Schutzbedarf

Was ist eine Schutzbedarfsanalyse?

Im Rahmen der Schutzbedarfsanalyse wird der Schutzbedarf für Daten oder Ressourcen (IT-Systeme, Gebäude, Software, etc.) von Organisationseinheiten oder Prozessen ermittelt. Die Ergebnisse dieser Analyse, der Schutzbedarf der Daten und Prozesse, können zum Beispiel in der Strukturanalyse untersucht werden, um Risiken zu identifizieren und entsprechende Maßnahmen sowie Kontrollen zu erstellen.

Wie in der Abbildung oben zu sehen ist, finden Professionals und Experten unter "Risikomanagement → Schutzbedarf" Schutzbedarfsanalysen, die im aktuellen Managementsystem angelegt wurden. Es werden alle Schutzbedarfsanalysen angezeigt, egal ob diese abgeschlossen, in Bearbeitung oder im Entwurfsstatus sind. Ebenso können hier Schutzbedarfsanalysen erstellt und neubewertet sowie Workflowpläne erstellt werden.

Sie können einen Bericht über eine oder mehrere Schutzbedarfsanalysen als PDF herunterladen. Dieser enthält alle markierten Schutzbedarfsanalysen.

Besondere Spalten in der Übersicht der Schutzbedarfsanalysen sind:

OE / Prozess	Wo üblicherweise die Organisationseinheit einer Überprüfung festgehalten wird, kann es bei der Schutzbedarfsanalyse auch ein Prozess sein.
Nächste Neubewertung	Zeigt das Datum, wann ein verknüpfter Workflowplan das nächste Mal eine automatisierte Neubewertung der Schutzbedarfsanalyse auslöst.
Verknüpfte Workflowpläne	Zeigt, ob und mit wie vielen Workflowplänen eine Schutzbedarfsanalyse verknüpft ist und ob dieser Workflowplan aktiv, ausgesetzt oder deaktiviert ist. Ein Klick auf den Link öffnet ein Fenster, das die Workflowpläne zeigt, in dem man auch weitere Verknüpfugen tätigen oder diese bearbeiten kann.

Schutzbedarfsanalyse erstellen/bearbeiten

Erstellen Sie eine neue Schutzbedarfsanalyse, um mit einem definierten Personenkreis zu einer Organisationseinheit oder einem Prozess deren Anforderungen an den Schutzbedarf einer, mehrerer oder aller ihrer Ressourcen und/oder Datenkategorien zu erheben.

Erstellen:

• Schutzbedarfsanalysen können unter "Risikomanagement → Schutzbedarf" über den "Plus" Button erstellt werden.

Bearbeiten:

• Um eine Schutzbedarfsanalyse zu bearbeiten wird unter "Risikomanagement → Schutzbedarf" die gewünschte Schutzbedarfsanalyse mittels Doppelklick geöffnet.
• Abgeschlossene Schutzbedarfsanalysen können zwar eingesehen, aber nicht mehr bearbeitet werden!

Achtung: Stellen Sie sicher, dass Sie vor Erstellen der SBA die Hintergrundeinstellungen nach Ihren Wünschen konfiguriert haben (Organisationsform in den Globalen Einstellungen, Modellsegmente und Namensgenerierung unter Risikomanagement > Einstellungen, Schutzziele und Schadensausmaße in der Risikopolitik). Mehr dazu findet sich im Zuge des Artikels.

Kopfdaten der Schutzbedarfsanalyse

---

Im nachfolgenden Abschnitt wird die Abbildung näher beschrieben:

Kopfdaten der Schutzbedarfsanalyse

Auswahl OrgEh/Prozess:

• Bei einer Schutzbedarfsanalyse können entweder Organisationseinheiten oder Prozesse analysiert werden. Hier wählen Sie aus, ob eine OrgEh oder ein Prozess analysiert werden soll.
• Diese Auswahl kann nur geändert werden, solange in Schritt 2 keine Ressourcen zugeordnet wurden. Um die Auswahl ändern zu können müssen zuvor die zugeordneten Ressourcen in Schritt 2 entfernt werden.
• In den Globalen Einstellungen können Sie bei der Organisationsform festlegen, ob HITGuard standardmäßig Organisationseinheiten oder Prozesse für die Analyse vorschlagen soll. Dies kann aber beim Erstellen der Schutzbedarfsanalyse geändert werden.

