -> Festlegung der Auswirkungen
    -> Risikobewertung (Risikokategorie festlegen)
  • Risikobehandlung
    -> Umgang mit Restrisiko
  • Konsolidierung des Sicherheitskonzepts
    -> Integration der (zusätzlich identifizierten) Maßnahmen in das Konzept
    -> Fortwährende Beobachtungen
How well did you know this?
1
Not at all
2
3
4
5
Perfectly
2
Q

Methoden Risikobehandlung

A
  • Risikoakzeptanz
  • Risikovermeidung
  • Risikoreduktion
  • Risikotransfer
How well did you know this?
1
Not at all
2
3
4
5
Perfectly
3
Q

Risikoakzeptanz

A
  • Keine Maßnahmen werden ergriffen
  • Verantwortlichkeit muss festgelegt werden
How well did you know this?
1
Not at all
2
3
4
5
Perfectly
4
Q

Risikovermeidung

A
  • Risikoursache wird vollständig ausgeschlossen
  • Sinnvoll, wenn alle Gegenmaßnahmen zu teuer sind
How well did you know this?
1
Not at all
2
3
4
5
Perfectly
5
Q

Risikoreduktion

A
  • Sicherheitsmaßnahmen senken das Risiko
  • meist wird die Eintrittswahrscheinlichkeit verringert
How well did you know this?
1
Not at all
2
3
4
5
Perfectly
6
Q

Risikotransfer

A
  • Risiko wird an eine externe Partei ausgelagert
  • Unternehmen ist dennoch weiterhin verantwortlich für das Risiko
  • Sinnvoll, wenn Schaden rein finanzieller Art
  • Versicherung oder Outsourcing
How well did you know this?
1
Not at all
2
3
4
5
Perfectly
7
Q

Festlegung des Kontexts (ISO)

A

Dokumentation der Informationssicherheitsrisikomanagementmethodik
-> Definition der Kriterien zur Bewertung von Risiken
-> Ablauf des Risikomanagementprozesses
-> Festlegung der Akzeptanzkriterien (Risikoappetit) durch Management (abhängig von Größe, Branche, Komplexität)
-> Festlegung der Rollen und Verantwortlichkeiten

How well did you know this?
1
Not at all
2
3
4
5
Perfectly
8
Q

Risikoidentifikation (ISO)

A
  • Auffinden, Erkennen und Beschreiben von Risiken (Identifizierung von Risikoquellen und -ereignissen)
    -> Ereignisbasierter Ansatz: Identifizierung strategischer Szenarien, Betrachtung der Risikoquellen, Betrachtung der Art und Weise, wie sie Angreifer nutzen
    -> Asset-basierter Ansatz: Identifizierung operativer Szenarien, Bezug auf Assets, Bedrohungen und Schwachstellen
How well did you know this?
1
Not at all
2
3
4
5
Perfectly
9
Q

Risikoanalyse (ISO)

A
  • Ziel: Höhe des Risikos bestimmen
  • qualitativ: z.B. normal/hoch/gering
  • quantitativ: numerisch
  • halbquantitativ: qualitative Skalen mit zugewiesenen Werten
How well did you know this?
1
Not at all
2
3
4
5
Perfectly
10
Q

Risikoanalyse: Erhebung des Schadens

A

Sicherheitsvorfall -> Verlust der Vertraulichkeit, Integrität, Verfügbarkeit -> weitere Folgen für die Organisation und ihre Ziele
- Folgeanalyse:
-> Schätzung der Verluste (Zeit oder Daten)
-> Schätzung/Einschätzung der Schwere der (monetären) Folgen
-> Wiederherstellungskosten

How well did you know this?
1
Not at all
2
3
4
5
Perfectly
11
Q

Risikoanalyse: Erhebung der Wahrscheinlichkeit

A
  • Wahrscheinlichkeitsanalyse: Wie häufig treten Risikoquellen auf? Wie leicht werden sie ausgenutzt?
    -> Problem: Risiken, durch die noch nie ein Schaden entstanden ist
  • Erhöhung der Zuverlässigkeit der Schätzung:
    -> Teameinschätzungen
    -> Verwendung externer Quellen
    -> Verwendung von angemessenen Quellen
    -> eindeutige Kategorien
    -> Szenario in kleinere Ereignisse unterteilen und diese schätzen
How well did you know this?
1
Not at all
2
3
4
5
Perfectly
12
Q

