|
|
| (4 dazwischenliegende Versionen desselben Benutzers werden nicht angezeigt) |
| Zeile 1: |
Zeile 1: |
| <translate> | | <translate> |
| | |
| <!--T:1--> | | <!--T:1--> |
| <span id="riskpolicy"></span>
| | Unter "Risikomanagement → Einstellungen" können Experten das Risikomanagement konfigurieren und weitere Einstellungen treffen, die zusätzlich zur Risikopolitik das Risikomanagement an die Anforderungen des Managementsystems anpassen. |
| [[Datei:RM_Risikopolitik_Inhalt.png||left|thumb|901px|Inhalt der Risikopolitik]]
| |
| Die Risikopolitik ist ein Set an Einstellungen, die für ihre Arbeit in HITGuard sehr wichtig sind. Alle Einstellungen und Konfigurationen, die hier getroffen werden, sind global gültig. Sie wirken sich auf '''alle Managementsysteme''' aus und können deshalb nur von Experten oder Administratoren bearbeitet werden. Einige Punkte der Risikopolitik sollten sie <i>unbedingt</i> fertig konfiguriert haben, bevor Sie mit der Arbeit im System beginnen. Wir weisen Sie auf diese Punkte mit einem „<b>Achtung!</b>“ hin.
| |
| <br clear=all>
| |
|
| |
|
| == <span id="protar"></span>Schutzziele == <!--T:2-->
| | <!--T:4--> |
| | [[Datei:RM_Einstellungen.png|thumb|left|900px]] <br clear=all> |
|
| |
|
| <!--T:3--> | | <!--T:2--> |
| Mit Schutzzielen definieren Sie, auf welche Themen und Bereiche Sie ihr Augenmerk richten wollen. Sie legen damit fest, zu welchem Zweck Sie die Managementsysteme betreiben wollen. Dies kann beispielsweise die Vertraulichkeit von Informationen, Bonität des Unternehmens, oder Energieeffizienz sein. <br>
| | ===Risiko/Chance/Auswirkung:=== |
| In HITGuard werden Schutzziele später verwendet, um zB zu erfassen, wie stark sich ein Risiko auf diese Schutzziele auswirken kann. [RG1.1]Außerdem erfassen sie in der [[Special:MyLanguage/Schutzbedarf|Schutzbedarfsanalyse]] die Kritikalität von Ressourcen. Dabei wird die Kritikalität pro Schutzziel eigens bewertet. [RG2.1]In der [[Special:MyLanguage/Strukturanalyse|Strukturanalyse]] stellen Schutzziele die Abhängigkeiten zwischen Stammdaten [RG3.1]dar. Außerdem werden Sie an vielen anderen Elementen zur Kennzeichnung und Klassifizierung verwendet.
| | * '''Verwendete Kategorien von Risiken/Chancen:'''Definieren Sie hier, welche Kategorien von Risiken und Chancen in diesem Management verwendet werden sollen. |
| | * '''Klassifikation von Schadensausmaß und Nutzen:''' Definieren Sie hier die in diesem Managementsystem verwendete Klassifikation zur Bewertung von potenziellen Schäden und Nutzen. Treffen Sie keine Auswahl, wird die Standard-Klassifikation verwendet. Ein Anwendungsfall für eine eigene Klassifikation für Schadensausmaß und Nutzen wäre z.B. potenzielle Schäden und Nutzen im Datenschutzmanagementsystem aus Sicht des Betroffenen zu bewerten. Dadurch werden im Risikomanagement-Dashboard, bei Risiken und Chancen und in der Strukturanalyse standardmäßig nur noch Risiken/Chancen und SBA-Gewichtungen zur zugehörigen Klassifikation angezeigt. <br><b>Achtung:</b> Die Änderung der Klassifikation wirkt sich gegebenenfalls auf den Aussagegehalt bereits bewerteter Risiken oder Chancen sowie durchgeführter Schutzbedarfsanalysen des Managementsystems aus. |
| | * '''Reiter Abweichungen einblenden:''' Dieser Reiter listet im Risiko die Abweichungen, also die negativ beantworteten Prüffragen aus der [[Special:MyLanguage/Schwachstellen|Schwachstellenanalyse]]. |
| | * '''Reiter Bedrohungen einblenden:''' Dieser Reiter listet [[Special:MyLanguage/Bedrohungen|Bedrohungen]], die mit dem Risiko verknüpft sind. (Sie können die Bedrohungen direkt verknüpfen, oder eine Verknüpfte Abweichung nimmt ihre Bedrohungen ins Risiko mit.) |
| | * '''Monetäre Auswirkung in Risiken & Chancen einblenden:''' Aktivieren Sie diesen Punkt, so haben Sie eine zusätzliche Eigenschaft in der Stammdatenseite von [[Special:MyLanguage/Risikobewertung|Risiken & Chancen]] mit der Sie den möglichen Schaden oder Nutzen als Geldwert darstellen können.<br><b>Achtung:</b> Änderungen an dieser Eigenschaft müssen dann im [[Special:MyLanguage/Risikobewertung#Zeitliche_Entwicklung|Änderungsprotokoll]] des Risikos begründet werden. |
|
| |
|
| <!--T:4--> | | <!--T:10--> |
| HITGuard wird mit <b>herstellerspezifischen Schutzzielen</b> ausgeliefert, die sich an unterschiedlichen Standards und Normen orientieren. Die drei Schutzziele Vertraulichkeit, Verfügbarkeit und Integrität leiten sich aus Normen der Informationssicherheit (zB ISO/IEC 27001) ab und sind bereits beim ersten Start im System angelegt und aktiviert:
| | ===Erweiterungen=== |
| *Vertraulichkeit: Nur Befugte können die Informationen einsehen.
