Cybersicherheitsrisiko ist Chance und Auswirkung von Ereignissen, die Vertraulichkeit, Integrität oder Verfügbarkeit schädigen.
Eine Risikobeschreibung nennt das Ereignis, den möglichen Schaden, die derzeitige Wahrscheinlichkeit und die Person, die es annimmt oder senkt.
So funktioniert es
Die Auswirkung kann Geld, Sicherheit, Rechtspflicht oder Vertrauensverlust sein, und derselbe technische Fehler kann in zwei Organisationen verschieden wiegen.
Die Wahrscheinlichkeit ändert sich mit Exposition, Interesse von Gegnern und der Güte der Kontrollen, deshalb ist der Wert des Vorjahres keine dauerhafte Tatsache.
Register scheitern, wenn sie vage Befürchtungen ohne verantwortliche Person und ohne Behandlung listen.
Ein Risiko zu behandeln heißt, es zu senken, einen Teil des Schadens zu übertragen, die Aktivität zu meiden oder den Rest ausdrücklich anzunehmen.
Konkrete Beispiele
- Ein Krankenhaus bewertet den Verlust des Zugangs zu Pflegesystemen als schwerere Auswirkung als den Ausfall eines internen Rundbriefs.
- Ein Händler erhöht die Wahrscheinlichkeit von Zahlungsbetrug nach einer Saison mit ungewöhnlichen Bestellmustern.
- Ein Leitungsgremium nimmt ein Restrisiko schriftlich an, nachdem Kontrollen es so weit gesenkt haben, wie das Budget erlaubt.
Schutzmaßnahmen
- Formulieren Sie jedes Cybersicherheitsrisiko als Ereignis mit Auswirkung, aktueller Wahrscheinlichkeit und einer benannten verantwortlichen Person.
- Bewerten Sie die Wahrscheinlichkeit neu, wenn Exposition oder Kontrollen sich ändern, statt den Wert des Vorjahres einfach fortzuschreiben.
- Wählen Sie für jedes hohe Risiko eine Behandlung, einschließlich einer ausdrücklichen Annahme, wenn Sie es nicht weiter senken.
- Verbinden Sie das Register mit echten Vorfällen, damit Schätzungen durch das korrigiert werden, was tatsächlich geschehen ist.