Risikobewertung/Priorisierung (ISO)

A
  • Anwendung der Risikoakzeptanzkriterien
  • Entscheidungskriterien zur Bewertung, Priorisierung und Behandlung: Schadenshöhe/Auswirkungen, Eintrittswahrscheinlichkeit, kumulative Wirkung, (initale) Kosten und Aufwand, Wirksamkeit der Maßnahmen
How well did you know this?
1
Not at all
2
3
4
5
Perfectly
13
Q

Risikokommunikation (ISO)

A
  • Verteilung notwendiger Informationen über Risiken und Maßnahmen
  • Regelmäßige Information an Management: Verantwortlich als höchster Risk Owner, Feedback an ISO
  • Beachtung des Need-to-know Prinzips: Angreifer können bekannte Risiken/Schwachstellen ausnutzen
How well did you know this?
1
Not at all
2
3
4
5
Perfectly
14
Q

Techniken zum Risikomanagement (Gruppierungen)

A
  • Einholung von Meinungen von Interessengruppen und Experten
  • Identifizierung von Risiken
  • Ermittlung von Risikoquellen, -ursachen und -treibern
  • Analyse von Maßnahmen
  • Verständnis von Wahrscheinlichkeit und Auswirkungen
  • Analyse von Abhängigkeiten und Interaktionen
  • Techniken zur Messung von Risiken
  • Bewertung der Signifikanz von Risiken
  • Auswahl von Maßnahmen
  • Dokumentation und Kommunikation
How well did you know this?
1
Not at all
2
3
4
5
Perfectly
15
Q

Risikoidentifikation - Brainstorming

A

Gruppendiskussion mit unterschiedlichen Teilnehmern (ISO, Fachbereich, Management)
- Moderator regt durch fachliche Fragen das Gespräch an

How well did you know this?
1
Not at all
2
3
4
5
Perfectly
16
Q

Risikoidentifikation - Brainstorming - Vor- und Nachteile

A

+ fördert Fantasie und Kreativität
+ trägt bei, neue Risiken und Lösungen zu finden
- Vollständigkeit schwierig sicherzustellen
- Gruppendynamik kann zu dominierenden Sprechern führen

17
Q

Risikoidentifikation - Gap Analyse

A

Risiken aus nicht vollständig erfüllten Anforderungen

18
Q

Risikoidentifikation - Gap Analyse - Vor- und Nachteile

A

+ Vollständigkeit basiert auf der Vollständigkeit der Anforderungen (Richtlinien)
- kann sehr aufwendig werden

19
Q

Risikoidentifikation - Szenarioanalyse

A

Definition und Durcharbeitung eines konkreten Szenarios
- Extrapolation von Ereignissen aus der Vergangenheit
- Entwicklung eines imaginären Szenarios

20
Q

Risikoidentifikation - Szenarioanalyse - Vor- und Nachteile

A

+ Identifikation von zuvor unbekannten Szenarien/Risiken
- Daten können spekulativ sein
- Ereignisse können unrealistisch sein

21
Q

Risikoanalyse - Ereignisbaumanalyse

A

Grafische Technik zur Darstellung sich gegenseitig ausschließender Abfolgen zur Quantifizierung der Wahrscheinlichkeiten
- Beginnt mit auslösendem Ereignis
- Maßnahme wird Erfolgs- und Misserfolgswahrscheinlichkeit zugeordnet
- Bedingte Wahrscheinlichkeiten

22
Q

Risikoanalyse - Markov-Analyse

A

Quantitatives Verfahren, das auf Systeme angewandt werden kann, die durch eine Reihe von diskreten Zuständen und Übergängen zwischen diesen beschrieben werden können (vorausgesetzt, die Entwicklung des aktuellen Zustands hängt nicht von seinem Zustand in der Vergangenheit ab)

23
Q

Risikoanalyse - Monte Carlo Simulation

A

Simulation von Ereignissen mithilfe von Zufallsstichproben:
- Ziehen von Zufallsstichproben
- Berechnung des Ergebniswerts
- Iterarive Wiederholung