| | Definieren Sie hier, ob das ESG-Management im Risikomanagement inkludiert werden soll und ob Sie es ermöglichen möchten, Überprüfungen als Self Assessments an Lieferanten zu versenden.<p>Die Berechtigungen der Experts und Professionals für beides werden unter [[Special:MyLanguage/Benutzer_und_Benutzerrollen#Benutzerrollen_zuordnen|Administration → Benutzerrollen]] vergeben. |
| *Verfügbarkeit: Wer die Informationen benötigt, kann auf sie zugreifen.
| |
| *Integrität: Die Informationen sind fehlerfrei.
| |
| Die herstellerspezifischen Schutzziele <i>Recovery Time Objective </i> (RTO) und <i>Recovery Point Objective</i> (RPO) betreffen Wiederherstellzeiten und Datenverlust, also das <i>Business Continuity Management</i>. Mehr dazu erfahren Sie [[Special:MyLanguage/Strukturanalyse|Hier]]. RTO und RPO sind standardmäßig nicht aktiviert. Um Sie zu aktivieren, setzen sie einfach die Häkchen bei „Aktiv“ und „Anzeige im Graph“. Dann müssen Sie noch unter Administration> [[Special:MyLanguage/Managementsysteme #Einstellungen_zum_Managementsystem|Managementsysteme]] die beiden Schutzziele [RG4.1]Ihrem gewünschten Managementsystem hinzufügen. Planen Sie diese beiden Schutzziele nicht zu verwenden, so lassen Sie sie einfach deaktiviert. Da eine spezielle Programmierung hinter diesen Schutzzielen steht, können sie für andere Zwecke verwendet werden. <br><br>
| |
|
| |
|
| <!--T:5--> | | <!--T:5--> |
| Manche herstellerspezifischen Schutzziele sind branchenspezifisch und daher nicht automatisch angelegt. Sie können diese aber <b>importieren</b>, indem sie rechts oben auf das kleine Dreieck im Plus-Button klicken. Dann können Sie Behandlungseffektivität, Patientensicherheit, und Authentizität importieren. Unter umständen ist das notwendig um eine [[Special:MyLanguage/Wissensdatenbanken|Wissensdatenbank]] zu importieren.
| | ===Menüpunkte=== |
| | *Strukturanalyse einblenden |
| | *Schutzbedarfe einblenden |
| | *Schwachstellen einblenden |
| | *Bedrohungen einblenden |
| | Definieren Sie hier, welche Menüpunkte im Risikomanagement enthalten sein sollen und blenden Sie jene aus, die Sie für Ihr Managementsystem nicht benötigen. Je nachdem, welche Menüpunkte Sie verwenden, werden auch die dazugehörigen Berichtsseiten entsprechend ein- oder ausgeblendet. |
|
| |
|
| <!--T:6--> | | <!--T:6--> |
| Als [[Special:MyLanguage/Benutzer_und_Benutzerrollen#Expert|Expert-Benutzer]] können Sie weitere Schutzziele mit dem Plus-Button hinzufügen und bearbeiten. Links oben können Sie mit Drag and Drop die Sortierreihenfolge anpassen. In dieser Reihenfolge werden die Schutzziele nicht nur auf dieser Seite, sondern auch in der [[Special:MyLanguage/Schutzbedarf|Schutzbedarfsanalyse]] gelistet.
| | ===ESG Schwellwerte=== |
| | Hier können die Schwellwerte für das KPI "Doppelte Wesentlichkeit" eingestellt werden. Für die finanzielle und die Auswirkungswesentlichkeit kann eingestellt werden, ab wann ein Handlungsfeld als wesentlich und damit berichtspflichtig gilt. Dies wird im KPI grafisch dargestellt. |
|
| |
|
| <!--T:7--> | | <!--T:7--> |
| [[Datei:Risikopolitik Schutzziele.png|left|thumb|901px|Überblick über die Seite der Schutzziele]]
| | ===Schutzbedarf=== |
| <br clear=all>[KK5.1]
| | Hier kann eine Bezeichnungsvorlage für Schutzbedarfsanalyse konfiguriert und ihre Verwendung aktiviert werden. Wenn aktiviert, werden neue Schutzbedarfsanalysen automatisiert nach dem konfigurierten Schema benannt, können jedoch jederzeit umbenannt werden (solange sie nicht abgeschlossen sind). |
| | | [[Datei:SBA_Bezeichnungsvorlage.png|left|thumb|900px]]<br clear=all> |
| <!--T:46-->
| |
| <b>Achtung!</b>: Sie sollten ihre Schutzziele vor der Arbeit mit HITGuard fertig definieren und einpflegen. [[Special:MyLanguage/Schutzbedarf|Schutzbedarfsanalysen]] und die [[Special:MyLanguage/Strukturanalyse|Strukturanalyse]] bauen darauf auf, sodass Änderungen an Schutzzielen im Nachhinein mit großem Mehraufwand verbunden sind.
| |
| | |
| <!--T:47-->
| |
| <!--gelöscht-->
| |
| | |
| == <span id="prob"></span>Eintrittswahrscheinlichkeiten == <!--T:8--> | |
| | |
| <!--T:9-->
| |
| Eintrittswahrscheinlichkeit und Schadensausmaß bilden die beiden Achsen der Risikomatrix (siehe unten). Die Eintrittswahrscheinlichkeit bestimmt, wie wahrscheinlich es ist, dass ein bestimmtes Ereignis eintritt. Die Abbildung unten zeigt die Seite zum Bearbeiten der Eintrittswahrscheinlichkeiten.
