ISO 27001 Klausel 8.3: Informationssicherheits-Risikobehandlung

Erfahren Sie, wie die ISO 27001-Klausel 8.3 die Behandlung von Informationssicherheitsrisiken vorschreibt.

Die Behandlung von Informationssicherheitsrisiken ist der Prozess der Auswahl und Implementierung von Kontrollen zur Verringerung der Wahrscheinlichkeit und der Auswirkungen von Risiken die die Informationssicherheit eines Unternehmens gefährden können. Das Management von Risiken ist ein wesentlicher Bestandteil jedes Informationssicherheits-Managementsystems (ISMS) und wird von der Norm ISO 27001 gefordert.

Klausel 8.3 der ISO 27001 verlangt, dass Organisationen den Plan zur Behandlung von Informationssicherheitsrisiken umsetzen und dokumentierte Informationen über die Ergebnisse dieser Risikobehandlung aufbewahren.

Das bedeutet, dass Organisationen einen Plan haben müssen, wie sie die identifizierten Risiken behandeln wollen, und Aufzeichnungen darüber führen müssen, wie sie diesen Plan umgesetzt haben.

Im Folgenden sind einige der Punkte aufgeführt, die mit der Anforderung 8.3 verbunden sind:

Identifizierung und Bewertung von Risiken
Entwicklung und Umsetzung von Plänen zur Risikobehandlung
Überwachung und Überprüfung der Wirksamkeit der Risikobehandlungspläne
Aufbewahrung von dokumentierten Informationen über die Ergebnisse der Risikobehandlung

Organisationen können eine Vielzahl von Methoden zur Umsetzung der Anforderung 8.3 anwenden, z.B:

Verwendung eines Risikomanagement-Rahmenwerks wie ISO 27005
Verwendung eines Risikomanagement-Softwaretools
Beauftragung eines Beraters, der beim Risikomanagement hilft

Was ist ein Plan zur Behandlung von Informationsrisiken?

Ein Plan zur Behandlung von Informationsrisiken (Information Risk Treatment Plan, IRTP) ist ein Dokument, in dem dargelegt wird, wie eine Organisation die Informationssicherheitsrisiken, die im Rahmen ihrer Risikobewertung ermittelt wurden, handhaben und behandeln wird. Der IRTP sollte Folgendes enthalten:

eine Liste aller ermittelten Risiken mit ihrer Wahrscheinlichkeit und ihren Auswirkungen
eine Beschreibung der Risikobehandlungsstrategien, die zur Bewältigung jedes Risikos eingesetzt werden sollen
eine Liste der Kontrollen, die zur Unterstützung der Risikobehandlungsstrategien durchgeführt werden sollen
einen Zeitplan für die Umsetzung der Kontrollen
einen Plan zur Überwachung und Überprüfung der Wirksamkeit des Risikobehandlungsplans

Der IRTP sollte ein wachsendes Dokument sein, das regelmäßig aktualisiert wird, wenn sich die Risikolandschaft des Unternehmens ändert.

Welche 4 Möglichkeiten der Risikobehandlung gibt es?

Es gibt eine Reihe verschiedener Risikobehandlungsstrategien, aber die gängigsten sind:

Vermeidung: Hier geht es darum, Maßnahmen zu ergreifen, um das Risiko ganz auszuschalten, z.B. indem eine bestimmte Technologie oder ein bestimmtes Verfahren nicht verwendet wird.
Minderung: Hierbei werden Schritte unternommen, um die Wahrscheinlichkeit oder die Auswirkungen des Risikos zu verringern, z. B. durch die Einführung von Sicherheitskontrollen.
Akzeptanz: Dies bedeutet, das Risiko so zu akzeptieren, wie es ist, und keine weiteren Maßnahmen zu ergreifen.
Übertragung: Hierbei wird das Risiko auf einen Dritten übertragen, z.B. auf eine Versicherungsgesellschaft.

Welche Risikobehandlungsstrategie für ein bestimmtes Risiko am besten geeignet ist, hängt von einer Reihe von Faktoren ab, u. a. von der Wahrscheinlichkeit und den Auswirkungen des Risikos, den Kosten und der Wirksamkeit der verschiedenen Kontrollen sowie der Risikobereitschaft des Unternehmens.

Wie man die Risikobehandlung für die Informationssicherheit umsetzt

Um einen Plan für die Behandlung von Informationssicherheitsrisiken umzusetzen, sollten Organisationen einen Risikomanagementprozess befolgen.

Identifizierung der Risiken: Der erste Schritt besteht darin, alle Risiken für die Informationssicherheit zu ermitteln, denen die Organisation ausgesetzt ist. Dies kann durch eine Vielzahl von Methoden geschehen, z. B. durch Risikobewertungen, Bedrohungsmodellierung und Schwachstellen-Scans.
Bewertung der Risiken: Sobald die Risiken identifiziert sind, müssen sie bewertet werden, um ihre Wahrscheinlichkeit und Auswirkungen zu bestimmen. Anhand dieser Informationen lassen sich dann Prioritäten für die Risiken setzen und die am besten geeigneten Strategien zur Risikobehandlung auswählen.
Risiken behandeln: Sobald die Risikobehandlungsstrategien ausgewählt sind, müssen sie umgesetzt werden. Dies kann die Implementierung neuer Sicherheitskontrollen, die Aktualisierung bestehender Kontrollen oder die Änderung von Prozessen beinhalten.
Überwachung und Überprüfung der Risiken: Der Prozess des Risikomanagements ist ein fortlaufender Prozess, und die Risiken sollten regelmäßig überwacht und überprüft werden, um sicherzustellen, dass sie effektiv gehandhabt werden.