24
Q

Risikoanalyse - Hergeleitete Risikoanalyse

A

Möglichkeit, Risikowert anhand einzelner Kriterien herzuleiten, um Einheitlichkeit zu ermöglichen
(Eintrittswahrscheinlichkeit einer Bedrohung + Ausnutzbarkeit von Schwachstellen + Schadenshöhe)

25
Q

Risikobewertung - Risikomatrix

A

Verrechnung von Eintrittswahrscheinlichkeit und Schadenshöhe

26
Q

Risikoanalyse - Kosten-Nutzen-Analyse

A

Vergleich der Kosten und Nutzen von Maßnahmen
- kann qualitative und quantitative Elemente beinhalten
- Kosten können tatsächliche Ausgaben oder Ressourcen sein
- Nutzen kann materiell oder immateriell sein

27
Q

Risikobehandlung - Entscheidungsbaum-Analyse

A

Modellierung möglicher Pfade von Entscheidungen und Wahrscheinlichkeiten zur Berechnung von Erwartungswerten
- Pfade ausgehend von initialer Entscheidung
- Pfad mit bestem Erwartungswert enthält gesuchte Information

28
Q

Dokumentierte Informationen - Risiko-Register

A

Dokumentation sämtlicher Risiken im Unternehmen
- Begründungen und Herleitungen wichtig für Nachvollziehbarkeit
- Aggregation von Risiken möglich

29
Q

Standards Risikomanagement

A
  • ISO 27005: Allgemeiner Rahmen für Risikomanagement im Bereich IS
  • ISO 31000: Allgemeiner Rahmen für Risikomanagement
30
Q

Konsolidierung des Sicherheitskonzepts

A
  • Integration der Maßnahmen in das Konzept
    -> Maßnahmen werden im Sicherheitskonzept dokumentiert
    -> Festlegung der Eignung der Maßnahmen zur Abwehr der Gefährdungen
  • Fortwährende Beobachtung:
    -> Risiken können sich ändern
    -> regelmäßige Überprüfung der Risikobewertung und -behandlung
31
Q

Risikomanagementprozess nach ISO 27005

A
  • Festlegung des Kontexts
  • Risikoassessment:
    -> Risikoidentifikation
    -> Risikoanalyse
    -> Risikobewertung/Priorisierung
  • Risikobehandlung
  • Dokumentierte Information
  • Währenddessen:
    -> Risikokommunikation
    -> Risikoüberwachung und -überprüfung
32
Q

Risikobehandlung: Festlegung der Behandlungsmaßnahmen (ISO)

A
  • Restrisikoakzeptanz
    -> Hohe Eintrittswahrscheinlichkeit, geringe Auswirkungen: Vorfall: Verwaltung durch die Prozesse des Vorfallmanagements
    -> Niedrige Eintrittswahrscheinlichkeit, hohe Auswirkungen: Katastrophe: Verwaltung durch die Prozesse des BCM
  • Reduktion, Akzeptanz, Vermeidung oder Übertragung
  • Behandlungsplan erstellen
33
Q

Risikoüberwachung und -überprüfung

A
  • Regelmäßige Überprüfung der Risiken
    -> Risikomethode, Schwachstellen, Bedrohungen, Auswirkungen, Risikoakzeptanzkriterien, Wahrscheinlichkeiten, Behandlungen, Periodisierungen, Maßnahmen
34
Q

Dokumentierte Informationen

A
  • Dokumentation aller Entscheidungen und Prozesse (z.B. für Zertifizierungsstelle)
    -> Risikomanagementmethodik, Bedrohungs- und Schwachstellenkataloge, Begründungen zur Risikobewertung, Begründungen zur Risikobehandlung, Maßnahmennachverfolgung, Kommunikation
35
Q

Risikomanagement Ziel

A

Organisation in die Lage versetzen, bestehende Risiken überhaupt identifizieren und bewerten zu können, um sie zu behandeln und und passende Maßnahmen für verbleibende Restrisiken auswählen zu können

36
Q

Risikomanagement Definition

A

Koordinierte Aktivitäten zur Lenkung und Steuerung einer Organisation in Bezug auf Risiken

TU 1 ISM (12 decks)

Brainscape helps you reach your goals faster, through stronger study habits.
© 2024 Bold Learning Solutions. Terms and Conditions