Audit:

• Wird diese Schutzbedarfsanalyse im Zuge eines Audits durchgeführt, können Sie hier das Audit mit der Schutzbedarfsanalyse in Verbindung setzen. Entsteht die Schutzbedarfsanalyse aufgrund eines Audits, werden die Felder Lead-Auditor, Interviewpartner sowie Beginn und Enddatum des Audits besetzt. Alternativ können über den Button rechts daneben die Stammdaten des Audits geladen werden und die Felder damit vor besetzt werden. (Für mehr über Audits siehe Auditplanung).

OrgEh/Prozess:

• Je nachdem ob eine OrgEh oder ein Prozess analysiert wird (siehe erste Entscheidung oben), wird hier entweder die jeweilige Organisationseinheit oder der jeweilige Prozess ausgewählt.
• Das kann nicht mehr geändert werden, sobald Ressourcen und/oder Datenkategorien zugewiesen sind!

Hinweis: Wenn eine Organisationseinheit oder ein Prozess bereits über eine Beziehung in der Strukturanalyse mit Ressourcen und/oder Datenkategorien in Verbindung stehen, werden diese automatisch in Schritt 2 zum Hinzufügen vorgeschlagen. Auch bereits durchgeführte Schutzbedarfsanalysen werden hierfür benötigt. Zusätzlich besteht die Möglichkeit, per Knopfdruck die Ergebnisse der letzten Schutzbedarfsanalyse zu übernehmen. Die Ergebnisse können auch später pro Ressource/Datenkategorie übernommen werden.

Achtung: Ressourcen bzw. Datenkategorien, für die es zu der Organisationseinheit oder dem Prozess eine noch nicht abgeschlossene Schutzbedarfsanalyse gibt, werden nicht automatisch vorgeschlagen und können auch nicht manuell hinzugefügt werden. Dafür müssen etwaige offene Schutzbedarfsanalysen der betroffenen Konstellation erst abgeschlossen werden.

Funktion:

• Wird nur angezeigt, wenn sie unter "Auditmanagement → Einstellungen" aktiviert wurde.
• Anhand von Funktionen kann der Kontext einer Überprüfung optional noch genauer definiert werden.
• Funktionen können unter "Auditmanagement → Funktionen" erstellt und verwaltet werden.

Bezeichnung:

• Hier wird eingetragen, wie die Schutzbedarfsanalyse bezeichnet werden soll.
• Wenn Sie die Einstellung unter Risikomanagement > Einstellungen getroffen haben, wird die Bezeichnung automatisch generiert.

Beschreibung:

• Hier sollte der Zweck der Schutzbedarfsanalyse beschrieben werden.

Lead-Auditor:

• Hier wird der hauptverantwortliche Auditor der Schutzbedarfsanalyse eingetragen. Er wählt die Ressourcen und/oder Daten aus, die im Zuge der Schutzbedarfsanalyse analysiert werden. Er bestimmt weitere Auditoren, Begleiter und Interviewpartner.

Co-Auditor(en)/Begleitung:

• Das sind Personen, die als Experten der Themengebiete für die Prüfung der Schutzbedarfsanalyse mit einbezogen werden.

Interviewpartner:

• Mit diesen Personen werden im Verlauf einer Schutzbedarfsanalyse Interviews über die Ressourcen und Daten geführt. Im Zuge eines Self Assessments werden sie mit der Feststellung möglicher Schäden beauftragt (siehe Typ). Der Interviewpartner ist daher ein Pflichtfeld sobald die Überprüfung nicht mehr im Status "Entwurf" ist.
• Die Benutzer werden mit dem Verantwortlichen der gewählten Organisationseinheit bzw. des gewählten Prozesses vorbesetzt.

Beginn und Enddatum:

• Hier wird die geplante Zeitspanne der Schutzbedarfsanalyse eingetragen.

Typ:

• Interview: Die Schutzbedarfsanalyse wird gemeinsam mit dem Interviewpartner durchgeführt. Der Interviewpartner selbst kann an der Schutzbedarfsanalyse nichts ändern, hat aber Einsicht in die Analyse.
• Self Assessment: Der Interviewpartner wird damit beauftragt, mögliche Schäden bei Verletzungen von Schutzzielen festzustellen. Der Lead-Auditor fordert über den "Beantwortung anfordern"-Button (sofern die Schutzbedarfsanalyse aktiviert wurde) eine Beantwortung an und überprüft diese nach Beantwortung.

