Was ist IT-Risikomanagement? Aktualisiert für 2023

IT-Risikomanagement ist der Prozess des Managements von Cybersicherheitsrisiken durch Systeme, Richtlinien und Technologien. Dieser Prozess besteht aus drei Hauptphasen: Identifizierung, Bewertung und Kontrolle, um Schwachstellen zu minimieren, die vertrauliche Ressourcen bedrohen.

Die Begriffe IT-Risiko und Informationsrisiko werden oft synonym verwendet. Beide beziehen sich auf Risiken, die den Schutz sensibler Daten und geistigen Eigentums bedrohen.

Sowohl inhärente als auch verbleibende Risiken der Informationstechnologie sind in jedem Unternehmen vorhanden. IT-Risikomanagement ist daher eine wesentliche Praxis für jedes Unternehmen.

Was ist der Unterschied zwischen Risiko und Unsicherheit?

Risiko bezieht sich auf Entscheidungssituationen, in denen alle potenziellen Ergebnisse und ihre Eintrittswahrscheinlichkeit bekannt sind. Auf der anderen Seite bezieht sich Unsicherheit auf Entscheidungssituationen, in denen nichts bekannt ist - weder ihre potenziellen Ergebnisse noch ihre Eintrittswahrscheinlichkeit.

Ein erfolgreicher IT-Risikomanagementplan reduziert Unsicherheiten und ermöglicht es Entscheidungsträgern, sich aller Informationsrisiken in ihrer digitalen Landschaft vollständig bewusst zu sein.

Warum ist IT-Risikomanagement wichtig?

Ein IT-Risikomanagementprogramm minimiert die Auswirkungen von Datenschutzverletzungen, was zu erheblichen Kosteneinsparungen führen kann. Die weltweiten durchschnittlichen Kosten einer Datenschutzverletzung beliefen sich im Jahr 2020 auf 3,86 Millionen US-Dollar.

Neben den Kosteneinsparungen hat ein IT-Risikomanagementplan folgende Vorteile:

Es hilft Unternehmen, ihre Widerstandsfähigkeit gegen Cyberangriffe zu erhöhen.
Es stabilisiert die Unternehmer.
Es könnte die rechtliche Haftung verringern.
Es könnte die Versicherungsprämien senken.
Es schützt das Personal vor möglichen Schäden.
Es erleichtert das Erreichen von Geschäftszielen und die Geschäftskontinuität

Beispiel für ein erfolgreiches IT-Risikomanagement

Das Virginia Mason Medical Center in Seattle, Washington, sicherte 2006 seine Abteilung für Patientensicherheit mit einem IT-Risikomanagementplan ab. Das daraus resultierende Programm wurde Virginia Mason Production System (VMPS) genannt.

Seit der Implementierung von VMPS hat Virginia Mason die Transparenz bei der Minderung, Offenlegung und Berichterstattung von Patientenrisiken erhöht. Dies führte zu einem deutlichen Rückgang der Prämien für Krankenhausfachkräfte.

Die 7 besten IT-Risikomanagement-Strategien und -Prozesse

Ein Framework für das IT-Risikomanagement (IRM) muss eine sich entwickelnde Bedrohungslandschaft berücksichtigen. Infolgedessen wird ein einzelnes Paket von Politiken oder Strategien nicht ausreichen. Da sich die Taktiken von Cyberangriffen ständig ändern, müssen Risikomanagement-Frameworks in der Lage sein, mehreren Cyberbedrohungen durch eine Kombination verschiedener Kontrollstrategien zu begegnen.

Wenn diese Strategien harmonisch eingesetzt werden, sollten sie Entscheidungsträgern helfen, die folgenden Fragen sicher zu beantworten:

Was kann da schon schief gehen?
Wie wird sich dieses Ergebnis auf das Unternehmen auswirken?
Wie wirkt sich dieses Ergebnis auf das Erreichen der Geschäftsziele aus?
Was kann getan werden, um dieses Ergebnis zu verhindern?
Was kann getan werden, um dieses Ergebnis zu beheben, nachdem es eingetreten ist?
Was sind die potenziellen Kosten dieses Ergebnisses?