| |
| | |
| <!--T:48-->
| |
| [[Datei:Eintrittswahrscheinlichkeiten.PNG|left|thumb|600px|Maske der Eintrittswahrscheinlichkeiten]]
| |
| <br clear=all>
| |
| | |
| <!--T:10-->
| |
| Sie können die Klassen an Eintrittswahrscheinlichkeiten frei definieren. Um eine neue Klasse hinzuzufügen, klicken Sie auf den Plus-Button. Zum Löschen klicken Sie auf den Mülleimer-Button. Klicken sie auf eine Klasse, können Sie ihren <b>Namen</b> und ihre <b>Beschreibung</b> anpassen. Außerdem können sie unter „Mindestens einmal in“ definieren, wie oft Sie den Eintritt eines Ereignisses in dieser Klasse in einem gewissen Zeitraum erwarten. <br>
| |
| | |
| | |
| <!--T:11-->
| |
| <b> Risikofaktor </b>
| |
| : Der Risikofaktor wird verwendet, um später eine Risikokennzahl für ein spezifisches Risiko zu errechnen. Dabei wird der Risikofaktor der gewählten Eintrittswahrscheinlichkeit mit dem Risikofaktor des gewählten Schadensausmaßes multipliziert.
| |
| : Die Risikokennzahl dient dazu die Risiken vergleichbar zu machen. Je höher die Risikokennzahl, desto größer die Bedeutung des Risikos. <br>
| |
| | |
| <!--T:97-->
| |
| <b>Faktisch:</b>
| |
| : Diese Checkbox kennzeichnet, dass diese Eintrittswahrscheinlichkeit keinen potenziellen, sondern einen bereits eingetretenen, („faktischen“) Schadensfall beschreibt. Das Häkchen kann nur bei einer einzelnen Eintrittswahrscheinlichkeit gesetzt werden, sinnvollerweise die größte. Später, bei der Bewertung, wird diese Eintrittswahrscheinlichkeit im Drop-Down entsprechend gekennzeichnet.
| |
| | |
| <!--T:12-->
| |
| '''Beispiel für eine Skala mit sechs Eintrittswahrscheinlichkeiten'''
| |
| | |
| <!--T:13-->
| |
| {| class="wikitable"
| |
| |-
| |
| ! Eintrittswahrscheinlich-<br>keitsklassen
| |
| ! Definition
| |
| |-
| |
| |rowspan = 2| Extrem selten
| |
| | Mindestens ein Mal in 30 Jahren
| |
| |-
| |
| | Es ist sehr unwahrscheinlich, dass unbeabsichtigte Auswirkungen auftreten.
| |
| |-
| |
| |rowspan = 2| Sehr selten
| |
| | Mindestens ein Mal in 10 Jahren
| |
| |-
| |
| |Es ist nicht wahrscheinlich, dass unbeabsichtigte Auswirkungen auftreten.
| |
| |-
| |
| |rowspan = 2| Selten
| |
| | Mindestens ein Mal in 3 Jahren
| |
| |-
| |
| | Es können hin und wieder unbeabsichtigte Auswirkungen auftreten.
| |
| |-
| |
| |rowspan = 2| Wahrscheinlich
| |
| | Mindestens ein Mal jährlich
| |
| |-
| |
| | Es ist wahrscheinlich, dass unbeabsichtigte Auswirkungen auftreten.
| |
| |-
| |
| |rowspan = 2| Häufig
| |
| | Mindestens ein Mal monatlich
| |
| |-
| |
| | Unbeabsichtigte Auswirkungen treten häufig auf.
| |
| |-
| |
| |rowspan = 2| Sehr häufig (faktisch)
| |
| | Mindestens ein Mal wöchentlich oder mehr
| |
| |-
| |
| | Unbeabsichtigte Auswirkungen treten sehr häufig bzw. nahezu immer auf.
| |
| |}
| |
| | |
| == <span id="Kriterien für Schadensausmaße"></span>Kriterien für Schadensausmaße == <!--T:14-->
| |
| | |
| <!--T:15-->
| |
| [[Datei:Kriterien für Schadensausmaße.PNG|right|thumb|600px|Beispiel: Kriterien für Schadensausmaße]] Diese Seite bietet ihnen Voreinstellungen, mit denen Sie die Schadensausmaße (siehe unten) näher definieren können. Ein Schaden muss nicht zwingend monetärer Natur sein, sondern kann auch als Effektivitätsverlust, Imageschaden oder Patientenschaden bestimmt werden. Daher bietet HITGuard die Möglichkeit Kriterien für Schadensausmaße frei zu konfigurieren. Diese Kriterien werden dann wiederum auf Schadensausmaßklassen verbunden und dadurch für Schutzbedarfsanalysen verwendet werden. <br clear=all>
| |
| | |
| == <span id="Schadensausmaße"></span>Schadensausmaße == <!--T:18-->
| |
| | |
| <!--T:19-->
| |
| Schadensausmaße werden in Klassen unterteilt. Diese Schadensausmaßklassen orientieren sich an der Risikotragfähigkeit des Unternehmens. Die höchste Schadensausmaßklasse sollte daher den maximalen Schaden abbilden, den das Unternehmen gerade noch tragen kann. <br> In der Abbildung sehen Sie die Seite für die Konfiguration von Schadensausmaßklassen.