Die ISO 27001 verlangt, dass Organisationen über einen Risikobehandlungsplan verfügen, um die durch den Risikobewertungsprozess ermittelten Informationssicherheitsrisiken zu behandeln.

Der Risikobehandlungsplan sollte die Risiken, die Risikobehandlungsstrategien, die zur Bewältigung der Risiken eingesetzt werden sollen, und die Kontrollen, die zur Unterstützung der Risikobehandlungsstrategien implementiert werden, aufzeigen.

Der Risikobehandlungsplan ist für den Zertifizierungsprozess nach ISO 27001 wichtig, da er dem Prüfer zeigt, dass die Organisation über einen Plan zur Bewältigung ihrer Informationssicherheitsrisiken verfügt. Der Auditor überprüft den Risikobehandlungsplan, um zu beurteilen, ob er umfassend und für die Risiken der Organisation geeignet ist.

Die Vorteile eines Plans zur Behandlung von Informationsrisiken sind folgende:

Ein Risikobehandlungsplan ist nicht nur für die ISO 27001-Zertifizierung erforderlich, sondern bringt auch eine Reihe weiterer Vorteile mit sich, wie z. B:

Verringerung des Risikos von Informationssicherheitsvorfällen: Ein Plan zur Behandlung von Informationsrisiken hilft Organisationen, ihre Informationssicherheitsrisiken effektiv zu identifizieren und zu verwalten. Dies kann dazu beitragen, die Wahrscheinlichkeit und die Auswirkungen von Vorfällen im Bereich der Informationssicherheit, wie z. B. Datenschutzverletzungen, Malware-Angriffe und Denial-of-Service-Angriffe, zu verringern.
Verbesserte Einhaltung von Vorschriften: Viele gesetzliche Vorschriften verlangen von Unternehmen, dass sie einen Plan zur Behandlung von Informationsrisiken haben. Mit einem solchen Plan können Unternehmen gegenüber den Aufsichtsbehörden nachweisen, dass sie Maßnahmen zum Schutz ihrer Daten ergreifen. Erfahren Sie hier mehr über Vorschriften und Gesetze in der Informationssicherheit.
Verbessertes Kundenvertrauen: Kunden sind eher bereit, mit Unternehmen Geschäfte zu machen, denen sie vertrauen, dass sie ihre Daten schützen. Mit einem Plan zur Behandlung von Informationsrisiken können Unternehmen ihren Kunden zeigen, dass sie die Informationssicherheit ernst nehmen.
Geringere Kosten: Vorfälle im Bereich der Informationssicherheit können sehr kostspielig sein, sowohl im Hinblick auf finanzielle Verluste als auch auf die Schädigung des Ansehens. Ein Plan zur Behandlung von Informationsrisiken kann Unternehmen dabei helfen, das Risiko solcher Vorfälle zu verringern, was zu erheblichen Kosteneinsparungen führen kann.
Verbesserte Geschäftskontinuität: Vorfälle im Bereich der Informationssicherheit können den Geschäftsbetrieb stören und zu Umsatzeinbußen führen. Ein Plan zur Behandlung von Informationsrisiken kann Unternehmen helfen, ihre Geschäftskontinuität (Business Continuity) zu verbessern, indem das Risiko solcher Vorfälle verringert wird.

Zusätzlich zu diesen Vorteilen kann ein Plan zur Behandlung von Informationsrisiken Unternehmen auch dabei helfen:

Bessere Entscheidungen über Investitionen in die Informationssicherheit zu treffen: Indem sie ihre Risiken verstehen, können sie fundiertere Entscheidungen darüber treffen, wo sie ihre Ressourcen in Bezug auf die Kontrolle der Informationssicherheit investieren sollten.
Die Kommunikation und Zusammenarbeit zu verbessern: Ein Plan zur Behandlung von Informationsrisiken kann dazu beitragen, die Kommunikation und Zusammenarbeit zwischen den verschiedenen Abteilungen eines Unternehmens zu verbessern. Dies kann zu einem effektiveren und effizienteren Ansatz für die Informationssicherheit führen.
Schärfung des Bewusstseins für Informationssicherheitsrisiken: Ebenso kann ein Plan zur Behandlung von Informationsrisiken dazu beitragen, das Bewusstsein der Mitarbeiter für Informationssicherheitsrisiken zu schärfen. Dies kann zu einem informierteren und verantwortungsvolleren Verhalten in Bezug auf die Informationssicherheit führen.

Insgesamt ist ein Plan zur Behandlung von Informationsrisiken ein wichtiges Instrument für jede Organisation, die ihre Informationswerte schützen und ihre Informationssicherheitslage verbessern will.