Cyber-Risikoszenarien
Vom Asset über Bedrohung und Angriffspfad zur bewussten Risikoentscheidung.
Ein Risiko braucht mehr als ein Schlagwort
NIST IR 8286A Rev. 1 beschreibt Cyber-Risikoszenarien im Zusammenhang von Bedrohungen und Schwachstellen, betroffenen Unternehmens-Assets sowie Wahrscheinlichkeit (Likelihood) und Auswirkung (Impact). Daraus lässt sich eine einfache Schreib- und Denkhilfe ableiten.
Beispiel: Nicht „Ransomware“, sondern ein bewertbares Szenario
„Ein kompromittiertes Administratorkonto ermöglicht Zugriff auf die Backup-Infrastruktur. Erreichbare Sicherungen werden manipuliert oder gelöscht. Dadurch kann die Wiederherstellung einer wichtigen Geschäftsleistung wesentlich verzögert werden.“ Jetzt lassen sich betroffene Assets, bestehende Controls, Wahrscheinlichkeit, Impact, Owner und Treatment konkret diskutieren.
Vertiefung: NIST IR 8286A Rev. 1 – Identifying and Estimating Cybersecurity Risk for Enterprise Risk Management (ERM).
Szenarien statt abstrakter Listen
Ein gutes Cyber-Risikoszenario verbindet den betroffenen Geschäftskontext mit einem plausiblen Angriffspfad und den bereits vorhandenen Controls.
Was muss funktionieren?
Welche digitale Ressource unterstützt die Leistung?
Wer oder was kann das Asset beeinträchtigen?
Wie könnte der Angriff praktisch erfolgen?
Was bedeutet Erfolg des Angriffs für das Geschäft?
Was verhindert, erkennt oder begrenzt das Szenario?
Welche Unsicherheit bleibt und wer entscheidet darüber?
Kompromittiertes privilegiertes Konto
Nicht „Privileged Access Management (PAM) fehlt“ ist das Risiko. Das Risiko ist beispielsweise: Ein Angreifer übernimmt ein privilegiertes Konto, verändert kritische Systeme und beeinträchtigt eine Geschäftsleistung. PAM, Multi-Factor Authentication (MFA), Monitoring und Recovery sind mögliche Controls dagegen.