| |
| <p>
| |
| <b>Achtung</b>: Wenn eine Datenklasse einem Schadensausmaß zugeordnet ist, kann das Schadensausmaß nicht gelöscht werden. Wenn Sie beim initialen Einrichten von HITGuard ein Schadensausmaß nicht löschen können, liegt das oft daran, dass noch eine Datenklasse mit dem Schadensausmaß verbunden ist. Ändern Sie die Zuweisung der Datenklasse, lässt sich das Schadensausmaß löschen. Später, wenn andere Elemente (zB ein Risiko) das Schadensausmaß verwenden, kann das Schadensausmaß gar nicht mehr gelöscht werden.
| |
| | |
| | |
| <!--T:28-->
| |
| [[Datei:Schadensausmaße.PNG|left|thumb|600px|Beispiel: Schadensausmaß Hoch]]
| |
| <br clear=all>
| |
| | |
| | |
| <!--T:49-->
| |
| Es ist möglich in zwei Managementsystemen unterschiedliche Schadensausmaßklassifikationen zu verwenden. In der Abbildung oben wurden zwei Schadensausmaßklassen, „Standard“ und „Datenschutz“ hinzugefügt. Möchten Sie so eine zweite Schadensausmaßklasse verwenden, dann müssen Sie die zusätzliche Klassifikation für Schadensausmaß und Nutzen mit dem obersten Plus-Button anlegen. Danach müssen Sie neue Schadensausmaßklassen mit dem unteren Plus-Button hinzufügen.
| |
| | |
| <!--T:50-->
| |
| <b>Achtung</b>: Um die neu erstellte Klassifikation nutzen zu können, müssen Sie sie unter "[[Special:MyLanguage/Risikomanagement_Einstellungen|Risikomanagement → Einstellungen]]" dem gewünschten Managementsystem zuweisen.
| |
| | |
| <!--T:20-->
| |
| <b>Monetärer Schaden:</b>
| |
| : Hier wird definiert, wie hoch ein monetärer Schaden einer Klasse ausfällt.
| |
| | |
| <!--T:21-->
| |
| <b><span id="BIA edge weights"></span>SBA Kantengewicht:</b>
| |
| : Dieser Wert drückt die Abhängigkeit von Assets aus. Er wird von HITGuard in der Strukturanalyse für [[Special:MyLanguage/Strukturanalyse#Beziehungen_zwischen_Elementen|Abhängigkeitsbeziehungen]] verwendet. Führt man eine [[Special:MyLanguage/Schutzbedarf|Schutzbedarfsanalyse]] durch, bewertet man diese Abhängigkeitsbeziehungen mit Schadensausmaßklassen. HITGuard wird die Schadensausmaße dann automatisch in die Prozentwerte des SBA-Kantengewichts übertragen. Dann trägt HITGuard diese Prozentwerte in den Abhängigkeitsbeziehungen ein. Das wirkt sich später auf [[Special:MyLanguage/Strukturanalyse#Analysemodus |Analysen]] in der Strukturanalyse aus.
| |
| | |
| <!--T:22-->
| |
| :Es ist empfehlenswert die Prozentwerte gleichmäßig von 100% abfallen zu lassen. Hier ein Beispiel:
| |
| | |
| <!--T:23-->
| |
| :{| class="wikitable"
| |
| |-
| |
| ! Schadensausmaßklasse!! SBA Kantengewicht
| |
| |-
| |
| | Unbedeutend|| 10%
| |
| |-
| |
| | Gering|| 20%
| |
| |-
| |
| | Moderat|| 40%
| |
| |-
| |
| | Hoch|| 60%
| |
| |-
| |
| | Katastrophal|| 100%
| |
| |}
| |
| | |
| <!--T:24-->
| |
| <b>Risikofaktor:</b>
| |
| | |
| <!--T:72-->
| |
| : : Der Risikofaktor wird verwendet, um später eine Risikokennzahl für ein spezifisches Risiko zu errechnen. Dabei wird der Risikofaktor der gewählten Eintrittswahrscheinlichkeit mit dem Risikofaktor des gewählten Schadensausmaßes multipliziert.
| |
| :Die Risikokennzahl dient dazu die Risiken vergleichbar zu machen. Je höher die Risikokennzahl, desto größer die Bedeutung des Risikos. <br>
| |
| | |
| <!--T:73-->
| |
| : [[Datei:Beispielhafte Verteilung von Risikofaktoren auf einer Farbskala von Grün nach Rot..png|mini|Beispielhafte Verteilung von Risikofaktoren auf einer Farbskala von Grün nach Rot.]]Dieser Risikofaktor dient weiters als Kriterium für die farbliche Hinterlegung der Schadensausmaßklasse in Schutzbedarfsberichten. Auf einer Farbskala von grün nach rot, ergibt der niedrigste Risikofaktor die Farbe Grün, der höchste Risikofaktor die Farbe Rot. Dazwischen liegende Risikofaktoren liefern Farben entsprechend Ihrer relativen Position auf der von grün nach rot verlaufenden Farbskala.
| |
| | |
| <!--T:25-->
| |
| <b>Kriterium hinzufügen:</b>
| |
| : Hier können Sie Kriterien, die Sie zuvor unter „Kriterien für Schadensausmaße“ erstellt haben (siehe oben) zuweisen. Zudem sollten Sie beschreiben welche Ausprägung das Kriterium bei der jeweiligen Schadensklasse hat. Beim Beispiel „Gesundheitsschäden“ müssten sie angeben, welche Arbeitsverletzungen in ein „Niedriges Schadensausmaß“, welche in ein „Hohes Schadensausmaß“ einzuordnen wären.
