3. Informationssicherheits-Risikomanagement

Wie bereits in Kap. 2 „Informationssicherheits-Governance“ angesprochen, spielt die Frage der zielgerichteten Investition auch im Bereich der IS eine entscheidende Rolle. Insbesondere bei der Fragestellung, wie das Management nachhaltig von den – zunächst als oft als nutzlose Belastung gesehenen – Ausgaben für den Bereich IS überzeugt werden kann, ist es wichtig, die konkreten Vorteile dieser für die Organisation aufzuzeigen. In diesem Kapitel soll nun das Risikomanagement (engl.: risk management) im Unternehmen näher betrachtet werden. Dies ermöglicht, Investitionen zielgerichtet dort vorzunehmen, wo die potenziellen Schäden für die Organisation am größten sind. Die Risikobewertung, auf die in diesem Kapitel im Detail eingegangen werden wird, ist einer der wesentlichen Bausteine für eine effektive IS-Strategie. Beim Risikomanagement spielt der Umsetzungsgrad der im Kap. 2 angesprochenen Informationssicherheits-Governance allerdings nur eine untergeordnete Rolle, vielmehr sind die Risiken auch unabhängig davon zu betrachten.