Ein Überblick über den Bericht der ENISA über Risikomanagementstandards

Die Agentur der Europäischen Union für Cybersicherheit (ENISA) hat am 16. März 2022 ihren Bericht über Risikomanagementstandards veröffentlicht.

Primäres Ziel des Berichts war es, einen geordneten Überblick über alle veröffentlichten Standards zu erstellen, die Aspekte des Risikomanagements adressieren. Anschließend versuchte die ENISA, die verschiedenen Methoden zu beschreiben, die Organisationen zur Implementierung der von ihr abgedeckten Risikomanagement-Frameworks verwenden können.

In diesem Artikel werden alle kritischen Abschnitte des ENISA-Risikomanagementberichts zusammengefasst, Begriffe und Definitionen eingeführt, die für das Verständnis von Risikomanagementpraktiken unerlässlich sind, und weitere Informationen darüber bereitgestellt, wie UpGuard Unternehmen bei der Einrichtung und Aufrechterhaltung robuster Risikomanagementprogramme unterstützen kann.

Erfahren Sie mehr über das leistungsstarke Cybersicherheits-Toolkit von UpGuard >

Was ist ENISA?

Die Europäische Union (EU) hat die ENISA im Jahr 2004 gegründet, um das Bewusstsein für Cybersicherheit und Cybersicherheit in ganz Europa zu schärfen. Die EU hat die Zuständigkeit und die Rolle der ENISA durch die Verabschiedung des EU-Rechtsakts zur Cybersicherheit erheblich gestärkt.

Im Rahmen des EU-Rechtsakts zur Cybersicherheit hat die Union die ENISA beauftragt, europäische Standards für Cybersicherheit, Risikomanagement, IT-Sicherheit und die Sicherheit von IKT-Produkten, -Diensten und -Prozessen umzusetzen. Die EU hat die Agentur auch damit betraut, europäische Organisationen über die Bedeutung von Best Practices für Cybersicherheit und die Implementierung von Standards in ihre Cybersicherheitsprogramme aufzuklären.

Die Veröffentlichung der ENISA, Risk Management Standards, zielt darauf ab, die strategische und effiziente Erreichung der beiden oben genannten Ziele zu verfolgen. Die Agentur nutzte den Bericht, um eine umfassende Bestandsaufnahme der Risikomanagementmethoden zu erstellen, die alle Organe und Organisationen der EU schulen und leiten sollen.

Organisationen können zusätzliche Risikomanagementberichte, die die ENISA veröffentlicht hat, unter www.enisa.europa.eu einsehen.

Was ist Risikomanagement?

Cybersicherheitsrisikomanagement ist der fortlaufende Prozess der Identifizierung, Bewertung und Reaktion auf Cyberrisiken.

Um Risiken auf der gesamten Angriffsfläche erfolgreich zu managen, müssen Unternehmen das Auftreten von Risiken sorgfältig identifizieren, die Auswirkungen und die Wahrscheinlichkeit dieser Risiken genau bewerten und offensiv festlegen, wie einzelne Risiken behandelt werden sollen.

Unternehmen unterteilen das Risikomanagement häufig in lokalisierte Prozesse, die sich mit genauen Teilmengen des gesamten Cybersicherheitsrisikos befassen. Beispielsweise sind Third-Party-Risikomanagement (TPRM) und Vendor Risk Management (VRM) zwei Formen des Risikomanagements, die Strategien zum Schutz von Unternehmen vor den inhärenten Risiken von Drittanbietern, Anbietern und anderen Partnerschaften innerhalb der Lieferkette eines Unternehmens umfassen.

Informationssicherheits-Risikomanagement (ISRM) ist eine weitere Form des Risikomanagements, die Risikobewertungs- und Risikobehandlungsstrategien für Risiken im Zusammenhang mit der Vertraulichkeit, Sicherheit und Verfügbarkeit der Informationstechnologie und der Datenbestände eines Unternehmens bietet.