| |
| | |
| <!--T:26-->
| |
| '''Beispiele für Schadensausmaßklassen:'''
| |
| | |
| <!--T:27-->
| |
| {| class="wikitable"
| |
| |-
| |
| ! Schadensausmaßklasse
| |
| ! Definition
| |
| |-
| |
| |rowspan = 4| Gering
| |
| | Monetärer Schaden: > 5.000 Euro und <= 25 Euro
| |
| |-
| |
| | Patientenschaden: geringe und kurzzeitige Unannehmlichkeiten
| |
| |-
| |
| | Effektivitätsverlust: kein oder sehr begrenzter Einfluss auf Operationen/Prozeduren
| |
| |-
| |
| | Daten- und Systemsicherheit: Bekanntwerden einer entsprechenden Bedrohung oder Schwachstelle hat vernachlässigbaren Einfluss
| |
| |-
| |
| |rowspan = 4| Moderat
| |
| | Monetärer Schaden: > 25.000 Euro und <= 100.000 Euro
| |
| |-
| |
| | Patientenschaden: zeitlich begrenzte und geringere Verletzungen, medizinische Intervention erforderlich
| |
| |-
| |
| | Effektivitätsverlust: sehr begrenzter oder belästigender Effekt auf Operationen/Maßnahmen
| |
| |-
| |
| | Daten- und Systemsicherheit: Offenlegung sensibler Informationen könnte negative (finanzielle) Folgen haben und möglicherweise Ressourcenaufwand zur Beseitigung benötigen.
| |
| |-
| |
| |rowspan = 4| Katastrophal
| |
| | Monetärer Schaden: > 10 Millionen Euro
| |
| |-
| |
| | Patientenschaden: Tod
| |
| |-
| |
| | Effektivitätsverlust: geplante Operationen/Prozeduren nicht mehr durchführbar
| |
| |-
| |
| | Daten- und Systemsicherheit: Kann zu vollständiger Offenlegung sensibler Informationen führen
| |
| |}
| |
| | |
| ==Kriterien für Nutzen== <!--T:74-->
| |
| | |
| <!--T:75-->
| |
| Wie bei den Kriterien für Schadensausmaßklassen können Sie hier qualitative Definitionen für Nutzenkategorien erstellen. Ein Nutzen muss nicht zwingend monetärer Natur sein. Er kann auch durch Effektivitätsgewinn, Imageverbesserung oder Patientengesundheit bestimmt werden. Aus diesem Grund bietet HITGuard die Möglichkeit Kriterien für Nutzen frei zu konfigurieren. Diese Kriterien können dann wiederum auf Nutzen gemapped und dadurch für Schutzbedarfsanalysen verwendet werden.
| |
| | |
| <!--T:76-->
| |
| Kriterien für Nutzen können unter "Risikomanagement → Risikopolitik → Kriterien für Nutzen" definiert werden.
| |
| | |
| <!--T:77-->
| |
| [[Datei:Risikopolitik_KriterienNutzen.png|left|thumb|600px|Beispiel: Kriterien für Nutzen]]
| |
| <br clear=all>
| |
| | |
| <!--T:78-->
| |
| ==Nutzen==
| |
| Nutzen werden in Klassen unterteilt. Diese orientieren sich an der Fähigkeit des Unternehmens, Chancen auszunutzen. Der höchste Nutzen sollte sich daher an dem maximalen, für das Unternehmen erreichbaren, Nutzen orientieren.
| |
| | |
| <!--T:79-->
| |
| Sofern Sie bei den Schadensausmaßen (siehe oben) bereits eine Neue Klassifikation erstellt haben, ist diese auch hier verfügbar. Oben auf der Seite können Sie zwischen den beiden Klassifikationen wechseln. In der Abbildung unten haben wir wieder das Beispiel „Standard“ und „Datenschutz“ verwendet. Mit dem Plus-Button können Sie neue Nutzenklassen erstellen.
| |
| | |
| <!--T:82-->
| |
| [[Datei:Risikopolitik_Nutzen.png|left|thumb|600px|Beispiel: Nutzen Sehr groß]]
| |
| <br clear=all>
| |
| | |
| <!--T:83-->
| |
| <b>Monetärer Nutzen:</b>
| |
| : Hier wird definiert, wie hoch ein Nutzen dieser Klasse monetär gemessen wird.
| |
| | |
| <!--T:84-->
| |
| <b>Chancenfaktor:</b>
| |
| | |
| <!--T:85-->
| |
| : Der Chancenfaktor ist das Gegenstück zum Risikofaktor. Auch er dient als Multiplikator für die Berechnung der Risikokennzahl einer Chance. Da der Chancenfaktor negativ ist, ist auch die ermittelte Risikokennzahl negativ, wenn der Risikofaktor der gewählten Eintrittswahrscheinlichkeit mit dem Chancenfaktor des gewählten Nutzens multipliziert wird.
| |
| : Die Risikokennzahl dient zur Reihung der Risiken und Chancen. Je höher die Risikokennzahl (also je weiter entfernt von Null) desto größer die Bedeutung der Chance.
| |
| | |
| <!--T:86-->
| |
| <b>Kriterium hinzufügen:</b>
| |
| : Hier können Sie die bereits erstellten Kriterien für Nutzen hinzufügen. Zudem sollten Sie beschreiben welche Ausprägung das Kriterium bei der jeweiligen Nutzenklasse hat.