Zu den wesentlichen Anforderungen an ein IRM-Programm, das bei der Beantwortung der oben genannten Fragen hilft, gehören:

Die Möglichkeit, die gesamte Angriffsfläche kontinuierlich zu überwachen
Die Möglichkeit, die Cybersicherheitslage zu verfolgen und die Bemühungen um die Stärkung der Cybersicherheit zu verstärken
Die Fähigkeit, den Speicherort aller Informationen zu identifizieren
Tools für das Behebungsmanagement, die in der Lage sind, kritische Reaktionen zu priorisieren
Die Fähigkeit, die Risikotoleranz für alle Vermögenswerte zu bewerten

Diese grundlegenden Anforderungen können mit den folgenden 7 Risikomanagementstrategien erfüllt werden

1. Risikoidentifikation

Alle Risiken, die sich potenziell nachteilig auf Prozesse und Informationssicherheit auswirken könnten, müssen identifiziert werden. Die digitale Transformation hat diese Aufgabe äußerst schwierig gemacht, da die meisten Unternehmensdaten heute in der Cloud gespeichert sind.

Die unaufhaltsame Verbreitung digitaler Lösungen verschleiert den digitalen Fußabdruck und erschwert die Identifizierung von Assets und die Zuordnung ihrer Beziehung zu bestimmten Prozessen. Dieser Mangel an Transparenz führt dazu, dass viele Angriffsvektoren übersehen werden, wodurch Cloud-basierte Plattformen einem höheren Risiko für Cyberangriffe ausgesetzt sind.

Der erste Schritt zu einer ungeminderten Risikotransparenz besteht darin, alle Ihre Vermögenswerte und deren Standorte zu identifizieren. Dies kann durch die Kartierung des digitalen Fußabdrucks erreicht werden.

Eine Lösung zur Überwachung der Angriffsfläche kann auch alle Ihre Unternehmensressourcen identifizieren und potenzielle Risiken und Schwachstellen aufdecken.

2. Identifizieren Sie das Risikoniveau und die Wahrscheinlichkeit, dass jedes Risiko ausgenutzt wird

Nach der Identifizierung aller Assets und ihrer Standorte muss das Risikoniveau der darin gespeicherten Daten quantifiziert werden.

Nicht alle sensiblen Daten sind in den Augen eines Cyberkriminellen gleich, einige Kategorien sind begehrter als andere.

Eine Studie von IBM und Ponemon ergab, dass 80 % der bewerteten Datenschutzverletzungen personenbezogene Daten (PII) von Kunden betrafen.

Sensible Daten, die Cyberkriminellen einen hohen finanziellen Gewinn bieten, sind dem höchsten Risiko ausgesetzt, ins Visier genommen zu werden. Wenn Kundendaten gestohlen werden, wird jedes Opfer Ziel von Phishing-Angriffen. Jede Phishing-Kampagne deckt dann neue Opfer auf, die dann Ziel neuer Phishing-Angriffe sein können, wodurch sich der schädliche Angriffszyklus verlängert.

Das Risikoniveau für jeden Datentyp kann dann mit einer Risikoformel berechnet werden.

Eine einfache Formel zur Berechnung der Risikostufen lautet wie folgt:

Risikostufe=Wahrscheinlichkeit einer Datenschutzverletzung x Finanzielle Auswirkungen einer Datenschutzverletzung.

Mittels Wahrscheinlichkeitsanalyse wird dann das Potenzial jedes identifizierten Risikos berechnet. Dies kann mit einer Risikomatrix bewertet werden.

3. Priorisieren Sie jedes identifizierte Informationssicherheitsrisiko

Um die Kosten für interne Sicherheitsvorgänge gering zu halten, müssen die Reaktionsbemühungen effizient verteilt werden, sodass die kritischsten IT-Risiken zuerst angegangen werden.

Dies kann nur erreicht werden, wenn kritische Risiken korrekt klassifiziert werden. Obwohl einige Risikoberechnungen recht genau sind, ist ihre Bewertung mit einem langwierigen manuellen Prozess verbunden.

Neben der Genauigkeit ist die Geschwindigkeit eine weitere kritische Variable bei der IT-rIsk-Analyse, da sie die Auswirkungen einer Datenschutzverletzung beeinflusst, wenn Risiken von Cyberkriminellen ausgenutzt werden.

Opfer, die in weniger als 200 Tagen auf Datenschutzverletzungen reagieren, sparen durchschnittlich 1,12 Millionen US-Dollar.

Die Lösungsidee sollte in der Lage sein, Sicherheitslücken korrekt zu klassifizieren und für eine effiziente Behebung zu priorisieren.

Die UpGuard-Plattform erfüllt diese beiden Anforderungen. Benutzer können eine Liste aller nicht behobenen Schwachstellen (sowohl intern als auch im Anbieternetzwerk) sehen, sortiert nach Kritikalität. Jedes Risiko kann dann über die Behebungsmanagementfunktion der Plattform schnell behoben werden.