Der Bericht der ENISA befasst sich zwar mit TPRM, VRM, ISRM und anderen lokalisierten Formen des Risikomanagements, analysiert jedoch die Standards und Praktiken des gesamten Cybersicherheitsrisikomanagements.

Empfohlene Lektüre: Was ist Cybersicherheitsrisikomanagement? Prävention von Cyberangriffen

Standards vs. Methoden

Gelegentlich kann in Gesprächen über Risikomanagement der Unterschied zwischen "Standards" und "Methoden" verschwimmen. Um Verwirrung zu vermeiden, enthält der ENISA-Bericht Definitionen für jeden Begriff:

• Normen sind Dokumente, die in der Regel im Konsens führender Fachleute anerkannter Normungsorganisationen (ISO, IEC, CEN, ETSI, DIN) festgelegt werden.
• Methoden sind eine Sammlung oder ein einzelner Satz von Prinzipien, die sich an bewährte Verfahren halten und zur Durchführung von Cybersicherheitsaktivitäten oder zur Einhaltung von Sicherheitsanforderungen verwendet werden.

Die beiden Begriffe überschneiden sich häufig, da die Methoden manchmal als Standards veröffentlicht werden und die Leitungsgremien manchmal neben ihren standardisierten Zertifizierungssystemen auch empfohlene Methoden enthalten.

Die Risikomanagement-Standards der ENISA

Die ENISA gliederte ihren Risikomanagementbericht in sechs Abschnitte (einschließlich einer Einleitung, Begriffen und Definitionen sowie einem Empfehlungsteil). In diesen Abschnitten werden die folgenden kritischen Themen des Risikomanagements vorgestellt und erörtert:

• Etablierung eines Risikomanagementprozesses,
• Phasen eines effektiven Risikomanagements,
• Praktische Anwendung von Risikomanagementstrategien,
• Einschlägige Rahmenwerke für das Risikomanagement und
• Empfehlungen für die Implementierung des Risikomanagements

Etablierung eines Risikomanagementprozesses

In dem ENISA-Bericht heißt es, dass die Entwicklung und Etablierung eines Risikomanagementprozesses ein grundlegender Bestandteil des Cybersicherheitsprogramms eines jeden Unternehmens sein sollte.

Konkret kommt in dem Bericht zum Ausdruck, dass die effektivsten Risikomanagementprozesse eine Vielzahl von Risiken angehen werden, darunter:

• Unternehmensrisiko,
• Marktrisiko,
• Kreditrisiko,
• Operationelles Risiko,
• Projektrisiko,
• Entwicklungsrisiko,
• Risiken in der Lieferkette und
• Risiko der Infrastruktur

Der Bericht schlägt auch vor, dass alle Unternehmen Risiken anhand der drei Hauptprinzipien der Informationssicherheit bewerten: Vertraulichkeit, Integrität und Verfügbarkeit. Um beispielsweise die Auswirkungen eines Lieferkettenrisikos gründlich zu bewerten, sollten sich Unternehmen gleichzeitig fragen, wie sich das Risiko auf den Datenschutz, die Geschäftskontinuität, die relevanten Ergebnisse und den Ruf der Marke auswirkt.

Phasen eines effektiven Risikomanagements

In dem Bericht kommt die ENISA zu dem Schluss, dass alle Risikomanagementprozesse drei Phasen umfassen sollten: Risikoidentifizierung, Risikobewertung und Risikobehandlung. Der ENISA-Bericht fordert Organisationen auch auf, Protokolle für die Konsultation von Interessengruppen, die Risikoüberwachung und die Berichterstattung einzurichten, die der Organisation helfen können, Informationen zu sammeln und Lösungen in jeder Phase des Risikomanagementprozesses zu finden.

Empfohlene Lektüre: Best Practices für das Lieferantenrisikomanagement im Jahr 2023 und wie führen Sie eine Lieferantenrisikobewertung durch?