| |
| | |
| | |
| == <span id="Schutzzielausprägungen"></span>Schutzzielausprägungen== <!--T:52-->
| |
| | |
| <!--T:53-->
| |
| Dieser Punkt ist für Sie nur relevant, wenn Sie eine zweite Schadensausmaßklassifikation unter Risikopolitik > Schadensausmaße erstellt haben und diese nutzen wollen. Der Menüpunkt ist überhaupt nur sichtbar wenn mindestens zwei Schadensausmaßklassifikationen existieren. <br>
| |
| Da dieselben Schutzziele in verschiedenen Klassifikationen andere Namen haben können, ist es möglich Schutzziele für die jeweiligen Klassifikationen hinsichtlich ihrer Benennung zu konkretisieren. So kann das Schutzziel "Vertraulichkeit" im Kontext der Datenschutz Klassifikation auch „Privatsphäre“ genannt werden (siehe Abbildung). Dadurch wird überall dort, wo das Schutzziel angewandt wird, die Schutzzielausprägung der Schadensausmaßklassifikation des Managementsystems Datenschutz - also die Bezeichnung "Privatsphäre" - angezeigt.
| |
| | |
| <!--T:55-->
| |
| [[Datei:Schutzzielausprägungen.PNG|left|thumb|600px|Schutzzielausprägungen]]
| |
| <br clear=all>
| |
| | |
| == <span id="prot_need"></span> Schutzbedarf == <!--T:29-->
| |
| | |
| <!--T:30-->
| |
| Der Schutzbedarf eines Assets (einer Ressource oder einer Datenkategorie) gibt an wie kritisch das Asset für die Organisation ist. In der Risikopolitik kann man Anzahl und Farbe der Schutzbedarfe konfigurieren. Außerdem hat man einen Prozentbalken, an dem man die Bandbreite jedes Schutzbedarfes festlegen kann. <br>
| |
| | |
| <!--T:36-->
| |
| [[Datei:Schutzbedarf.PNG|left|thumb|900px|Beispiel: Schutzbedarf Hoch]]
| |
| <br clear=all>
| |
| | |
| <!--T:32-->
| |
| Die Bandbreite am Prozentbalken steuert die Zuteilung der Schutzbedarfsklassen: In HITGuard orientiert sich die Schutzbedarfsklasse an dem Grad der Abhängigkeit, der in der Abhängigkeitsbeziehung der [[Special:MyLanguage/Strukturanalyse#Beziehungen_zwischen_Elementen|Strukturanalyse]] hinterlegt ist. Dieser Wert stammt für gewöhnlich aus einer Schutzbedarfsanalyse bzw. dem SBA-Kantengewicht. Die zuvor definierten Schadensausmaßklassen fallen je nach Höhe Ihres [[#BIA edge weights|SBA Kantengewichtes]] in unterschiedliche Schutzbedarfsklassen (siehe auch oben bei Schadensausmaße). Sie können für jede Schutzbedarfsklasse eine eigene Bandbreite an Prozentwerten definieren, die dann die jeweiligen SBA-Kantengewichte aufnehmen.
| |
| | |
| <!--T:33-->
| |
| In der Strukturanalyse ermittelt HITGuard über alle eingehenden Schutzziel-Beziehungen je Asset (Ressource bzw. Datenkategorie) die Kantenabhängigkeit in Prozent mit dem höchsten SBA-Wert. Damit ermittelt er über die eingestellte Bandbreite die zugehörige Schutzbedarfsklasse aus.
| |
| | |
| <!--T:34-->
| |
| Die Farbe dient der Darstellung in der Strukturanalyse und in Übersichtslisten. Kritischere Assets sollten Farben wie Rot zugewiesen bekommen, die alle Benutzer leicht als kritisch/wichtig erkennen[RG6.1] können.
| |
| | |
| | |
| <!--T:35-->
| |
| '''Beispiele für Schutzbedarfsklassen:'''
| |
| *Normal: Die Schadensauswirkungen sind begrenzt und überschaubar.(0-30% SBA Kantengewicht)
| |
| *Hoch: Die Schadensauswirkungen können beträchtlich sein.(30-70% SBA Kantengewicht)
| |
| *Sehr Hoch: Die Schadensauswirkungen können ein existentiell bedrohliches, katastrophales Ausmaß erreichen.(70-100% SBA Kantengewicht)
| |
| | |
| | |
| == <span id="riskmatrix"></span>Risikomatrix == <!--T:37-->
| |
| | |
| <!--T:38-->
| |
| Die Risikomatrix ergibt sich aus der Kombination von Schadensausmaß oder Nutzen (vertikal) und Eintrittswahrscheinlichkeit (horizontal). In den jeweiligen Zellen der Matrix werden die jeweiligen Risikofaktoren multipliziert, um die Risikokennzahl oder Chancenkennzahl zu erhalten. Je größer die Risikokennzahl, desto kritischer ist ein Risiko und umso dringender sollte [RG7.1]es behandelt werden, um schwerwiegende Folgen zu verhindern. Je niedriger die Chancenkennzahl (d.h., je weiter im Minusbereich) desto größer ist eine Chance und umso eher sollte sie ausgenutzt werden, um Gewinn daraus zu schlagen. Im Dashboard werden die Risiken oft nach der Risikokennzahl gereiht, zB im KPI [[Special:MyLanguage/Risikomanagement_Dashboard#Top_Risiken/Chancen|Top Risiken/Chancen]]. <br>
| |
| | |
| <!--T:39-->
| |
| Haben sie eine Zelle mit einem Klick ausgewählt, können Sie mit den Einstellungen unter der Matrix eine Farbe dafür festlegen. Damit steuern Sie in welcher Farbe HITGuard ein solches Risiko in unterschiedlichen [[Special:MyLanguage/Risikomanagement_Dashboard#Risikomatrix|KPIs]] und der [[Special:MyLanguage/Strukturanalyse|Strukturanalyse]] anzeigt. Die Farben sollten sich an den Risikokennzahlen orientieren, d.h. Sie sollten eine Farbe nur über oder unter einem spezifischen Wert verwenden. Sonst kann es später, bei der Auswertung zu Unklarheiten kommen. Je [RG8.1]kritischer und dringender, desto alarmierender sollte die Farbe sein.