4. Etablieren Sie eine Risikobereitschaft

Da alle IT-Risiken und ihre Wahrscheinlichkeit einer Ausnutzung bekannt sind, muss eine Risikobereitschaft festgestellt werden. Die Risikobereitschaft hilft Unternehmen bei der Entscheidung, welche Kontrollmaßnahmen den einzelnen Risikofaktoren zugeordnet werden sollten. Es gibt 5 Steuerungsmöglichkeiten:

Risikoübernahme
Risikovermeidung
Risiken minimieren
Transferrisiko
Überwachen des Risikos

Eine Risikobereitschaft (oder Risikotoleranz) legt das maximale Risikoniveau fest, das akzeptiert werden kann, bevor Maßnahmen zur Risikominderung ergriffen werden.

Erfahren Sie, wie Sie die Risikobereitschaft für Ihr Third-Party-Risikomanagementprogramm berechnen können.

5. Risiken minimieren

Für jede Art von Risiko, die die Risikoschwelle übersteigt, sollten MIitgation-Kontrollen implementiert werden. Bei diesen Kontrollen sollte zuerst das IT-Risiko mit dem höchsten Rang bewertet werden.

Diese Kontrollen sollten durch Incident Response Plans (IRP) unterstützt werden, damit Sicherheitsteams rechtzeitig und kontrolliert auf Bedrohungen reagieren können.

Zu den Kontrollen zur IT-Risikominderung gehören:

Firewalls
Datenverschlüsselung
Software auf dem neuesten Stand halten
Antivirus auf dem neuesten Stand halten
Installieren der neuesten Software-Patches
Sichern kritischer Daten
Implementierung der Multi-Faktor-Authentifizierung (MFA)
Sichern von Konten mit privilegiertem Zugriff
Implementierung belastbarer Cybersicherheits-Frameworks

Risiken können auch durch ein Cybersicherheits-Framework gemindert werden. Es gibt viele Frameworks für das Risikomanagement im Bereich der Informationssicherheit. Die renommiertesten sind unten aufgeführt.

COBIT - Dieses Framework unterstützt Unternehmen bei der Entwicklung einer Enterprise RIsk Management (ERM)-Strategie.
Essential Eight - Dies ist das empfohlene Cybersicherheits-Framework für alle australischen Unternehmen.
COSO (Committee of Sponsoring Organizations of the Treadway Commission) - Dieses Framework ermöglicht einen sicheren Netzwerkbetrieb.
Factor Analysis of Information Risk (FAIR) - Dieses Framework bewertet die Beziehung zwischen verschiedenen Risiken und erleichtert die Einhaltung internationaler Vorschriften.

6. IT-Risiken übertragen

In vielen Fällen ist es für interne Sicherheitsteams effizienter und weniger belastend, kritische Risiken entweder an eine externe Partei oder an ein Cyber-Versicherungsunternehmen zu übertragen.

Die Partnerschaft mit Datenspeicher- oder Backup-Lösungen ermöglicht die Übertragung und Minderung des Risikos einer Dienstunterbrechung im Falle einer Datenschutzverletzung. Eine solche Partnerschaft mindert auch das Risiko interner Bedrohungen, da die Mitarbeiter keinen Zugriff auf alle Datenressourcen haben. und Naturkatastrophen, weil die Wahrscheinlichkeit gering ist, dass die gleichen Umweltschäden an zwei verstreuten Orten auftreten.

7. Überwachen Sie IT-Risiken und Compliance

Es sollten IT-Überwachungsmethoden implementiert werden, um die Entwicklung sowohl geminderter als auch ignorierter Risiken innerhalb der Risikobereitschaft zu verfolgen.

Ein Beispiel für eine IT-Risikoüberwachungskontrolle ist eine Lösung zur Überwachung der Angriffsfläche, die sowohl im internen Netzwerk als auch im Netzwerk eines Drittanbieters scannen kann. Ein solch breites und tiefes Maß an Transparenz hält Unternehmen über den Status jedes Risikos und alle damit verbundenen Risiken und die Schwachstellen auf dem Laufenden, die die Risikobereitschaft übersteigen.

Bei den Überwachungskontrollen sollte auch die Wirksamkeit der Minderungskontrollen bewertet werden. Cyberangreifer passen ihre Taktiken ständig an, um Sicherheitsvorkehrungen und Strategien zur Risikominderung zu umgehen. Ein aktuelles Beispiel: die Verwendung von Lösegeld-Software bei einem Angriff auf die Lieferkette durch die cyberkriminelle Gruppe REvil.

