Effektive Maßnahmen in der IT-Security erfordern das Wissen um alle potenziellen Risiken. Angesichts komplexer IT-Infrastrukturen ist das aber alles andere als einfach. Deshalb hat Controlware einen praxisbewährten Leitfaden entwickelt, der beim Start ins Risikomanagement unterstützt.

Mit fünf einfachen Schritten schaffen Sie die Grundlage für eine belastbare, unternehmensweite Risikobewertung:

1. Zielobjekte identifizieren

Erfassen und klassifizieren Sie alle relevanten Zielobjekte wie Anwendungen, IT-Systeme und Netzkomponenten, aber auch Gebäude, Räume, Mitarbeiter und Kommunikationsverbindungen. Unterlagen wie Inventarlisten oder Netzpläne helfen, Mehrarbeit und Zeit zu sparen.

2. Schwachstellen der Ziele ausloten

Loten Sie gemeinsam mit Ihren Kollegen die Schwachstellen der jeweiligen Zielobjekte aus und die Wahrscheinlichkeit, mit der diese auftreten. Mitarbeiter aus den unterschiedlichen Unternehmensbereichen sorgen hierbei für eine ganzheitliche Sichtweise.

3. Potenzielle Bedrohungen analysieren

Analysieren Sie die potenziellen Bedrohungen und deren Eintrittswahrscheinlichkeiten: zum Beispiel externe Angriffe mit Ransomware und Denial-of-Service-Attacken (DoS), aber auch Manipulationen durch verärgerte Mitarbeiter. Externe Consultants helfen, die Bedrohungslandschaft zu überblicken.

4. Mögliche Gefährdungen formulieren

Korrelieren Sie Bedrohungen und Schwachstellen. Leiten Sie daraus konkrete Gefahren ab. Beispielsweise: „Infiltrieren des Netzwerks (Zielobjekt) über ungepatchte Mitarbeiter-PCs (Schwachstelle) mithilfe eines Office-Exploits (Bedrohung)“. Fassen Sie gleiche Gefährdungen in Gruppen zusammen. Das reduziert den Aufwand, ohne den Detaillierungsgrad zu senken.

5. Risikoanalyse durchführen

Verknüpfen Sie die Eintrittswahrscheinlichkeiten der Gefahren mit der zu erwartenden Schadenshöhe: Die Werte zeigen, welche Priorität die einzelnen Risiken haben, und helfen bei der Wahl der Maßnahmen. Teilen Sie die Risiken den Stakeholdern und Entscheidern Ihres Unternehmens mit und überwachen Sie die Wirksamkeit der getroffenen Maßnahmen.