Strukturanalyse

Visualisierung

"Betrachtungsbereiche

Es gibt in der Strukturanalyse mehrere Sichten, um den User nicht mit einem überdimensionalen und unübersichtlichen Graphen zu konfrontieren. Daher gibt es folgende 4 Betrachtungsbereiche:

• Organisationssicht

Die Organisationssicht stellt die Aufbauorganisation des Unternehmens / Konzerns / Verbandes in den Fokus. Ziel ist es aus dieser Betrachtungsperspektive heraus Antworten auf Fragen, wie "Von welchen Systemen ist die Organisationseinheit am stärksten hinsichtlich Verfügbarkeit abhängig“, „Wie groß ist das Risiko hinsichtlich der Vertraulichkeit für die OrgEh über alle Systeme“ (klassisch die Ergebnisse aus Business Impact Analysen), „Welche Datenarten werden in der Organisationseinheit verarbeitet“, „Welche Verarbeitungstätigkeiten erfolgen in der Organisationseinheit “.

• Systemsicht

Die Systemsicht stellt die Techniklandschaft dar, welche IT-Systeme, Medizinprodukte, Gebäudesicherheit etc. abbildet. Über diese Darstellung erfolgt auch die Risikoanalyse. Hier werden Abweichungen in der Risikobewertung im technischen wie organisatorischen Bereich erkennbar und daraus sind Maßnahmen zur Behebung der Abweichungen zu planen.

• Datensicht

Die Datensicht lässt erkennen in welchen Organisationseinheiten welche Daten verarbeitet werden, wer die Data Owner sind und wie die Daten klassifiziert sind (Datenklassen bzw. Unterscheidung ob personenbezogene oder nicht personenbezogene Daten). Weiters lässt die Darstellung erkennen durch welche Verarbeitungstätigkeiten die Daten laufen und in welchen Applikationen sie verarbeitet werden.

• Prozesssicht

Organisationssicht

---

Der Aufbau der Organisationsstruktur wird in Organisationseinheiten beschrieben.

Ein Unternehmen besteht aus Organisationseinheiten welche sich an den einzelnen Verarbeitungsprozessen beteiligen, die wiederum in einer bis mehreren Organisationseinheiten stattfinden. Das Erstellen und Verarbeiten von Daten erfolgt in diesen Organisationseinheiten während der einzelnen Prozessschritte überwiegend IT gestützt unter Verwendung von IT-Systemen.

Annahme: Je kritischer die Organisationseinheit, desto größer der potenzielle Schaden, umso größer die Anforderungen an Verfügbarkeit, Vertraulichkeit und Integrität der Daten bzw. Systeme.

Daher müssen jedenfalls folgende Informationen erhoben werden:

• Modellierung der Organisationsstruktur (Organisationseinheiten)
• Erhebung des Business Impacts der Business IT-Services auf die tägliche Arbeit des Fachbereichs (Kritikalität einer Organisationseinheit feststellen)

Prozesssicht

Die Verarbeitungstätigkeitssicht (sofern das EU-DSGVO Modul gekauft wurde) zeigt an, welche Daten, aus welchen Organisationseinheiten in welcher Applikation (eigentlich nicht erforderlich lt. Gesetzgebung) verarbeitet werden und die daran hängenden Controls und Maßnahmen (auch nicht notwendig lt. GG) können ebenfalls ausgewertet werden.