Sicherheitsbewertungen geben Sicherheitsteams und Stakeholdern Einblick in die Sicherheitslage ihres Unternehmens, aller Tochtergesellschaften und Anbieter. Diese Funktion bestätigt auch sofort die Wirksamkeit aller Abhilfemaßnahmen.

Wenn die unmittelbare Feedback-Funktionalität von Sicherheitsbewertungen mit Kontrollen zur Überwachung der Angriffsfläche kombiniert wird, sind sich Unternehmen der Wahrscheinlichkeit einer Datenschutzverletzung bewusst, und zwar zu jedem Zeitpunkt in ihrer IT-Umgebung.

Cybersicherheits-KPIs sind die entscheidenden Agenten, die sicherstellen, dass alle Bemühungen zur Überwachung von IT-Risiken die allgemeinen Sicherheitsziele unterstützen. Sie erleichtern auch aussagekräftige Berichte für IT-Sicherheitsteams und Stakeholder.

Hier sind 14 wichtige Kennzahlen, die in Ihrem IT-Risikomanagementprogramm implementiert werden sollten.

1. Stand der Vorsorge

2. Nicht identifizierte Geräte in internen Netzwerken

3. Einbruchsversuche

4. Sicherheitsvorfälle

5. Mittlere Zeit bis zur Erkennung (MTTD)

6. Mittlere Zeit bis zur Problembehebung (MTTR)

7. Mittlere Zeit bis zur Eindämmung (MTTC)

8. Sicherheitsbewertungen von Erstanbietern

9. Durchschnittliche Sicherheitsbewertung des Anbieters

10. Patching-Kadenz

11. Zugriffsverwaltung

12. Leistung des Unternehmens im Vergleich zu Mitbewerbern

13. Patching-Rhythmus von Anbietern

14. Mittlere Zeit für die Reaktion der Anbieter auf Vorfälle

Erfahren Sie mehr über Cybersicherheits-KPIs

Risikomanagementprozess und -standards

Die Zunahme von Datenschutzverletzungen hat Unternehmen eine größere Verantwortung auferlegt, ihre Netzwerke zu sichern und Kundendaten zu schützen. Diese Best Practices werden durch die Einhaltung gesetzlicher Vorschriften durchgesetzt.

Branchen mit dem höchsten Risiko von Cyberangriffen, wie z. B. Finanzdienstleistungen und Gesundheitswesen, sind an regulatorische Gesetze und die Sicherheitsrahmen gebunden, die die Einhaltung gesetzlicher Vorschriften erleichtern.

Einige Beispiele für regulatorische Compliance-Standards sind die Datenschutz-Grundverordnung (DSGVO) für Einwohner der Europäischen Union und CPS 234 für APRA-regulierte Organisationen.

Die folgende Grafik zeigt die 4 wichtigsten Branchen, die von Cyberkriminellen in Australien ins Visier genommen werden. Dies spiegelt auch die globalen Trends bei Datenschutzverletzungen wider.

Branchen, die nicht reguliert sind, werden dennoch von der Implementierung regulatorischer Rahmenbedingungen profitieren, um von ihren fortschrittlichen Kontrollen zum Schutz vor Datenschutzverletzungen zu profitieren.

Die Internationale Organisation für Normung (ISO) besteht aus einer Reihe von Normen, die für alle Organisationen und Sektoren geeignet sind. Die gängigsten ISO-Normen für IT-Sicherheit sind ISO 27001 und ISO 3100.

Die ISO 27001-Familie bietet Anforderungen an Datensicherheitsmanagementsysteme, und die ISO 3100-Familie kann als Leitfaden für interne Risikoaudits dienen.

Die ISO hat über 22.700 Standards veröffentlicht, um nahezu alle Anforderungen an die Informationssicherheit zu erfüllen. Das folgende Video bietet eine Anleitung, welche ISO-Familie für Ihre Geschäftsrisikoanforderungen geeignet ist.

Das National Institute of Standards and Technology (NIST) hat

Die Sicherstellung der Einhaltung gesetzlicher Standards durch Lieferanten ist ein wesentlicher Bestandteil des IT-Risikomanagements, da Datenschutzverletzungen durch Dritte für fast 60 % der Datenschutzverletzungen verantwortlich sind.

Dies kann durch Risikobewertungen und Sicherheitsfragebögen erreicht werden. Um das effiziente Risikomanagement von Informationssystemen zu unterstützen, sollten Sicherheitsfragebögen von Anbietern über eine Sicherheitslösung wie UpGuard verwaltet werden. Dies wird

Dies wird den logistischen Albtraum der manuellen Verfolgung des Status mehrerer Risikobewertungen in Tabellenkalkulationen lindern.