Risikoidentifikation

Während der Risikoidentifikationsphase des Risikomanagementprozesses sollten Unternehmen Protokolle entwickeln, um den Umfang, den Kontext und die Kriterien eines einzelnen Risikos zu bestimmen.

Der Umfang des Risikos umfasst die betroffenen Stakeholder und Infrastrukturen. Im Gegensatz dazu umfasst der Risikokontext, welche Elemente offengelegt oder beschädigt werden (personenbezogene Daten, sensible Daten, Aktivitäten in der Lieferkette usw.), und die Risikokriterien umfassen die Risikoart und die Instrumente, die zur Bewertung, Akzeptanz und Behandlung des Risikos erforderlich sind.

Die Entwicklung effektiver Verfahren zur Identifizierung des Umfangs, des Kontexts und der Kriterien von Cyberrisiken ist von entscheidender Bedeutung, da diese Informationen direkt den Schweregrad bestimmen, mit dem ein Unternehmen ein einzelnes Risiko bewertet und behandelt.

Der beste Weg für ein Unternehmen, seine Strategie zur Risikoidentifizierung zu verbessern, besteht darin, die Transparenz über seine internen und externen Angriffsflächen hinweg zu erhöhen.

Erfahren Sie, wie UpGuard Unternehmen bei der kontinuierlichen Überwachung unterstützt>

Risikobewertung

Die nächste Phase des Risikomanagements ist die Risikobewertung. Während der Risikobewertungsphase sollten Unternehmen über Risikobewertungsmethoden verfügen, um die Quelle eines Risikos, seine Auswirkungen und die Folgen dieser Auswirkungen zu identifizieren. Diese Systeme werden oft zusammenfassend als Risikoanalyse bezeichnet.

Unternehmen können ihren Risikoanalyseprozess stärken, indem sie manuelle, fehleranfällige Bewertungsmethoden eliminieren und flexible Risikobewertungen und branchenweit anerkannte Sicherheitsfragebögen verwenden.

Erfahren Sie, wie UpGuard Unternehmen bei der Durchführung von Cyber-Risikobewertungen unterstützt>

Risiko-Behandlung

Die letzte Phase des Risikomanagements ist die Risikobehandlung. Organisationen sollten in dieser Phase Informationen zu Risikoumfang, Kontext und Kriterien verwenden, um eine geeignete Option zur Risikobehandlung auszuwählen.

Unternehmen mit einer effektiven Entscheidungsfindung werden alle folgenden Optionen zur Risikobehandlung in Betracht ziehen:

• Risikovermeidung: Nichtstarten oder Beenden der Aktivität, die das Unternehmen dem Risiko ausgesetzt hat,
• Risikoakzeptanz: Erkennen oder Erhöhen des Risikos, um eine Chance zu verfolgen
• Risikominderung: Unterdrückung der negativen Auswirkungen eines Risikos
• Risikoteilung: Ausbau von Verträgen mit Dritten, Versicherungen usw.

UpGuard ist mit leistungsstarken Cybersicherheitstools ausgestattet, die es Unternehmen ermöglichen, erfolgreiche Risikobehandlungen durchzuführen, um Risiken auf ihren internen und externen Angriffsflächen zu managen.

Die robustesten Risikobehandlungsprogramme verwenden Workflows zur Risikominderung und -behebung, um die Auswirkungen eines Risikos auf das Unternehmen zu minimieren. UpGuard Vendor Risk umfasst umfassende Risikobewertungen von Lieferanten und intuitive Risikomanagement-Workflows, die es Unternehmen ermöglichen, Risiken in der Lieferkette während des gesamten Lieferantenlebenszyklus kontinuierlich zu identifizieren, zu bewerten und zu beheben.

UpGuard Vendor Risk bietet Unternehmen auch Zugriff auf automatisierte Sicherheitsfragebögen, objektive Sicherheitsbewertungen und andere wichtige Tools, um ihren gesamten Risikomanagementprozess und die allgemeinen Cybersicherheitsstandards zu verbessern.