Workflow Pläne:

Ein verknüpfter Workflowplan

* Hier wird angezeigt, in wie vielen Workflowplänen die Schutzbedarfsanalyse aktiv oder pausiert vorkommt. Man kann hier Verknüpfungen neu setzen oder aufheben bzw. bestehende Verknüpfungen auch pausieren. Deaktivierte Workflowpläne werden nicht zur Verknüpfung angeboten.

Erstellt durch Workflowplan:

• Wurde die Schutzbedarfsanalyse im Zuge eines Workflows erstellt, dann wird der jeweilige Workflow hier angezeigt. Man kann mit einem einfachen Klick in den Workflow navigieren und sich die Details dazu ansehen.

Änderungsprotokoll:

• Hier wird mit aufgezeichnet zu welchem Zeitpunkt die Schutzbedarfsanalyse bearbeitet wurde, wann der Status gewechselt hat und wann sie abgeschlossen wurde.

Status und Löschen einer Schutzbedarfsanalyse

---

Eine Schutzbedarfsanalyse kann sich in verschiedenen Status-Variationen befinden. Sind die E-Mail-Benachrichtigungen im Managementsystem aktiv, werden beim Statuswechsel alle im Workflow relevanten Personen zur Durchführung ihrer Aufgaben aufgefordert. Dies würde z.b. der Interviewpartner sein, wenn ein Auditor eine Beantwortung anfordert oder der Auditor selbst, wenn er die Beantwortung retourniert.

Entwurf

• Wird die Schutzbedarfsanalyse das erste Mal gespeichert oder vom Status "In Bearbeitung" deaktiviert, befindet sie sich im Status "Entwurf". Von hier aus kann die Schutzbedarfsanalyse aktiviert, also in den Status "In Bearbeitung" gesetzt werden.
• Schon im Status Entwurf können Sie Assets, in der Schutzbedarfsanalyse hinzufügen. Dadurch stellen Sie eine Verbindung zwischen OrgEh/Prozess und Ressource/Datenkategorie her. Schon jetzt wird HITGuard diese Verbindungen als Pfeilbeziehungen in der Strukturanalyse anlegen. Bis die Schutzbedarfsanalyse vollständig abgeschlossen ist, werden alle Schutzziele in der Strukturanalyse allerdings mit 100% gewichtet.

In Bearbeitung

• Wird die Überprüfung aktiviert, wird sie in den Status "in Bearbeitung" versetzt. Jetzt ist es Zeit für den Lead-Auditor die Schutzbedarfsanalyse durchzuführen oder eine Beantwortung durch "Beantwortung anfordern" von den Interviewpartnern einzuholen (nur bei Typ Self Assessment).
• Sie kann durch "Überprüfung deaktivieren" wieder in den Status "Entwurf" versetzt werden.
• Sie kann durch "Überprüfung abschließen" in den Status "Geschlossen" versetzt werden.

Angefordert (nur bei Typ Self Assessments)

• Wird die Schutzbedarfsanalyse durch den Lead-Auditor angefordert, wird sie in den Status "angefordert" versetzt. Die Interviewpartner werden jetzt über ein E-Mail aufgefordert die Schutzbedarfsanalyse durchzuführen.
• Sie kann durch "Überprüfung absenden" in den Status "beantwortet" versetzt werden.

Beantwortet (nur bei Typ Self Assessment)

• Wird die Schutzbedarfsanalyse durch den Interviewpartner mit "Überprüfung absenden" retourniert, wird sie in den Status "beantwortet" versetzt. Die Auditoren werden jetzt durch ein E-Mail aufgefordert die Beantwortung zu kontrollieren.
• Sie kann durch "Beantwortung anfordern" wieder in den Status "angefordert" versetzt werden. Der Interviewpartner soll dann seine Beantwortung überarbeiten.
• Sie kann durch "Überprüfung deaktivieren" wieder in den Status "Entwurf" versetzt werden. Die Auditoren werden darüber informiert.
• Sie kann durch "Überprüfung abschließen" in den Status "geschlossen" versetzt werden.

