Ein Gefährdungskatalog legt fest, welche Gefährdungen Sie bei Risiken auswählen können, zum Beispiel Feuer, Schadsoftware oder Fehlbedienung. Zu jeder Gefährdung können Sie Anforderungen zuordnen, die Varmo dann in der Risikobehandlung vorschlägt. Dieser Artikel richtet sich an ISMS-Verantwortliche, die das Risikomanagement einrichten.

Bevor Sie beginnen

  • Sie brauchen eine Fachrolle mit dem Recht, das Risikomanagement einzustellen, standardmässig die ISMS-Verantwortlichen.
  • Die Einstellungen finden Sie unter ISMS-Einstellungen › Risiken › Gefährdungskataloge und ISMS-Einstellungen › Risiken › Gefährdungen und Anforderungen.
  • Jede Organisation startet mit dem Katalog BSI IT-Grundschutz: Elementare Gefährdungen (G 0.1 bis G 0.47). Er wird von der Plattform gepflegt und lässt sich nicht bearbeiten.
  • Gefährdungskataloge sind unabhängig von der Risikomethodik: Der Katalog liefert die Gefährdungen, die Methodik bestimmt, wie Eintrittshäufigkeit und Schadensauswirkung bewertet werden.

Kataloge aktivieren

  1. Öffnen Sie ISMS-Einstellungen › Risiken › Gefährdungskataloge.
  2. Setzen Sie in der Spalte Für Risiken das Häkchen bei jedem Katalog, dessen Gefährdungen bei Risiken zur Auswahl stehen sollen. Es können beliebig viele Kataloge gleichzeitig aktiv sein.

Deaktivieren Sie einen Katalog, stehen seine Gefährdungen bei neuen Risiken nicht mehr zur Auswahl. Bestehende Risiken behalten ihre Gefährdungen.

Eigenen Katalog anlegen

  1. Klicken Sie auf Eigenen Katalog anlegen.
  2. Geben Sie unter Katalog einen Namen ein, optional Beschreibung, Quelle und Version.
  3. Legen Sie mit Kategorie hinzufügen Kategorien an, zum Beispiel „Umwelt“, jeweils mit Kürzel und Name.
  4. Fügen Sie mit Gefährdung hinzufügen die Gefährdungen hinzu: Kennung, Bezeichnung (z. B. „Hochwasser“) und die betroffenen Schutzziele Vertraulichkeit, Integrität und Verfügbarkeit. In den Details ergänzen Sie Beschreibung und Kategorie.
  5. Klicken Sie auf Katalog anlegen.
  6. Aktivieren Sie den neuen Katalog wie oben beschrieben. Erst dann stehen seine Gefährdungen bei Risiken zur Auswahl.

Eigene Kataloge ändern Sie später über Bearbeiten. Löschen Sie einen eigenen Katalog, werden seine Gefährdungen mitgelöscht, und Risiken, die darauf verweisen, verlieren diese Verknüpfung.

Gefährdungen und Anforderungen zuordnen

Welche Anforderungen wirken gegen eine Gefährdung? Diese Zuordnung schlägt in der Risikobehandlung passende Anforderungen vor und zeigt im Abgleich, wo eine nötige Anforderung fehlen könnte. Gewählt wird in der Behandlung immer von Hand.

  1. Öffnen Sie ISMS-Einstellungen › Risiken › Gefährdungen und Anforderungen. Die Seite braucht einen aktiven Gefährdungskatalog und einen übernommenen Anforderungskatalog, siehe Anforderungskataloge übernehmen und aktuell halten.
  2. Zu den BSI-Gefährdungen gibt es eine Vorgabe mit Anforderungen aus ISO/IEC 27001 Anhang A. Klicken Sie bei einer Gefährdung auf das Stift-Symbol, um die Zuordnung zu bearbeiten.
  3. Im Dialog Anforderungen zur Gefährdung sehen Sie unter Vorgeschlagen die Vorgabe und Ihre eigenen Zuordnungen. Passt eine Vorgabe bei Ihnen nicht, klicken Sie auf Abwählen; unter Abgewählte Vorgaben holen Sie sie mit Wieder aufnehmen zurück.
  4. Unter Ergänzen fügen Sie weitere Anforderungen hinzu, auch aus eigenen Gefährdungs- und Anforderungskatalogen. Eigene Zuordnungen entfernen Sie mit Entfernen.

Was danach passiert

  • Beim Melden und Bewerten eines Risikos wählen Sie Gefährdungen aus allen aktiven Katalogen, siehe Risiken melden, prüfen und behandeln.
  • Ordnen Sie einer Massnahme in der Risikobehandlung Anforderungen zu, schlägt Varmo die Anforderungen zu den Gefährdungen des Risikos vor. Mit dem Häkchen Als Vorschlag für die Gefährdung dieses Risikos merken speichern Sie Ihre Wahl als eigene Zuordnung.
  • Im Abgleich unter Anforderungen › Abgleich zeigt Varmo Gefährdungen behandelter Risiken ohne passende Anforderung, siehe Anwendbarkeit festlegen und SoA freigeben.

Häufige Fragen

Kann ich den BSI-Katalog anpassen?

Nein. Er bleibt unverändert. Eigene Gefährdungen erfassen Sie in einem eigenen Katalog, den Sie zusätzlich aktivieren.

Die Seite „Gefährdungen und Anforderungen“ ist leer.

Aktivieren Sie zuerst einen Gefährdungskatalog und übernehmen Sie einen Anforderungskatalog. Ohne Anforderungen gibt es nichts zuzuordnen.

Muss ich die vorgeschlagenen Anforderungen übernehmen?

Nein. Die Vorschläge helfen bei der Auswahl. Welche Anforderungen eine Massnahme umsetzt, entscheiden Sie in der Risikobehandlung selbst.