Praktische Anwendung von Risikomanagementstrategien

In diesem Berichtsteil stellt die ENISA fünf Workshops vor, an denen Unternehmen teilnehmen können, um ihre Risikomanagementstrategien zu testen, bevor sie sich Echtzeitrisiken und aggressiven Cyberbedrohungen stellen.

Diese fünf Workshops beinhalten:

• Workshop 1: Umfang und Sicherheitsgrundlagen
• Workshop 2: Ursprünge von Risiken
• Workshop 3: Strategische Szenarien
• Workshop 4: Einsatzszenarien
• Workshop 5: Risikominderung

Workshop 1

Der erste Workshop, den die ENISA in ihrem Bericht erwähnt, zielt darauf ab, Organisationen dazu zu bringen, ihre Risikotoleranz (Security Baseline) zu definieren und ihre Risikomanagement-Missionen zu identifizieren. Dieser Schritt fordert Unternehmen auch auf, alle Cyberbedrohungen zu identifizieren, die sie befürchten.

Workshop 2

Der zweite und dritte Workshop des Berichts konzentrieren sich auf die Ursprünge und Szenarien von Risiken, die ein Unternehmen zur Risikominderung nutzen kann. Mit der Veröffentlichung dieser Workshops erwartet die ENISA von den Organisationen, dass sie gemeinsame Risikoursprünge und Zielsetzungen aufzeigen, die sie bei der Weiterentwicklung ihres Risikomanagementprozesses beachten sollten.

Workshops 3 und 4

Der vierte Workshop ist dem dritten sehr ähnlich. Der vierte Workshop konzentriert sich jedoch auf operationelle Risiken und die unterstützenden Assets oder Schnittstellen, die betroffen sein können, wenn eine Cyberbedrohung einem bestimmten Angriffspfad folgt. Während dieses Workshops können Unternehmen auch die Interoperabilität ihrer Systeme analysieren, um Lösungen für den Fall zu finden, dass eine bestimmte Technologie während eines Angriffs ausfällt.

Werkstatt 5

Der fünfte und letzte Workshop fordert Organisationen auf, die Ergebnisse jedes vorangegangenen Workshops zusammenzufassen. Die ENISA erwartet dann, dass die Organisation diese Ergebnisse analysiert, gemeinsame Risiken und Schwachstellen gruppiert und diese Arbeitsgruppen nutzt, um ad hoc zusätzliche Sicherheitsmaßnahmen zu entwickeln, um ihre allgemeine Sicherheitslage zu verbessern.

Mit dem leistungsstarken Cybersicherheits-Toolkit von UpGuard können Unternehmen alle von der ENISA empfohlenen Risikomanagement-Workshops absolvieren und ihren Risikomanagementprozess weiter verbessern, indem sie ihre allgemeine Sicherheitslage, Risikoresilienz, Due-Diligence-Prozesse für Lieferanten und vieles mehr verbessern.

Relevante Rahmenwerke für das Risikomanagement

In diesem Abschnitt des ENISA-Berichts werden relevante Rahmenwerke für das Risikomanagement aufgeführt, die wichtige Cybersicherheitsleitlinien und Zertifizierungsstandards enthalten. Für jeden Rahmen, den sie in dem Bericht erwähnt, enthält die ENISA auch die spezifischen Arten von Cybersicherheitsgrundsätzen, die sie fördert.