Geschlossen

• Wird die Schutzbedarfsanalyse durch "Überprüfung abschließen" in den Status "geschlossen" versetzt, wird die Schutzbedarfsanalyse schreibgeschützt und sie kann nicht mehr bearbeitet werden.
• Nur bei einer geschlossenen Schutzbedarfsanalyse werden die Verbindungen in der Strukturanalyse tatsächlich gewichtet. Davor betragen die Beziehungen einfach 100%.

Löschen einer Schutzbedarfsanalyse

• Durch "Überprüfung löschen" können Sie Schutzbedarfsanalysen, die noch nicht abgeschlossen sind löschen. Abgeschlossene Schutzbedarfsanalysen können nicht gelöscht werden!

Ressourcen und/oder Daten zur Analyse wählen

---

Im zweiten Schritt wählen Sie die Ressourcen und/oder Daten aus, die in der Schutzbedarfsanalyse analysiert werden.

Verknüpfen der Ressourcen und Daten

Übersicht der Ressourcen und Daten

Hinzufügen von Ressourcen und Daten

• Import-Button: Mit dem ersten Button (mit geschwungenem Pfeil, sichtbar im oberen Screenshot) können Sie bereits verbundene Ressourcen bzw. Daten zur Analyse hinzuzufügen. Ressourcen können aus zwei Gründen bereits verbunden sein: Entweder haben Sie eine manuelle Beziehung gesetzt (zB in der Strukturanalyse), oder Sie haben bereits vorher eine Schutzbedarfsanalyse zu deser Verbindung durchgeführt. Im letzteren Fall können Sie auch die historischen Ergebnisse der alten Bewertung übernehmen.
• Falls die Verbindung (OrgEh/Prozess zu Ressource/Datenkategorie) bereits in einer offenen Schutzbedarfsanalyse bewertet wird, können Sie sie nicht hinzufügen. Ein Info-text weist Sie in diesem Fall darauf hin.
• Link-Button: Um neue Ressourcen bzw. Daten zur Analyse hinzuzufügen, klicken Sie den zweiten Button. Im Anschluss öffnet sich ein Dialog (Im Screenshot rechts unten), mit dem Sie die Ressourcen bzw. Daten auswählen , die analysiert werden sollen. Es stehen Ressourcen jener Modellsegment Ebenen zur Verfügung, die Sie unter Risikomanagement > Einstellungen konfiguriert haben. (Standardmäßig sind die Business Service Ebene und die Anwendungsebene aktiviert.) Über den Reiter kann zwischen Ressourcen und Daten gewechselt werden.

Tipp: Änderungen (Neuanlage/Update/Löschen) an Ressourcen und Datenkategorien führen zur automatischen Aktualisierung von geöffneten Schutzbedarfsanalysen. Daher ist es möglich, Ressourcen oder Datenkategorien in einem separaten Tab zu erstellen oder zu verändern, die man dann gleich in der SBA verwenden kann, ohne diese neu laden zu müssen.

Hinweis: Das Hinzufügen und Entfernen von Ressourcen und Datenkategorien im Schritt 2 der SBA steht auch Practitionern beim Beantworten von SBA-Self Assessments zur Verfügung.

Tipp: Falls die Verbindung (OrgEh/Prozess zu Ressource/Datenkategorie) bereits in einer offenen Schutzbedarfsanalyse bewertet wird, können Sie sie nicht hinzufügen. Ein Info-text weist Sie in diesem Fall darauf hin. Zu einer OrgEh oder einem Prozess können auch mehrere Schutzbedarfsanalysen existieren, solange diese unterschiedliche Ressourcen und/oder Datenkategorien bewerten. Ressourcen/Datenkategorien, die für eine OrgEh/Prozess bereits in einer offenen Schutzbedarfsanalyse bewertet werden werden können nicht hinzugefügt werden. Schließen Sie die bereits existierende Schutzbedarfsanalyse, können Sie die Ressourcen/Datenkategorien wieder verwenden.

Mögliche Schäden analysieren

---

Die nachfolgende Abbildung zeigt den dritten Schritt der Schutzbedarfsanalyse (z.B. 2.1 oder 2.2).

In diesem Schritt werden die Ressourcen und/oder Daten auf mögliche Schäden analysiert, die im Falle der Verletzung eines Schutzzieles auftreten können. Bewertet werden Verletzungen durch Schadensausmaße. Gibt es Ergebnisse aus früheren Bewertungen, können die Begründungen mit einem Doppelklick in die jeweilige Zeile übernommen werden. Mit dem Button rechts oben kann man alle Ergebnisse auf einmal übernehmen.

