Im ISMS-Assistenten beurteilen Sie Ihre Informationssicherheitsrisiken in drei Kapiteln nacheinander: In der Risikoidentifikation stellen Sie aus dem ereignis- und dem assetbasierten Ansatz eine gemeinsame Liste von Risikoszenarien zusammen. In der Risikoanalyse bewerten Sie je Szenario das Schadensausmass und die Eintrittswahrscheinlichkeit, woraus Cenedril den Risikowert berechnet. Im Kapitel Risikobewertung ordnen Sie die Risiken den Akzeptanzstufen zu und priorisieren sie. Am Ende steht eine nach Risikowert sortierte Risikoliste.
Risikoszenarien zusammenstellen
Risikoidentifikation öffnen
Öffnen Sie den ISMS-Assistenten und wechseln Sie in das Kapitel Risikoidentifikation. Die Einstiegsseite erklärt die beiden Identifikationsmethoden, die Cenedril nacheinander nutzt: Top-down: ereignisbasiert aus strategischer Sicht und Bottom-up: assetbasiert aus operativer Sicht.
Vorgelagerte Schritte durchlaufen
Arbeiten Sie sich über Weiter durch die Schritte der Risikoidentifikation: Prozesskategorien und Prozesse, Risikoereignisse aus dem top-down-Weg sowie die im assetbasierten Durchgang erfassten Informationen, Bedrohungen und Schwachstellen. Diese Eingaben bilden die Grundlage für die Risikoszenarien.
Risikoszenarien sichten
Auf der Seite Risikoszenarien laufen beide Methoden zusammen. Oben stehen die Szenarien aus den strategischen Risikoereignissen, darunter die automatisch generierten Vorschläge aus dem assetbasierten Ansatz. Ein Szenario beschreibt in einem Satz, wie eine Bedrohung eine Schwachstelle eines unterstützenden Assets ausnutzt und dabei Vertraulichkeit, Integrität oder Verfügbarkeit eines primären Informations-Assets in einem Prozess gefährdet.
Szenarien bestätigen und verantwortliche Person zuweisen
Übernehmen Sie die Vorschläge, die wirklich ein Risiko darstellen, und blenden Sie nicht zutreffende Vorschläge aus. Ergänzen Sie fehlende Szenarien von Hand. Weisen Sie jedem Szenario im Feld Risikoeigentümer eine verantwortliche Person zu. Speichern Sie mit Speichern & Weiter.
Risiken analysieren
Schadensausmass bewerten
Im Kapitel Risikoanalyse öffnen Sie zuerst die Seite Schadensausmass. Gehen Sie die Liste der Risikoszenarien durch und bewerten Sie je Szenario, wie groß der Schaden im Eintrittsfall wäre, getrennt für jede Konsequenzdimension aus Ihrer Risikopolitik (z. B. finanziell, rechtlich, Reputation). Speichern Sie mit Speichern & Weiter.
Eintrittswahrscheinlichkeit bewerten
Auf der Seite Eintrittswahrscheinlichkeit gehen Sie die Szenarien erneut durch und weisen jedem eine Eintrittswahrscheinlichkeit zu. Die Auswirkungswerte aus dem vorherigen Schritt bleiben hier bewusst ausgeblendet, damit die eine Einschätzung die andere nicht verankert.
Risikoniveau prüfen
Die Seite Risikoniveauberechnung ist rein rechnerisch. Cenedril kombiniert je Szenario Schadensausmass und Eintrittswahrscheinlichkeit zum Risikowert und ordnet ihn der Risikostufe aus Ihrer Risikopolitik zu. Die Matrix oben zeigt die Verteilung aller Szenarien, darunter steht jedes Szenario einzeln mit Risikowert und Stufe.
Risiken evaluieren und priorisieren
Risiken einordnen
Im Kapitel Risikobewertung verteilt Cenedril die Szenarien automatisch in die Stufen-Gruppen aus Ihrer Risikoakzeptanz-Matrix. Prüfen Sie jede Gruppe und korrigieren Sie eine unpassende Einordnung per Drag-and-Drop in die richtige Stufe, mit Begründung. Die Akzeptanz-Kriterien aus der Risikopolitik erscheinen oben als Erinnerung.
Risiken priorisieren
Auf der Seite Risikopriorisierung wählen Sie eine von drei Sortierungen. Cenedril erzeugt daraus eine nummerierte Liste aller Szenarien. Stimmt die Reihenfolge an einzelnen Stellen nicht, verschieben Sie Szenarien mit den Pfeiltasten manuell.
Priorisierte Risikoliste abschließen
Die Seite Priorisierte Risikoliste fasst die Ergebnisse zusammen. Die Matrix zeigt, wo die priorisierten Szenarien in der Risikolandschaft liegen, die Liste darunter ist die Arbeitsgrundlage für das nächste Kapitel. Speichern Sie, um die Risikobeurteilung abzuschließen.
Ergebnis: Jedes Risikoszenario hat ein bewertetes Schadensausmass, eine Eintrittswahrscheinlichkeit und daraus einen Risikowert mit zugeordneter Stufe. Die priorisierte Risikoliste steht bereit und dient im Kapitel Risikobehandlung als Grundlage für die Behandlungsentscheidungen und die Anwendbarkeitserklärung.