• ISO/IEC 27005: Managementsysteme für Informationssicherheit
• ISO 31000: Richtlinien für das Risikomanagement
• BSI 7799-3: Leitfaden für das Risikomanagement in der Informationssicherheit
• NIST SP 800-39: Verwalten von Informationssicherheitsrisiken
• BSI Deutschland Standard 200-3: Risikoanalyse auf Basis des IT-Grundschutzes

Nach der Identifizierung der oben genannten Rahmenwerke wird der Bericht auf der Grundlage der folgenden Perspektiven verglichen und gegenübergestellt:

• Konzepte, Begriffe und Definitionen
• Risikokriterien
• Anwendungsbereiche
• IKT
• Grad der Anwendung
• Europäische vs. internationale technische Spezifikationen
• EU-Gesetzgebung vs. Normen

Insgesamt kommt die ENISA bei ihrem Vergleich zu dem Schluss, dass jede Organisation im Unternehmenssektor jeden von ihr identifizierten Rahmen anwenden kann, da jeder ähnliche Begriffe und Definitionen enthält, die Bedeutung der Festlegung von Risikokriterien berücksichtigt und Strategien für ein effektives Risikomanagement bereitstellt.

Die ENISA stellt klar, dass einige Unternehmen (insbesondere solche, die branchenübergreifend tätig sind) einige Rahmenwerke für relevanter und hilfreicher halten werden als andere. So werden beispielsweise die ISO-Veröffentlichungen mehr Details zur IKT-Sicherheit enthalten, während die BSI-Veröffentlichung eher für Unternehmen geeignet ist, die auf deutschen Märkten tätig sind.

In ähnlicher Weise weist die ENISA darauf hin, dass keiner der fünf von ihr ermittelten einschlägigen Rahmenwerke von der EU veröffentlicht wurde und daher keine Rechtsgrundlage in der gesamten Europäischen Union hat. Der Bericht erkennt jedoch an, dass ISO 31000 das international relevanteste Rahmenwerk ist.

Empfehlungen für die Implementierung des Risikomanagements

Der letzte Abschnitt des ENISA-Berichts enthält Empfehlungen für verschiedene Interessengruppen, darunter politische Entscheidungsträger der EU-Mitgliedstaaten, europäische Normungsorganisationen (SDOS) und sich selbst. Die kritischsten der 16 Empfehlungen sind im Folgenden zusammengefasst:

EU-Politiker

• Cybersicherheitsbildung sollte in alle Bildungsstufen (frühe Kindheit, lebenslanges Lernen und Berufsleben) einbezogen werden
• Erforderlichenfalls sollten die politischen Entscheidungsträger der EU in bestimmten Wirtschaftssektoren spezifische Risikomanagement-/Risikobewertungsmethoden verbindlich vorschreiben

Europäisches SDOS

• Europäische Normungsorganisationen sollten ISO/IEC 31000 und ISO/IEC 27005 als europäische Normen übernehmen
• Es sollten Anstrengungen unternommen werden, um Lücken in der IKT-Sicherheit zu schließen

ENISA

• Die ENISA sollte regelmäßig aktualisierte Berichte über Risikomanagementstandards veröffentlichen
• Die ENISA sollte einen Mechanismus zur Unterstützung der EU-Organe einrichten

UpGuard kann jedem Unternehmen helfen, alle drei Phasen seines Risikomanagementprozesses zu rationalisieren. Durch den Einsatz der All-in-One-Cybersicherheitslösung von UpGuard können Unternehmen Risiken in ihrer gesamten Lieferkette genau identifizieren, Risiken mit benutzerdefinierten Risikobewertungstools effektiv bewerten und Risiken mit intuitiven Workflows zur Risikominderung und -behebung behandeln.

Unternehmen, die ihre Risikomanagementpraktiken von Drittanbietern verbessern möchten, können UpGuard Vendor Risk nutzen, um auf die folgenden Funktionen zuzugreifen:

• Robuste und anpassbare Risikobewertungen,
• Objektive und genaue Sicherheitsbewertungen,
• Flexible Sicherheitsfragebögen,
• Maßgeschneiderte Lieferantenberichte,
• 24/7 Lieferantenüberwachung und mehr

Erfahren Sie mehr über die All-in-One-Cybersicherheitslösung von UpGuard, indem Sie noch heute Ihre Demo starten>