Durch die hier gewählten Schadensausmaße werden in der Strukturanalyse Verbindungen zwischen der OrgEh oder dem Prozess und der bewerteten Ressource bzw. den Daten gesetzt und ihre Schutzziele gewichtet. Dadurch ist es in der Strukturanalyse möglich, die Organisationseinheit oder den Prozess auf Abhängigkeiten zu untersuchen und Risiken zu erkennen.

Wichtig: Damit können sich in der Strukturanalyse Schutzbedarfsanalyse-Bewertungen und Beziehungen auf unterschiedlichen Ebenen ergeben. Die Ressourcen erben dabei trotzdem immer den höchsten/kritischsten Schutzbedarf aus ihrer Beziehungskette, auch wenn sie direkt in einer SBA als weniger wichtig eingestuft wurden.

Beispiel: Die Applikation BankingPortal hat aus ihren bestehenden Beziehungen einen hohen Schutzbedarf vererbt bekommen. Nun wurde die Applikationsebene zusätzlich zur Business Service Ebene für Schutzbedarfsanalysen aktiviert, damit die Abteilung FICO ebenfalls bewerten kann, wie wichtig ihnen diese Applikation ist. Das Portal wird in dieser Analyse als überhaupt nicht wichtig eingestuft und es entsteht eine neue Beziehung in der Strukturanalyse zwischen der Abteilung und der Ressource. Trotzdem bleibt der Schutzbedarf des Portals hoch, weil ein niedrigerer Schutzbedarf einen höheren nicht überschreibt.

Um alle Ressourcen und Daten zu bewerten, muss über den linken Balken oder den "Weiter" Button zwischen den hinzugefügten Ressourcen und Daten gewechselt werden.

Die zu bewertenden Schutzziele werden vom Managementsystem vorgegeben und können unter "Risikomanagement → Risikopolitik" erstellt und unter "Administration → Managementsysteme → verwendete Schutzziele" von Experten konfiguriert werden.

Schadensausmaße können unter "Risikomanagement → Risikopolitik → Schadensausmaße" von Experten erstellt und verwaltet werden.

Schutzbedarfsanalyse neubewerten

Neubewertung erstellen mit Neubewerten Button

Eine Schutzbedarfsanalyse kann neubewertet werden, solange es keine aktuellere/jüngere SBA gibt, die zumindest eine gleiche Ressource oder Datenkategorie für dieselbe OrgEh/Prozess bewertet. Außerdem muss die Schutzbedarfsanalyse für eine Neubewertung erst abgeschlossen sein.

Für Neubewertungen gibt es verschiedene Möglichkeiten der Erstellung:

1. Plus Button: Erstellen einer neuen Schutzbedarfsanalyse für eine Organisationseinheit/einen Prozess, für die/den es bereits eine abgeschlossene Schutzbedarfsanalyse gibt. In diesem Fall werden vom Tool die bewerteten Ressourcen und/oder Datenkategorien automatisch in Schritt 2 zur Übernahme vorgeschlagen. Etwaige Ergebnisse können optional übernommen werden.
2. Neubewerten Button: Erstellen einer Neubewertung über den Neubewerten Button in der Übersicht der Schutzbedarfsanalysen. Hierfür muss eine geschlossene Schutzbedarfsanalyse markiert sein. In diesem Fall erstellt das Tool eine neue Schutzbedarfsanalyse auf Basis der vorherigen. Auch hier kann man frühere Ergebnisse übernehmen. Man setzt das Beginndatum selbst und das Enddatum berechnet sich aus den Daten der ursprünglichen Schutzbedarfsanalyse und wird vorbesetzt, kann aber verändert werden.

Ergebnisse übernehmen:

• Wenn aktiviert, werden bei der Erstellung der Neubewertung die Ergebnisse der zugrunde liegenden Schutzbedarfsanalyse übernommen. Es handelt sich dabei um die Bewertungen der Schutzziele, die erfasst wurden.
  

