Bundesamt für Sicherheit in der Informationstechnik

Kapitel 7: Risikoanalyse

7.1 Überblick

Hoher Schutzbedarf! Sollten wir hier vielleicht mehr tun?

Der IT-Grundschutz bietet für typische Infrastrukturen mit normalem Schutzbedarf ein angemessenes und kostengünstiges Sicherheitsniveau. Wie verfahren Sie aber, wenn

  • eine Komponente einen hohen oder sehr hohen Bedarf an Vertraulichkeit, Integrität oder Verfügbarkeit hat,
  • die IT-Grundschutz-Kataloge (noch) keinen passenden Baustein enthalten (Beispiel: Labormessgerät mit direkter Netzanbindung) oder aber
  • ein solcher Baustein zwar vorhanden ist, die Komponente allerdings in einer für das Anwendungsgebiet des IT-Grundschutzes untypischen Weise oder Einsatzumgebung betrieben wird?

Zwei (rhetorische) Fragen:

Vergessen Sie in diesen Fällen den IT-Grundschutz, weil diese ja nicht dessen Anwendungsgebiet zu entsprechen scheinen?

Selbstverständlich nicht, denn die Umsetzung der IT-Grundschutz-Maßnahmen bietet meistens auch eine gute Basis für die Absicherung hochgradig schutzbedürftiger IT-Systeme. Unter Umständen erübrigen sich aufwändigere oder kostspieligere Maßnahmen.

Können Sie sich jedoch darauf verlassen, dass Sie hinreichend sicher sind, wenn Sie den IT-Grundschutz umgesetzt haben?

Umgekehrt können Sie sich aber auch nicht darauf verlassen, dass die IT-Grundschutz-Maßnahmen in den oben genannten Fällen eine ausreichende Sicherheit bieten. Ohne sorgfältige Prüfung, ob zusätzliche oder wirksamere Maßnahmen erforderlich sind oder nicht, gehen Sie in allen oben genannten Fällen möglicherweise unvertretbare Risiken ein.

Die Lösung:

In einer ergänzenden Sicherheitsanalyse prüfen Sie, wie diejenigen Zielobjekte zu behandeln sind, die eines der drei oben genannten Kriterien erfüllen. Diese Überlegungen können zu dem Ergebnis führen, dass die Umsetzung der IT-Grundschutz-Maßnahmen genügt, sie können aber auch einen Bedarf an zusätzlichen oder höherwertigen Maßnahmen aufzeigen.

Für deren Auswahl sind unterschiedliche Verfahren möglich. So kann es für spezielle IT-Systeme genügen, die Sicherheitsempfehlungen der Hersteller umzusetzen. Andere Zielobjekte können intensivere Untersuchungen zu den Risiken, die mit ihnen verbunden sind, und den Auswirkungen möglicher Gegenmaßnahmen erfordern. Ein übliches Verfahren dafür ist die so genannte Risikoanalyse. Es gibt zahlreiche Varianten, die meisten sind recht aufwändig und verlangen ein sehr spezielles Expertenwissen.

Zur Erleichterung notwendiger zusätzlicher Sicherheitsanalysen hat das BSI eine eigene Methode für eine Risikoanalyse auf der Basis von IT-Grundschutz entwickelt. Auf den folgenden Seiten wird diese Methode mit Hilfe des Beispiels veranschaulicht. Ausführlich dargestellt ist sie in BSI-Standard 100-3: Risikoanalyse auf der Basis von IT-Grundschutz (PDF).