17. Cyber-Risikomanagement

Was sind die Gründe für die tagtäglichen Nachrichten über Cyber-Risiken und deren Abwehr? Was ist bei Cyber-Risiken anders, als bei den herkömmlichen Informationssicherheits-Risiken. Inwiefern gilt das für Informationssicherheits-Risiken in diesem Buch dargestellte Risikomanagement auch für die Cyber-Risiken? Diese Fragen und die möglichen Lösungsansätze, die dem Umgang mit Cyber-Risiken gerecht werden können, werden in diesem Kapitel von aktuellen Fällen abgeleitet, untersucht und gemäss dem heutigen Stand und der für den Praxiseinsatz geeigneten Konzepte und Methoden behandelt. Nachdem in einigen Kapiteln dieses Buches die Grundlagen, Anforderungen, Methoden und Werkzeuge des Informationssicherheits- und des IT-Risikomanagement im Unternehmen behandelt wurden, stellt sich zunächst die Frage, was die Cyber-Risiken beispielsweise von den Informationssicherheits-Risiken unterscheidet. Zur Beantwortung dieser Frage werden am Anfang des Kapitels einige Definitionen vorgenommen, die verschiedenen Quellen entnommen wurden. So sind die „Cyber-Risiken“ genau diejenigen Risiken, die durch „Cyber-Bedrohungen“ verursacht werden. Für diese Definition ist natürlich wiederum eine Definition notwendig, was als „Cyber-Bedrohungen“ gelten soll. Das Assessment solcher Cyber-Risiken wird sodann anhand eines Risikomodells vorgenommen, welches sich vor allem für die „absichtlich“ verursachten Cyber-Risiken eignet. Dieses Risikomodell wird in etwas vereinfachter Form in diesem Buch auch bereits für die herkömmlichen Informationssicherheits-Risiken verwendet. Gerade bei den Cyber-Risiken treten die schützenswerten Objekte (z. B. Identitätsmerkmale, kritische Infrastrukturen) mit den von den Cyber-Bedrohungen ausnutzbaren Schwachstellen in den Vordergrund. Die teilweise sehr komplizierten durch die „Bedrohungsquellen“ ausgeführten Angriffe werden in den wesentlichen Vorkommensweisen charakterisiert, worunter auch die sogenannten „Advanced Persistent Threat“ (APT) fallen. Hilfen beim Assessment der IT-Risiken bieten einige frei verfügbaren „Schwachstellen Standards“, die kurz beschrieben werden. Auf ein durchgeführtes Risiko-Assessment folgt die Risiko-Behandlung. Wie sich aus dem Ergebnis einer Risiko-Identifikation wahrscheinlich herausstellt, besteht bei den möglichen Cyber-Risiken ein hohes Mass an „Ungewissheit“. Entsprechend können die notwendigen Massnahmen auch komplex und aufwändig sein. Viele Massnahmen sollten aufgrund einer entsprechenden „Risiko-Exponierung“ eines Unternehmens auch quasi als „Grundschutz“ eingerichtet werden. Natürlich erfordert ein solcher Grundschutz eine ständige Betreuung und Umsetzung anhand von Policies und Prozessen. Darunter fallen auch die Schulung und die Förderung des Risikobewusstseins sowie Tests und Übungen für die involvierten Mitarbeiter. Für spezifisch grosse Cyber-Risiken eines Unternehmens (z. B. Exponierung gegenüber Datendiebstahl), sollte die Auswahl der zum Teil aufwändigen Massnahmen aufgrund eines entsprechend sogfältig durchgeführten Risiko-Assessments erfolgen. Kann beispielsweise ein aus dem Assessment hervorgehendes grosses Betriebs-Ausfallrisiko infolge einer „Denial of Service“-Attacke nicht gänzlich bewältigt werden, so sind am Ende des Kapitels Vorkehrungen und Massnahmen gezeigt, mit denen auch solche Risiken erheblich gemildert werden können.