Beispiel: Wann möchte ich eine neue Schutzbedarfsanalyse erstellen und wann eine Neubewertung? In der Regel sollte die erste Schutzbedarfsanalyse gemeinsam als Interview ausgefüllt werden, damit alles genau besprochen werden kann und Fragen geklärt werden können. Auch bei Hinzukommen neuer Personen zum Teilnehmerkreis oder bei einer Veränderung in den verknüpften Ressourcen und/oder Datenkategorien, kann ein gemeinsamer Interviewtermin eine gute Idee sein. Dafür wird jedenfalls eine neue Schutzbedarfsanalyse erstellt, auch wenn vorherige Ergebnisse übernommen werden. Ist diese erste Hürde einmal geschafft, können regelmäßige, z.B. jährliche, Neubewertungen derselben Ressourcen und/oder Datenkategorien einfach als Self Assessment verschickt werden. In diesem Fall nehmen die gleichen Personen am Gespräch Teil und werden die gleichen Ressourcen und/oder Datenkategorien besprochen wie zuvor. Es wird quasi nur nachgesehen, ob sich in der Zwischenzeit, z.B. im vergangenen Jahr, etwas an den Schutzbedarfen geändert hat. Dabei unterstützen die Workflowpläne.

Workflowpläne

Ein Klick auf den lila Button oberhalb der Übersicht der Schutzbedarfsanalysen öffnet eine Liste aller erstellten Workflowpläne.

Workflowpläne sind dazu da, die einmalige oder wiederkehrende Ausführung von Workflows automatisiert anzustoßen. Mehr dazu erfahren Sie im Artikel zu Workflowplänen. Workflowpläne für Schutzbedarfsanalysen funktionieren mit Neubewertungen. Wenn der Workflowplan auslöst, wird eine Neue Schutzbedarfsanalyse erstellt, die auf der Vorlage der alten basiert. die ursprüngliche Analyse bleibt unangetastet und schreibgeschützt im System. Wenn Sie eine Analyse mit dem Workflowplan verknüpfen, wird HITGuard die Einstellung für die Übernahme von früheren Ergebnissen abfragen. Wenn das Häkchen aktiviert ist, kopiert HITGuard alle Werte aus der alten in die neue Schutzbedarfsanalyse. Dieses Häkchen können Sie direkt in der Übersicht der verknüpften Schutzbedarfsanalysen sehen und bearbeiten.

Schutzbedarfsanalysen können sich gegenseitig blockieren!

Schutzbedarfsanalysen (SBAs) können sich gegenseitig blockieren. Das heißt eine bereits existierende SBA verhindert, dass Sie eine andere, neue SBA anlegen können. Das passiert, wenn die alte und die neue SBA dieselbe Beziehung (zB zwischen eine OrgEh und einer Ressource) bewerten. Auch wenn Sie viele andere Beziehungen bewerten, reicht eine einzelne "überlappende" Beziehung um die neue SBA zu blockieren. Die Blockade kann in einem einzelnen oder über mehrere Managementsysteme hinweg passieren. SBAs bleiben aber stets in dem Managementsystem, in dem sie erstellt wurden.

Blockieren in einem einzelnen Managementsystem

Blockade-Warnung von HITGuard

In einem einzelnen Managementsystem wird eine SBA blockiert, wenn es bereits eine ältere SBA gibt, die dieselbe Beziehung bewertet und noch nicht abgeschlossen ist. Haben Sie zB bereits eine SBA angelegt, die die OrgEh "Finance" interviewt und Informationen zur Ressource "Banking Portal" sammelt, können Sie keine neue SBA anlegen, die dieselbe Beziehung (Finance → Banking Portal) bewertet. Im Screenshot rechts sehen Sie wie HITGuard Sie bei Schritt zwei der neuen SBA darauf hinweist.

Schließen Sie die SBA allerdings ab, so können Sie ohne Probleme eine Neubewertung vornehmen.
Blockieren in mehereren Managementsystemen

Wenn es mehrere Managemensysteme gibt, in dem Sie Schutzbedarfsanalysen durchführen, können sich Schutzbedarfsanalysen gegenseitig über Managementsysteme hinweg blockieren. Solange irgendwo eine SBA offen ist, ist es nicht möglich dieselbe Beziehung in einem anderen Managementsystem zu bewerten, genau wie im Fall eines einzelnen Managementsystems. Bei mehreren Managementsystemen werden auch Neubewertungen auf diese Weise blockiert. Sie könnten zB die Beziehung zwischen dem Geschäftsprozess "Lohnverrechnung" und der Datenkategorie "Mitarbeiterdaten" in den beiden Managementsystemen "ISMS" und "Datenschutz" bewerten. Doch ist die SBA in "ISMS" noch offen, können Sie die SBA in "Datenschutz" nicht neubewerten. Dadurch, dass es zwei unterschiedliche Managementsysteme sind, können sowohl die Schadensausmaße, als auch die Schutzziele, unterschiedlich sein. Dies hat allerdings keinen Einfluss auf das oben beschriebene Verhalten.

