AISM

Es wird empfohlen, eine 3- bis 5-stufige Skala zu definieren, z. B.:
Schadensausmass:
- Klein / Vernachlässigbar
- Mittel / Marginal
- Hoch / Kritisch
- Sehr hoch / Katastrophal

klein: <5000 CHF, kein Reputationsschaen und keine Compliance-Verletzung, mittel: <50'000, Geringer Reputationschaden, Kleine Compliance-Verletzung ohne Verfahren; hoch <500'000. Sürbarer Reputationsschaden mit aber nur kleinem Kundenverlust, Mittlere Compliance-Verletzung; sehr hoch: > 500'000

Risikomatrix (auch Risiko-Landkarte (Risk Map)): y-Achse Schadenausmass und x-Achse Eintretenswahrscheinlichkeit

• Eine Menge von Risiken, welche im Rahmen einer Risikoanalyse identifiziert worden ist, wird als Risiko-Portfolio bezeichnet
•  Risiko-Portfolios werden oft einzelnen Geschäftsfeldern zugeordnet (jedes Geschäftsfeld hat sein Portfolio)
•  Werden die Einzelrisiken des Portfolios in einer Risikomatrix eingezeichnet, so spricht man von einer Risiko-Landkarte (Risk-Map)

Risiken unterhalb der Akzeptanzlinie werden akzeptiert, bedürfen also keiner Massnahmen

Welche Risiken müssen wir zuerst behandeln? Welche können wir tolerieren?Wo lohnt sich Risikoreduktion am meisten?

• Risiken vermeiden → Prozesse anpassen/aufgeben, sodass das Risiko gar nicht mehr existiert.
• Risiken vermindern → Sicherheitsmaßnahmen einsetzen, um Schadensausmaß oder Eintrittswahrscheinlichkeit zu reduzieren.
• Risiken übertragen (transferieren) → Finanzielle Folgen auf andere abwälzen (z. B. Versicherung, Outsourcing, Serviceanbieter).
• Risiken tragen => Risiko akzeptieren (Restrisiko bleibt bestehen).

1. Ausgangs-Risiko: Zuerst gibt es ein Gesamtrisiko. Ein Teil davon wird erkannt (identifiziert), ein Teil bleibt nicht erkannt (unentdeckt).
2. Strategien für erkannte Risiken: Vermeiden, Vermindern, übertragen, selbst tragen

Das Risiko, das nach Maßnahmen (vermeiden, vermindern, übertragen) übrig bleibt → wird bewusst akzeptiert und heißt Restrisiko.

dokumentiert und von der Geschäftsleitung genehmigt werden. Das Gleiche gilt insbesondere auch für die verbleibenden Restrisiken.

A — Risikopriorität ;
Grosses Risiko → Es sind mit hoher Priorität risikominimierende Massnahmen zu treffen.
B — Risikopriorität ;
Mittleres Risiko → Es muss von Fall zu Fall über Massnahmen entschieden werden.
C — Risikopriorität ;
Kleines Risiko → Es werden typischerweise keine Massnahmen getroffen.
Das Risiko kann vom Unternehmen selbst getragen werden.

- Risiko-Kataloge sind ein Hilfsmittel zur «Buchführung» über identifizierte Risiken
- Jeder Unternehmensbereich erstellt seinen Risiko-Katalog; die einzelnen Kataloge werden dann zu einem unternehmensweiten Risiko-Katalog konsolidiert
- Risiko-Kataloge verbinden identifizierte Risiken mit Massnahmen, um die Risiken zu bewältigen (vermeiden, vermindern etc.).

- Welche Massnahmen haben die grösste Wirkung (Reduktion mehrerer Risiken)?
- Welche Massnahmen benötigen wenig Ressourcen?
- Welche Massnahmen können kurzfristig realisiert werden?
- Welche Massnahmen stossen auf breite Akzeptanz?
=> Wirtschaftlichkeit und den Faktor Mensch
nie ausser Acht lassen!

