Nicht die Matrix entscheidet
Risikobewertung wird belastbar, wenn Kriterien, Annahmen, Kontext und Entscheidungsgrenzen nachvollziehbar sind.
Drei Personen bewerten dasselbe Risiko – und erhalten drei Ergebnisse
Das Problem ist häufig nicht die Mathematik, sondern fehlende Kriterien. Eine Risikomethode muss festlegen, welche Informationen betrachtet werden, wie Unsicherheit behandelt wird, wann ein Risiko akzeptabel ist und wie die Entscheidung nachvollziehbar bleibt.
NIST SP 800-30 Rev. 1
Strukturiert Risk Assessments über Vorbereitung, Durchführung und Pflege. Die Methode betrachtet Threat Sources/Events, Vulnerabilities/Predisposing Conditions, Likelihood und Impact und soll Entscheidungsträgern geeignete Handlungsinformationen liefern.
CIS RAM v2.2
Center for Internet Security Risk Assessment Method – Methode zur Informationssicherheits-Risikobewertung.
Eine aktuelle Information-Security-Risk-Assessment-Methode zur Anwendung mit CIS Controls. Sie liefert Core-Dokument, Varianten für Implementation Groups und Workbooks. Für uns interessant: akzeptables Risiko wird ausdrücklich definiert und gegen erforderliche Behandlung abgegrenzt.
FAIR v3.0
Factor Analysis of Information Risk – faktorbasierter Standard zur Analyse von Informationsrisiken.
FAIR ist ein faktorbasierter Standard für die Analyse von Informationsrisiko. Er ist besonders interessant, wenn Risiko stärker quantitativ und in entscheidungsfähigen Größen betrachtet werden soll. Das Framework übernimmt FAIR nicht als Pflichtmethode.
Eine 5×5-Matrix ist eine Darstellung – noch keine gute Risikomethode
Eine Matrix kann Ergebnisse verständlich ordnen. Entscheidend sind aber die dahinterliegenden Kriterien: Was bedeutet „wahrscheinlich“? Was bedeutet „hoch“? Welche Geschäftsauswirkung zählt? Welche Unsicherheit besteht? Ohne diese Definitionen erzeugt die Matrix nur scheinbare Genauigkeit.
Für kleine Organisationen
Eine qualitative Matrix kann ausreichend sein, wenn Kriterien eindeutig definiert, Beispiele hinterlegt und Entscheidungen konsistent dokumentiert werden.
Für komplexere Entscheidungen
Faktorbasierte oder quantitative Ansätze können zusätzliche Aussagekraft liefern, benötigen aber belastbarere Eingangsdaten und methodische Disziplin.
Die Methode endet nicht beim Score
Das Ergebnis muss ein nachvollziehbares Risikoszenario, die zugrunde gelegten Annahmen, die Bewertung, den Owner, die Entscheidung und den nächsten Review ermöglichen.
Weiter: Risk Register
Bewertung und Entscheidung dauerhaft nachvollziehbar machen.
Worauf diese Seite gestützt ist
NIST SP 800-30 Rev. 1
Offizielle NIST-Leitlinie zur Durchführung von Risk Assessments.
CIS RAM v2.2
Aktuelle CIS Risk Assessment Method für CIS Controls v8.1.
FAIR Standard v3.0
Faktorbasierter Standard zur Analyse von Informationsrisiko.