Risikomanagement
Risiken zu den Assets bewerten und behandeln.
FUNKTIONEN · ASSETS & SCHUTZBEDARF
Wissen, was schützenswert ist, und warum.
Informationen, Prozesse und Systeme in einem Inventar, jedes mit verantwortlicher Person. Der Schutzbedarf wird nachvollziehbar bestimmt, freigegeben und über die Abhängigkeiten an die Systeme vererbt.
Inventar mit klaren Eigentümern
Assets werden in eigenen Kategorien und Oberkategorien geführt. Wer als Eigentümer eingetragen wird, bestätigt die Übernahme oder lehnt sie begründet ab, damit Verantwortung nicht nur auf dem Papier steht.
- Eigene Kategorien und Stellung in der Abhängigkeitskette
- Übernahme der Verantwortung durch den Eigentümer
- Verknüpfungen zwischen Informationen, Prozessen und Systemen
Schutzbedarfsanalyse mit Freigabe
Für Informationen und Prozesse wird der Schutzbedarf je Schutzziel mit Kontrollfragen bestimmt und begründet. Die Analyse wird eingereicht und über einen festgelegten Freigabeweg genehmigt, nie durch die einreichende Person.
- Vertraulichkeit, Integrität und Verfügbarkeit getrennt bewertet
- Personendaten und besonders schützenswerte Daten erfasst
- Bestätigung durch den Datenschutz bei Personendaten
Schutzbedarf für Systeme
Systeme erhalten ihren Schutzbedarf aus den Informationen, die sie verarbeiten. Ändert sich eine Information, sieht der Eigentümer des Systems, dass er seine Analyse überprüfen muss.
- Vererbung über die Abhängigkeiten
- Anforderungen der Informationen gelten auch für die Systeme
- Hinweis bei geänderten Informationen
Sicherheitsverfahren je System
Je Asset-Kategorie legen Sie fest, welche Anforderungen gelten, zum Beispiel die Baseline aus NIST SP 800-53 passend zum Schutzbedarf. Der Eigentümer beantwortet sie, belegt die Umsetzung mit Nachweisen und reicht das Ergebnis zur Freigabe ein.
- Umsetzungsstatus und PDF-Nachweise je Anforderung
- Abweichungen werden mit Massnahme oder genehmigter Ausnahme behandelt
- Gültigkeit mit Erinnerung vor Ablauf
Passend dazu
Datenschutz & DSFA
Personendaten je System und die Datenschutz-Folgenabschätzung.
NIST SP 800-53
Controls nach Schutzbedarf.
Häufige Fragen
Müssen wir den BSI IT-Grundschutz anwenden?
Nein. Das Vorgehen ist an den IT-Grundschutz angelehnt, die Anforderungen je Asset-Kategorie stammen aber aus den Katalogen, die Sie wählen, zum Beispiel NIST SP 800-53 oder eigene Vorgaben.
Wer darf eine Schutzbedarfsanalyse freigeben?
Die Stellen im Freigabeweg, den Ihre Organisation festlegt. Die Person, die die Analyse eingereicht hat, kann sie nicht selbst freigeben.
Sehen Sie es an Ihrem eigenen Beispiel.
In einer persönlichen Demo gehen wir Ihre Fragestellungen durch, unverbindlich. Oder Sie starten sofort mit dem Paket Free.