Plus- und Neubewerten-Button

Selbst wenn Sie die Schutzbedarfsanalyse in anderen Managementsystemen geschlossen haben, können Sie den Neubewerten-Button unter Umständen nicht verwenden. Das heißt sie müssen die Schutzbedarfsanalyse mit dem Plus-Button anlegen, die OrgEH auswählen und dann in Schritt zwei "Alle verbundenen Ressourcen und Datenkategorien hinzufügen. Dann können Sie diese SBA abspeichern. HITGuard wird verstehen, dass diese neue SBA eine Neubewertung ist. Den Neubewerten-Button können Sie nur dann verwenden, wenn die Original-SBA, die Sie neubewerten die jüngste im gesamten System ist. Die Neubewerten-Funktion greift nämlich automatisch auf die neueste BIA zu.

Falls Sie Workflowpläne für ihre Schutzbedarfsanalysen verwenden, wird HITGuard ihnen Warnungen anzeigen, falls eine andere SBA die Neubewertung durch den Workflowplan blockiert (Siehe oben für mehr Details). Sie können eine SBA nur dann einem Workflowplan hinzufügen, wenn die SBA die neueste im System ist. Haben ihre Kollegen in der Zwischenzeit eine SBA in einem anderen Managementsystem angelegt, so taucht ihre SBA in der Übersicht nicht mehr auf.

Tips, Tricks & Best Practice

Beziehungen in der Strukturanalyse führen standardmäßig zum höchsten Schutzbedarf. Diese Abhängigkeiten können mit einer Schutzbedarfsanalyse reduziert werden. Es sollte daher mit der Analyse der für das Unternehmen wichtigsten Assets/Ressourcen/Services begonnen und diese damit hinsichtlich der Anforderungen des Managementsystems bewertet werden.

Es ergibt Sinn, Schutzbedarfsanalysen auf mehrere Workflowpläne aufzuteilen, damit man sie auch über das Jahr verteilt neubewerten lassen kann, z.B. manche im Frühjahr und manche im Herbst. Sie können aber auch Schutzbedarfsanalysen mit einzelnen Abteilungen mehreren Workflow Plänen zuteilen. Falls Sie beispielsweise einen Workflowplan für den Frühling und einen für den Herbst erstellt haben, die jährlich wiederholt werden und eine besonders sensible Organisationseinheit zweimal jährlich (im Frühling und im Herbst) prüfen möchten, dann können Sie die Schutzbedarfsanalyse zu dieser Organisationseinheit beiden Workflowplänen zuteilen.

Wenn sich der Teilnehmerkreis einer Schutzbedarfsanalyse ändert, wenn viele neue Ressourcen/Datenkategorien dazu gekommen sind oder wenn schon lange kein persönliches Interview geführt wurde, dann empfehlen wir ebenfalls eine manuelle Neubewertung als Interview.

Wenn eine Schutzbedarfsanalyse einem Workflowplan zugewiesen ist und manuell eine Neubewertung ausgelöst wird (per Neubewerten Button), dann wird diese neue Schutzbedarfsanalyse in den verknüpften Schutzbedarfsanalysen als Basis für den nächsten Workflow hinterlegt. Löscht man diese Neubewertung, wird die Verknüpfung wieder auf die ursprüngliche Schutzbedarfsanalyse gesetzt. Achtung: hat man mit dem Plus Button eine neue Schutzbedarfsanalyse erstellt, die Ressourcen/Datenkategorien neubewertet, dann entsteht diese Verknüpfung nicht und sie kann Konflikte auslösen.

Die Prüfung, welche Schutzbedarfsanalyse die jüngste/die aktuellste ist, berücksichtigt sowohl das Beginndatum als auch den Zeitpunkt, zu dem eine Schutzbedarfsanalyse abgeschlossen wurde. Stehen bei einer Neubewertung mehrere SBAs zur Verfügung, zeigt HITGuard an, welche die jüngste/aktuellste ist.