14. Risikomanagement im Lifecycle von Informationen, Systemen und Applikationen

Die mit der Informationssicherheit und IT-RM-Prozessen zu schützenden Güter sind die Informationen und ihre „Gefässe“, namentlich die Systeme. Zu solchen Systemen und ihren Subsystemen gehören Prozesse, Services, Applikationen, Software, Hardware, technische Infrastruktur und Kommunikations-Einrichtungen und nicht zuletzt Menschen. Die Informationen wie auch die Systeme mit ihren Subsystemen gilt es während ihres gesamten Lebenszyklus angemessen zu schützen.

In diesem Kapitel wird gezeigt, wie beim Umgang mit Informationen (z. B. in Arbeitsgeräten) die Informationen in Schutzphasen und Schutzanforderungen eingeteilt und entsprechend der Schutzanforderungen geschützt werden können. Die Risiken und der Schutz von Informationen hängen auch von Situationen, Prozessen, Aktivitäten und Entscheiden im Lebenszyklus ihrer Systeme ab. Das Konzept von Lebenszyklen wird zum einen auf Vorgehens- und Management-Methoden in IT-Projekten und zum anderen auf IT-Services und IT-Applikationen angewandt. Wie das Risikomanagement und die Informationssicherheit beim Projektmanagement berücksichtigt werden kann, wird zunächst an einem pragmatischen Verfahren mittels „First Cut“ und „IT-Sicherheitskonzept“ und sodann anhand der Methoden „V-Modell XT“ und „HERMES 5.1“ gezeigt. Die Berücksichtigung vor allem der Informationen in den Lebenszyklen von Services und Applikationen wird anhand des „ITIL-Applikations-Lifecycle“ sowie dem ISO-Standard ISO/IEC 27034-x für Applikationssicherheit behandelt.