- Anleitung für ein Information Security Risk Management ohne Spezifikation einer Risiko Management Methode
- Beliebige Risiko Management Methoden können unter dem vorgegebenen Framework angewendet werden
- Der Standard basiert auf ISO 27001 und ISO 27002 und setzt deshalb für die Anwendung die Kenntnis dieser beiden Standards voraus
- Er spezifiziert den ganzen Risiko Management Prozess beginnend mit der Risiko Analyse bis zum Plan für den Umgang mit den identifizierten Risiken

- Context Establishment: Gegenstand, Zweck, Absichten, Ziele, Fokus und relevante Einflüsse, Randbedingungen und Abgrenzungen aus externer und interner Sicht festlegen
- Risik Identification: Objekte, Bedrohungen, Schwachstellen und bereits existierende Massnahmen erfassen
- Risk Analysis: Häufigkeit und Schadensausmass einschätzen
- Risk Evaluation: Bewertung der identifizierten Risiken im definierten Kontext (Bsp. zeitl. Prioritäten für die Umsetzung von Massnahmen; Reduktion Häufigkeit oder Schadensausmass?; Abwägung Risiken/Chancen etc.)
- Risk Treatment: Definition, Konzeption, Planung und Umsetzung von Massnahmen aufgrund der bei der Risk Evaluation definierten Anforderungen (Varianten: vermeiden, vermindern, transferieren, tragen)
- Risk Acceptance: Formales Akzept des Risk Treatment Plans sowie der Restrisiko-Einschätzung durch das zuständige Management
- Risk Communication and Consultation: Information der direkt Beteiligten und der Betroffenen in jedem Teilprozess
- Monitoring and Review: Prozess und Risiko-Situation bezüglich allfälliger Veränderungen überwachen

Ein ISMS beschreibt Regeln und Verfahren für eine Unternehmung, welche den Zweck haben, Informationssicherheit mithilfe eines Prozesses zu definieren, zu steuern, zu kontrollieren, aufrechtzuerhalten und kontinuierlich zu verbessern

ISO/IEC 27001 = Management-Standard

→ definiert Anforderungen an ein Informationssicherheits-Managementsystem (ISMS):

Risikomanagement, Politik, Rollen, Audits, kontinuierliche Verbesserung.

(„Was muss ein ISMS erfüllen?“)

ISO/IEC 27002 = Leitfaden/Best Practices

→ beschreibt Kontrollen und liefert Umsetzungstipps zu Annex A

z. B. Zugriffskontrolle, Kryptografie, Logging, Lieferanten, Cloud.

(„Wie setzt man die Kontrollen praktisch um?“)

Kurzmerksatz: 27001 = zertifizierbar (Management),

27002 = unterstützend (Umsetzung/Guidance).

Weil der IT-Grundschutz nicht linear, sondern modular aufgebaut ist.

• Basis, Kern und Standard sind alternative Ansätze, keine Reifestufen

• Kern-Absicherung ist ein Fokus auf kritische Systeme, keine Zwischenstufe

• Organisationen wählen den Weg je nach Risiko, Ziel und Ressourcen

• Nicht jede Organisation strebt die Standard-Absicherung an

4️⃣ Methodische Trennung

• Basis & Kern: risiko- und bedarfsorientiert

• Standard: vollständig & zertifizierbar

Einen Prozess unterhalten, mit dem Informationssicherheitsrisiken identifiziert, bewertet, sowie Kontrollen bestimmt, eingeführt und kontinuierlich verbessert werden können
- Dies setzt voraus, dass der Schutzbedarf von Vermögenswerten
bestimmt, Schutzmassnahmen eingeführt und Kontrollen definiert werden
- Verschiedene Standards machen Vorgaben für den Aufbau eines ISMS

ISO 27000 ISMS – Overview and vocabulary
ISO 27001: ISMS – Requirements
ISO 27002: Information security controls
ISO 27003: ISMS – Guidance
 ISO 27004: ISM – Monitoring, measurement, analysis and evaluation
ISO 27005: Information security risk management

- IT-Grundschutz-Standards und IT-Grundschutz-Kompendium vom BSI
- Cybersecurity Framework (CSF) von NIST
- NIS-2-Richlinie zur Stärkung der Cybersicherheit in der EU
- DORA (Digital Operational Resilience Act) zur Stärkung der digitalen Widerstandsfähigkeit des Finanzsektors
gegenüber IT-Risiken und Cyberangriffen
- COBIT (IT-Governance) und ITIL (IT-Service-Management);
- Informationssicherheitsgesetz (ISG) regelt die Sicherheit von Informationen und Informatikmitteln des
Bundes
IKT-Minimalstandards (BACS);
- Informationssicherheitshandbuch für die Praxis: sihb.ch

Kostensenkung, Einführung eines angemessenen Sicherheitniveaus, Wettbewerbsvorteile

• Nutzung vorhandener und praxiserprobter Vorgehensmodelle
• Methodische Vereinheitlichung und Nachvollziehbarkeit
• Ressourceneinsparung durch Kontinuität und einheitliche Qualifikation
• Interoperabilität

• Orientierung am Stand der Technik und Wissenschaft
• Gewährleistung der Aktualität
• Verbesserung des Sicherheitsniveaus durch die Notwendigkeit der zyklischen Bewertung

