Eine Risikoanalyse identifiziert potenzielle Risiken, deren Wahrscheinlichkeit und die damit verbundenen Kosten. Sie erstellt eine priorisierte Liste der Risiken, sodass Ressourcen dort eingesetzt werden, wo sie am wichtigsten sind. Ohne sie basieren Sicherheitsausgaben auf Spekulationen. Mit ihr lassen sich Entscheidungen fundiert treffen. Ein Krankenhaus könnte die Offenlegung von Patientendaten als größtes Risiko einstufen. Ein Hersteller hingegen könnte Produktionsausfälle höher priorisieren. Die Priorisierung hängt vom jeweiligen Unternehmen ab, nicht von einer standardisierten Checkliste.

Der Prozess beginnt mit der Identifizierung der Assets. Was soll geschützt werden? Kundendaten, geistiges Eigentum, Finanzsysteme, physische Infrastruktur. Anschließend folgt die Bedrohungsmodellierung. Wer könnte diese Assets angreifen und wie? Darauf folgt die Schwachstellenanalyse. Welche Schwachstellen bestehen? Abschließend erfolgt die Bewertung von Auswirkung und Eintrittswahrscheinlichkeit. Eine qualitative Bewertung verwendet Kategorien wie hoch, mittel und niedrig. Eine quantitative Bewertung ordnet Kosten und Wahrscheinlichkeiten zu. Die meisten Organisationen nutzen eine Kombination aus beidem. Qualitative Bewertungen sind schneller und für die Priorisierung ausreichend. Quantitative Bewertungen sind bei der Budgetbegründung besser nachvollziehbar. Die Bewertung ist keine einmalige Angelegenheit. Geschäftsprozesse verändern sich. Neue Systeme entstehen. Alte Risiken verlieren an Bedeutung. Eine zwei Jahre alte Risikobewertung ist ein historisches Dokument.

Schritte der Risikobewertung

• Vermögenswerte und deren Wert ermitteln
• Bedrohungen und Bedrohungsakteure identifizieren
• Schwachstellen identifizieren
• Wahrscheinlichkeit und Auswirkungen einschätzen
• Priorisieren und dokumentieren
• Regelmäßig überprüfen und aktualisieren

Eine Risikobewertung, auf deren Grundlage niemand handelt, ist eine rein akademische Übung. Ihr Wert liegt in den Entscheidungen, die sie ermöglicht.