Die UpGuard-Plattform unterstützt die folgenden Sicherheitsfragebögen:

CyberRisk Questionnaire: Bietet eine umfassende Bewertung der Sicherheitslage eines Unternehmens, vom Richtlinienrahmen bis hin zu den technischen Kontrollen.
ISO 27001-Fragebogen: Bewertet die Sicherheitslage eines Unternehmens anhand der ISO 27001-Norm, wobei die Risiken den ISO 27001-Domänen zugeordnet werden. Es eignet sich auch für die Bewertung der Anforderungen von APRA CPS 234.
Kurzform-Fragebogen: Eine komprimierte Version des CyberRisk-Fragebogens, der an kleinere Organisationen gesendet werden soll.
NIST Cybersecurity Framework Questionnaire: Bewertet die Sicherheitslage eines Unternehmens anhand des NIST Cybersecurity Framework.
PCI DSS-Fragebogen: Bewerten Sie die Einhaltung der zwölf Anforderungen von PCI DSS durch eine Organisation.
Fragebogen zum California Consumer Privacy Act (CCPA): Bewertet, ob ein Anbieter die im CCPA beschriebenen Anforderungen an die Offenlegung personenbezogener Daten erfüllt.
Fragebogen zur modernen Sklaverei: Entwickelt, um die Risiken der modernen Sklaverei zu identifizieren, identifizierte Risiken anzugehen und Bereiche hervorzuheben, die einer weiteren Sorgfaltspflicht bedürfen.
Pandemie-Fragebogen: Entwickelt, um Ihnen zu helfen, die negativen Auswirkungen aktueller oder zukünftiger Pandemien zu bewerten.
Fragebogen zum Sicherheits- und Datenschutzprogramm: Konzentriert sich ausschließlich auf das Sicherheits- und Datenschutzprogramm eines Unternehmens.
Web Application Security Questionnaire: Konzentriert sich ausschließlich auf die Sicherheitskontrollen für Webanwendungen eines Unternehmens.
Fragebogen zur Infrastruktursicherheit: Konzentriert sich ausschließlich auf die Infrastruktursicherheitskontrollen eines Unternehmens.
Fragebogen zur Sicherheit von physischen und Rechenzentren: Konzentriert sich ausschließlich auf die Sicherheitskontrollen eines Unternehmens für physische und Rechenzentren.
COBIT 5 Security Standard Questionnaire: Bewertet die Einhaltung des von ISACA erstellten Control Objectives for Information and Related Technologies Framework.
ISA 62443-2-1:2009 Security Standard Questionnaire: Bewertet die Konformität mit dem ISA 62443-2-1:2009-Standard für industrielle Automatisierungs- und Steuerungssysteme.
ISA 62443-3-3:2013 Security Standard Questionnaire: Bewertet die Einhaltung der Anforderungen an technische Kontrollsysteme im Zusammenhang mit den sieben grundlegenden Anforderungen (FRs), die in IEC 62443-1-1 beschrieben sind.
GDPR Security Standard Questionnaire: Bewertet die Einhaltung der Anforderungen an die Offenlegung personenbezogener Daten, die in der Datenschutz-Grundverordnung (DSGVO) der Europäischen Union festgelegt sind.
CIS Controls 7.1 Security Standard Questionnaire: Bewertet die Einhaltung der Best-Practice-Richtlinien für Cybersicherheit, die in 20 CIS Controls beschrieben sind.
NIST SP 800-53 Rev. 4 Security Standard Questionnaire: Bewertet die Einhaltung der Sicherheits- und Datenschutzkontrollen, die für alle Informationssysteme des US-Bundes erforderlich sind, mit Ausnahme derjenigen, die sich auf die nationale Sicherheit beziehen.
SolarWinds-Fragebogen: Entwickelt, um Ihnen bei der Bewertung Ihrer Anbieter zu helfen, die SolarWinds möglicherweise verwenden.
Kaseya-Fragebogen: Um Ihnen dabei zu helfen, festzustellen, ob Sie oder Ihre Lieferanten dem ausgeklügelten Ransomware-Angriff auf die Lieferkette ausgesetzt waren

Für hochspezifische IT-Risikobewertungen bietet UpGuard einen benutzerdefinierten Sicherheitsfragebogen-Builder. Damit können bestehende Fragebögen bearbeitet oder komplett benutzerdefinierte Fragebögen erstellt werden.