• Zertifizierung des Unternehmens sowie von Produkten
• Nachweisfähigkeit bei öffentlichen und privatwirtschaftlichen Vergabeverfahren
• Verbesserung des Unternehmensimage
• Stärkung der Rechtssicherheit

- Definiert Einführung, Betrieb, Überwachung, Wartung und Verbesserung
eines dokumentierten Informationssicherheits-Managementsystems
- Definiert den Sicherheitsprozess nach dem Prozess-Ansatz «Plan – Do –
Check – Act» (PDCA)
- Dieses Vorgehensmodell wird ab ISO 27001:2013 nicht mehr explizit erwähnt, da es
auch andere Ansätze gibt, um einen Sicherheitsprozess zu modellieren
- Stellvertretend für solche Ansätze wird der PDCA-Ansatz in der Vorlesung aber
trotzdem vorgestellt
- Definiert in Anhang A Ziele und Massnahmen zur Verbesserung der
Informationssicherheit (die Ziele und Massnahmen sind aus ISO 27002
entlehnt)

Ja

• Plan – Informationssicherheits-Ziele festlegen, Risiken analysieren und ein ISMS konzipieren („Establish ISMS“).
• Do – Die geplanten Sicherheitsmaßnahmen umsetzen und das ISMS im Betrieb anwenden („Implement and operate“).
• Check & Act – Wirksamkeit überwachen, bewerten und kontinuierlich verbessern („Monitor, review, maintain, improve“).

- Planen (Erstellung des ISMS)
Erstellung der jeweils für das Risikomanagement und zur Informationssicherheitsverbesserung
relevanten ISMS-Richtlinien, Zielsetzungen, Prozesse und Prozeduren zur Erzielung von Ergebnissen
gemäss den Gesamtrichtlinien und -zielsetzungen einer Organisation.
- Machen (Einführung und Durchführung des ISMS)
Einführung und Durchführung der ISMS-Richtlinien, -Kontrollen, -Prozessen und -Prozeduren.
- Prüfen (Überprüfung und Revision des ISMS)
Beurteilung und, wo massgebend, Messung des Prozesserfolgs gegenüber den ISMS-Richtlinien, -
Zielsetzungen und praktischen Erfahrungen, sowie Berichterstattung über die Ergebnisse an das
Management zwecks Revision.
- Handeln (Wartung und Verbesserung des ISMS)
Ergreifung korrigierender und vorbeugender Massnahmen, basierend auf den Ergebnissen des ISMS-
Audits und der Management-Revision oder anderen relevanten Informationen zur Erzielung einer
laufenden Verbesserung des ISMS.

- Standardwerk zum Thema Informationssicherheit
- Definiert 93 Kontrollen*) für den sicheren Umgang mit Informationen
- Zu jeder Kontrolle sind Umsetzungsanleitungen angegeben, allerdings
jeweils mit nur wenig Detailgrad
- Eine Zertifizierung nach ISO 27002 ist nicht möglich, da es keine harten
Forderungen gibt (nur «sollte»-Formulierungen)
- Der Standard eignet sich sehr gut zur Umsetzung eines sog. Grundschutzes
(Mindestanforderungen im Sicherheitsbereich)
*) auch Massnahmen oder Prüfpunkte genannt, engl. Controls

5 Organisatorische Maßnahmen
6 Personenbezogene Maßnahmen
7 Physische Maßnahmen
8 Technologische Maßnahmen

5.1 Informationssicherheitspolitik und -richtlinien
5.2 Informationssicherheitsrollen und
-verantwortlichkeiten
5.3 Aufgabentrennung
5.37 Dokumentierte Betriebsabläufe

Regelt Führung, Organisation, Prozesse und Verantwortlichkeiten der Informationssicherheit

➡️ Fokus: Governance statt Technik

6.1 Sicherheitsüberprüfung
6.2 Beschäftigungs- und Vertragsbedingungen
6.3 Informationssicherheitsbewusstsein,
-ausbildung und -schulung
6.8 Meldung von Informationssicherheitsereignissen

7.1 Physische Sicherheitsperimeter
7.2 Physischer Zutritt
7.3 Sichern von Büros, Räumen und Einrichtungen
.. 7.14 Sichere Entsorgung oder Wiederverwendung
von Geräten und Betriebsmitteln

8.1 Endpunktgeräte des Benutzers
8.2 Privilegierte Zugangsrechte
8.3 Informationszugangsbeschränkung
... 8.34 Schutz der Informationssysteme während
Tests im Rahmen von Audits