Skip to main content
main-content
Top

Hint

Swipe to navigate through the chapters of this book

2017 | OriginalPaper | Chapter

17. Cyber-Risikomanagement

Author : Hans-Peter Königs

Published in: IT-Risikomanagement mit System

Publisher: Springer Fachmedien Wiesbaden

share
SHARE

Überblick

Was sind die Gründe für die tagtäglichen Nachrichten über Cyber-Risiken und deren Abwehr? Was ist bei Cyber-Risiken anders, als bei den herkömmlichen Informationssicherheits-Risiken. Inwiefern gilt das für Informationssicherheits-Risiken in diesem Buch dargestellte Risikomanagement auch für die Cyber-Risiken? Diese Fragen und die möglichen Lösungsansätze, die dem Umgang mit Cyber-Risiken gerecht werden können, werden in diesem Kapitel von aktuellen Fällen abgeleitet, untersucht und gemäss dem heutigen Stand und der für den Praxiseinsatz geeigneten Konzepte und Methoden behandelt. Nachdem in einigen Kapiteln dieses Buches die Grundlagen, Anforderungen, Methoden und Werkzeuge des Informationssicherheits- und des IT-Risikomanagement im Unternehmen behandelt wurden, stellt sich zunächst die Frage, was die Cyber-Risiken beispielsweise von den Informationssicherheits-Risiken unterscheidet. Zur Beantwortung dieser Frage werden am Anfang des Kapitels einige Definitionen vorgenommen, die verschiedenen Quellen entnommen wurden. So sind die „Cyber-Risiken“ genau diejenigen Risiken, die durch „Cyber-Bedrohungen“ verursacht werden. Für diese Definition ist natürlich wiederum eine Definition notwendig, was als „Cyber-Bedrohungen“ gelten soll. Das Assessment solcher Cyber-Risiken wird sodann anhand eines Risikomodells vorgenommen, welches sich vor allem für die „absichtlich“ verursachten Cyber-Risiken eignet. Dieses Risikomodell wird in etwas vereinfachter Form in diesem Buch auch bereits für die herkömmlichen Informationssicherheits-Risiken verwendet. Gerade bei den Cyber-Risiken treten die schützenswerten Objekte (z. B. Identitätsmerkmale, kritische Infrastrukturen) mit den von den Cyber-Bedrohungen ausnutzbaren Schwachstellen in den Vordergrund. Die teilweise sehr komplizierten durch die „Bedrohungsquellen“ ausgeführten Angriffe werden in den wesentlichen Vorkommensweisen charakterisiert, worunter auch die sogenannten „Advanced Persistent Threat“ (APT) fallen. Hilfen beim Assessment der IT-Risiken bieten einige frei verfügbaren „Schwachstellen Standards“, die kurz beschrieben werden. Auf ein durchgeführtes Risiko-Assessment folgt die Risiko-Behandlung. Wie sich aus dem Ergebnis einer Risiko-Identifikation wahrscheinlich herausstellt, besteht bei den möglichen Cyber-Risiken ein hohes Mass an „Ungewissheit“. Entsprechend können die notwendigen Massnahmen auch komplex und aufwändig sein. Viele Massnahmen sollten aufgrund einer entsprechenden „Risiko-Exponierung“ eines Unternehmens auch quasi als „Grundschutz“ eingerichtet werden. Natürlich erfordert ein solcher Grundschutz eine ständige Betreuung und Umsetzung anhand von Policies und Prozessen. Darunter fallen auch die Schulung und die Förderung des Risikobewusstseins sowie Tests und Übungen für die involvierten Mitarbeiter. Für spezifisch grosse Cyber-Risiken eines Unternehmens (z. B. Exponierung gegenüber Datendiebstahl), sollte die Auswahl der zum Teil aufwändigen Massnahmen aufgrund eines entsprechend sogfältig durchgeführten Risiko-Assessments erfolgen. Kann beispielsweise ein aus dem Assessment hervorgehendes grosses Betriebs-Ausfallrisiko infolge einer „Denial of Service“-Attacke nicht gänzlich bewältigt werden, so sind am Ende des Kapitels Vorkehrungen und Massnahmen gezeigt, mit denen auch solche Risiken erheblich gemildert werden können.
Footnotes
1
McAfee: Net Losses: Estimating the Global Cost of Cybercrime [Mcaf14].
 
2
Symantec: Internet Security Threat Report (ISTR) 2014 [Syma16].
 
3
Der Standard ISO/IEC 27032:2012: Guidelines for Cybersecurity ([Isof12], S. 4, 10) fokussiert den Begriff Cyberspace auf das Internet, wobei das Internet als globales System von miteinander verbundener Systeme im öffentlichen Bereich bezeichnet wird.
 
4
Copyright© 2003–2014 The OWASP Foundation, Creative Commons Attribution ShareAlike 3.0 Lizenz.
 
5
Die „Social Security Number“ (SSN) ist in den USA ein wichtiges persönliches, allgemein vertraulich zu behandelndes Identitäts-Merkmal. Die Nummer wird zur der Identifikation der Person für die Sozialsysteme, beispielsweise auch zur Identifikation bei der Eröffnung von Bankkonten, bei Kreditanträgen oder für Steuervergütungen verwendet.
 
6
S. Kurzbeschreibung eines DDOS-Angriffs im Anhang A.2.
 
7
Der Standard kann im Internet kostenfrei heruntergeladen werden.
 
Literature
[Cobt13]
go back to reference ISACA: Transforming Cybersecurity: Using COBIT 5. Rolling Meadows: Information Systems Audit and Control Association, 2013. ISACA: Transforming Cybersecurity: Using COBIT 5. Rolling Meadows: Information Systems Audit and Control Association, 2013.
[Isof12]
go back to reference ISO/IEC 27032:2012: Guidelines for cybersecurity. International Organization for Standardization, 2012. ISO/IEC 27032:2012: Guidelines for cybersecurity. International Organization for Standardization, 2012.
[Mitre16]
[Nias12]
go back to reference NIST: Guide for Conducting Risk Assessment, NIST Special Publication 800–30, Revision 1. Washington DC: U.S. Department of Commerce, 2012. NIST: Guide for Conducting Risk Assessment, NIST Special Publication 800–30, Revision 1. Washington DC: U.S. Department of Commerce, 2012.
[Niir11]
go back to reference NIST: Managing Information Security, SP 800–39. Washington DC: U.S. Department of Commerce, 2011. NIST: Managing Information Security, SP 800–39. Washington DC: U.S. Department of Commerce, 2011.
[Owas14]
go back to reference OWASP: Die 10 häufigsten Sicherheitsrisiken für Webanwendungen. Creative Commons Attribution ShareAlike 3.0, OWASP German Chapter, 2014. OWASP: Die 10 häufigsten Sicherheitsrisiken für Webanwendungen. Creative Commons Attribution ShareAlike 3.0, OWASP German Chapter, 2014.
[Refs15]
go back to reference Refdal, Atle et al: Cyber-Risk Management. Heidelberg: Vieweg, 2015. Refdal, Atle et al: Cyber-Risk Management. Heidelberg: Vieweg, 2015.
Metadata
Title
Cyber-Risikomanagement
Author
Hans-Peter Königs
Copyright Year
2017
DOI
https://doi.org/10.1007/978-3-658-12004-7_17

Premium Partner