| |
| | |
| <!--T:56-->
| |
| Falls Sie unter Risikopolitik > Schadensausmaße (siehe oben) eine zweite Schadensausmaßklassifikation erstellt haben, entsteht hier auch eine zweite Risikomatrix. Diese können Sie mit eigenen Farben konfigurieren, die dann die Risiken in dem Managementsystem kennzeichnen werden, die die Klassifikation verwenden.
| |
| <b>Hinweis</b>: Um eine neue Klassifikation in einem Mana[RG9.1]gementsystem zu verwenden, müssen Sie es unter [[Special:MyLanguage/Risikomanagement_Einstellungen|Risikomanagement > Einstellungen]] zuweisen.
| |
| | |
| <!--T:40-->
| |
| [[Datei:Risikomatrix.PNG|left|thumb|600px|Beispiel Risikomatrix ]]
| |
| <br clear=all>
| |
| | |
| == <span id="dataclass"></span>Datenklassen == <!--T:41-->
| |
| | |
| <!--T:42-->
| |
| Die Datenklassifikation gibt vor wie Daten, abhängig von ihrer Klassifizierung, zu handhaben sind. Dies richtet sich nach der Vertraulichkeit der Daten und dem damit einhergehenden erwünschtem Schutzniveau.
| |
| | |
| <!--T:43-->
| |
| Die Anzahl der Kategorien, der Name der Datenklasse sowie deren Beschreibung sind frei definierbar. Eine neue Klasse kann über den „Plus Button“ erstellt werden.
| |
| | |
| <!--T:44-->
| |
| [[Datei:Beispiel Datenklassen.PNG|left|thumb|901px|Beispiel: Klasse "Streng vertraulich" ]]
| |
| <br clear=all>
| |
| | |
| <!--T:57-->
| |
| Sie können außerdem kennzeichnen, welches Schadensausmaß entstehen würde, wenn Daten dieser Klassifikation offengelegt werden würden. Dazu können Sie im Drop-down unten das zugehörige Schadensausmaß auswählen. Existieren mehrere Schadensausmaßklassifikationen, so müssen Sie darauf achten die richtige Klassifikation zu wählen.
| |
| <p>
| |
| <b>Achtung</b>: Wenn eine Datenklasse einem Schadensausmaß zugeordnet ist, kann das Schadensausmaß nicht gelöscht werden. Wenn Sie beim initialen Einrichten von HITGuard ein Schadensausmaß nicht löschen können, liegt das oft daran, dass noch eine Datenklasse mit dem Schadensausmaß verbunden ist. Ändern Sie die Zuweisung der Datenklasse, lässt sich das Schadensausmaß löschen. Später, wenn andere Elemente (zB ein Risiko) das Schadensausmaß verwenden, kann das Schadensausmaß gar nicht mehr gelöscht werden.
| |
| | |
| <!--T:45-->
| |
| '''Beispiel:'''
| |
| {| class="wikitable"
| |
| |-
| |
| ! Datenklasse!! verbundene Schadensausmaßklasse
| |
| |-
| |
| | Öffentlich|| Sehr Gering
| |
| |-
| |
| | Intern|| Mittel
| |
| |-
| |
| | Vertraulich|| Groß
| |
| |-
| |
| | Geheim|| Sehr Groß
| |
| |}
| |
| | |
| <!--T:59-->
| |
| <br clear=all>
| |
| | |
| == <span id="atc"></span>Abilities to Control== <!--T:60-->
| |
| | |
| <!--T:61-->
| |
| Die <i>Abilities to Control</i> werden verwendet, um Maßnahmen- und Kontrollensets, die bereits zur Risikobehandlung und -steuerung eines Risikos implementiert wurden, zu bewerten. Damit kann man angeben, wie erfolgreich die bisherige Behandlung war. Mehr zum Kontext der Verwendung ist [[Special:MyLanguage/Risikobewertung | hier ]] zu finden.
| |
| | |
| <!--T:62-->
| |
| Hier in der Risikopolitik können Sie die zur Bewertung verfügbaren <i>Abilities to Control</i> verwalten. Eine neue <i>Ability to Control</i> kann über den "Plus" Button erstellt werden. Über den "Mülleimer" Button können bestehende gelöscht werden.
| |
| | |
| <!--T:64-->
| |
| Standardmäßig werden folgende <i>Abilities to Control</i> angeboten:
| |
| {| class="wikitable"
| |
| |-
| |
| ! Ability to Control !! Definition
| |
| |-
| |
| |'''nicht relevant''' || Die Fähigkeit zur Steuerung des Risikos durch das zugewiesene Set an Maßnahmen und Kontrollen ist nicht relevant.
| |
| |-
| |
| | '''initial''' || Die Fähigkeit zur Steuerung des Risikos durch das zugewiesene Set an Maßnahmen und Kontrollen ist in einem frühen Entwicklungsstadium.
| |
| |-
| |
| |'''gemanagt''' || Die Fähigkeit zur Steuerung des Risikos durch das zugewiesene Set an Maßnahmen und Kontrollen kann erfolgreich durchgeführt werden.
| |
| |-
| |
| | '''definiert''' || Die Fähigkeit zur Steuerung des Risikos durch das zugewiesene Set an Maßnahmen und Kontrollen ist reproduzierbar und kann nach einem angepassten Standardprozess abgehandelt werden.
| |
| |-
| |
| | '''gemessen''' || Die Fähigkeit zur Steuerung des Risikos durch das zugewiesene Set an Maßnahmen und Kontrollen ist anhand einer statistischen Kontrolle messbar.
| |
| |-
| |
| | '''optimiert''' || Die Fähigkeit zur Steuerung des Risikos durch das zugewiesene Set an Maßnahmen und Kontrollen ist anhand einer statistischen Kontrolle messbar und kann die Arbeitsweise verbessern.
| |
| |}
| |
| | |
| <!--T:65-->
| |
| [[Datei:Abilities to control.PNG|left|thumb|600px|Abilities to Control]] | |
| <br clear=all>
| |
| | |
| == <span id="riskcats"></span>Kategorien von Risiken/Chancen und Auswirkungen== <!--T:66-->
| |
| | |
| <!--T:67-->
| |
| Hier können Sie Kategorien definieren, um die erkannten Risiken und Chancen zu verwalten. Mit diesen Kategorien können Sie später im Grid filtern, oder die Ansicht eines KPIs auf die Risiken oder Chancen dieser Kategorie einschränken.
| |
| | |
| <!--T:68-->
| |
| [[Datei:Risikokategorien_Risikopolitik.png|left|thumb|600px|Risikopolitik → Kategorien von Risiken/Chancen und Auswirkungen]]Mit dem "Plus" Button können neue Kategorien angelegt werden. Sie können jederzeit umbenannt werden. Nur Kategorien, die nicht bereits in einem Element (Risiko, Chance, oder Auswirkung) verwendet werden, können auch gelöscht werden. Bei den Kategorien, die zugewiesen sind, ist der "Löschen" Button deaktiviert.
| |
| <br clear=all>
| |
| | |
| <!--T:69-->
| |
| [[Datei:Risikokategorien_Übersicht.png|left|thumb|600px|Kategorien in der Übersicht der Risiken und Chancen]]
| |
| | |
| <!--T:71-->
| |
| Einzelne Risiken, Chancen und Auswirkungen können einer oder auch mehreren Kategorien zugewiesen und danach gruppiert werden. <br clear=all>
| |
| | |
| ==Kriterien für Auswirkungen== <!--T:87-->
| |
| | |
| <!--T:88-->
| |
| [[Datei:Risikopolitik_KriterienAuswirkungen.png|left|thumb|600px|Beispiel: Kriterien für Auswirkungen]] Auswirkungen spielen nur im Add-on Modul „ESG“ eine Rolle. HITGuard bietet Ihnen hier die Möglichkeit Kriterien für Auswirkungen frei zu konfigurieren. Diese Kriterien können dann wiederum Auswirkungen zugewiesen werden, um sie zu kennzeichnen oder zu kategorisieren. <br clear=all>
| |
| | |
| ==Klassifikationen für Auswirkungen== <!--T:91-->
| |
| | |
| <!--T:92-->
| |
| [[Datei:Risikopolitik_KlassifikationAuswirkungen.png|right|thumb|600px|Auswirkungsklassen]] Die Auswirkungsklassen beschreiben den Umfang (Scale), den Geltungsbereich (Scope) und die Abhilfe (Remedy, bei negativen Auswirkungen) einer Auswirkung. Sie werden dafür genutzt, positive und negative Auswirkungen auf das Unternehmen von außen und nach außen durch das Unternehmen zu bewerten. Anhand von Kriterien können zusätzliche Details zu den einzelnen Auswirkungen erfasst werden.
| |
| | |
| <!--T:93-->
| |
| Für jede der drei Klassifikationen können Auswirkungsklassen definiert werden.
| |
| | |
| <!--T:94-->
| |
| <u>Kriterium hinzufügen:</u>
| |
| : Hier können die bereits erstellten Kriterien zu einer Auswirkungsklasse hinzugefügt werden. Wie bei den Kriterien für Schadensausmaße sollte hier im Kontext der Klasse beschrieben werden welche Umstände auftreten muss um das Kriterium für die Auswirkungsklasse zu erfüllen.
| |
|
| |
|
| <!--T:95--> | | <!--T:8--> |
| <u>Auswirkungsfaktor:</u>
| | Weiters kann konfiguriert werden, Ressourcen welcher Modellsegmente in der Schutzbedarfsanalyse verwendet werden können sollen. |
| : Aus den Auswirkungsfaktoren der Auswirkungsklassen und dem Risikofaktor der Eintrittswahrscheinlichkeit wird die Auswirkungskennzahl ausgerechnet. Wie die Risikokennzahl weist diese aus, wie groß oder klein die Auswirkung des Unternehmens auf seine Umwelt ist.<br clear=all>
| |
|
| |
|
| </translate> | | </translate> |
