Die Seite wurde neu angelegt: „The data view shows the structure under the managed data categories. The creation and structuring of data categories is described in the Data Categories ch…“
The data view shows the structure under the managed data categories. The creation and structuring of data categories is described in the [[Data Categories]] chapter.
The data view shows the structure under the managed data categories. The creation and structuring of data categories is described in the [[Data Categories]] chapter.
Setzt man diese Sicht in Verbindung zur Prozesssicht lässt sich schnell erkennen welche Daten in welchen Prozessen verarbeitet werden.
If this view is linked to the process view, it is easy to see which data is processed in which processes.
There are several views in the structural analysis to avoid confronting the user with an oversized and confusing graph. Therefore, there are the following four views:
Organization view
The organization view focuses on the organizational structure of the company/group/association. From this perspective, the aim is to find answers to questions such as "On which systems is the organizational unit most dependent in terms of availability?", "How great is the risk in terms of confidentiality for the organizational unit across all systems?" (classically the results of business impact analyses), "What types of data are processed in the organizational unit?
Resource View
The resource view represents the technology landscape, which depicts IT systems, medical devices, building security, etc. Risk analysis is also performed via this representation. Here, deviations in the risk assessment in the technical as well as organizational area become recognizable and from this, measures for the elimination of the deviations are to be planned.
Data View
The data view shows in which organizational units which data is processed, who the data owners are and how the data is classified (data classes or distinction between personal and non-personal data). Furthermore, the representation shows through which resources the data runs and in which processes it is processed.
Process View
The process view reveals which processes exist, what data they process, what resources are associated with them, and how much an organizational unit depends on a process and vice versa.
A company consists of organizational units that participate in the individual processing steps, which in turn take place in one or more organizational units. The creation and processing of data in these organizational units during the individual process steps is predominantly IT-supported using IT systems.
Assumption: The more critical the organizational unit, the greater the potential damage, the greater the requirements for availability, confidentiality, and integrity of data or systems.
Therefore, the following information must be collected in any case:
The view of the IT systems, which can be divided into several categories, shows many interdependencies exist. Furthermore, not all components of the system may be designed to be equally secure. The dependencies between systems designed with different levels of security mean that the systems influence each other. These interactions are to be raised over a risk evaluation and can be represented in the structural analysis in form of a graph. You can find more about this under Resources.
Example:
A hospital information system (HIS) has an interface into SAP. SAP is dependent on the HIS to a certain extent with regard to the protection goal of availability (not 100%, but e.g. 30%) because without the patient master data, which it receives from the HIS several times a day via the interface and which is entered in the HIS when a patient is admitted, it cannot perform billing for this patient. The HIS, on the other hand, is independent of the SAP. However, the HIS requires a database server to be functional. It is 100% dependent on this server.
The data view shows the structure under the managed data categories. The creation and structuring of data categories is described in the Data Categories chapter.
If this view is linked to the process view, it is easy to see which data is processed in which processes.
Beispiel Datensicht
Prozesssicht
In der Prozesssicht sehen Sie alle Prozesse mit ihrer Hierarchie. Die Erstellung und Strukturierung von Prozessen wird im Kapitel Prozesse beschrieben.
Beispiel Prozesssicht
Arbeiten mit der Strukturanalyse
Nachfolgende Abbildung zeigt rechts den Konfigurationsbereich der Strukturanalyse:
Strukturanalyse mit Konfigurationsbereich (rechts)
Zwischen dem "Entwurfsmodus" und dem "Analysemodus" wechseln Sie durch einen Klick auf die Umschaltschaltfläche (Switch-button). Dieser Button zeigt immer den momentan aktiven Modus.
Ein Doppelklick auf eine Sicht ändert diese zur Hauptsicht. Die unterstrichene Sicht ist immer die Hauptsicht. Von der Hauptsicht werden immer alle Entitäten angezeigt!
In den einzelnen Sichten können Sie auswählen welche Elemente im aktuellen Kontext angezeigt werden sollen.
Bei der Organisationsschicht gibt es die zusätzliche Option für das selektieren aller im Managementsystem aktiven Organisationseinheiten.
Ebenso können Sie einstellen, wie Schutzziele angezeigt werden und nach bestimmten Risiken filtern.
Ändern Sie im Menü konfigurationen muss auf "Anwenden" geklickt werden um die Änderung wirksam zu machen.
Über die Wolken Symbole können Sie die aktuelle Konfiguration Speichern oder eine bereits vorhandene laden.
Wichtig: Schadensausmaßklassifikation wählen!
Existiert mehr als eine Schadensausmaßklassifikation, dann sind diese hier auswählbar. Es werden nur SBA-Schutzzielgewichtungen der aktuellen Schadensausmaßklassifikation angezeigt. Weiters wird, falls vorhanden, die Schutzzielausprägung eines Schutzzieles angezeigt.
Durch klicken auf eine Gefährdungslage, öffnet sich ein Dialog durch welchen auf die Detailseite der Gefährdungslage gewechselt werden kann.
Gefährdungslagen
Sichten kombinieren
Es können zusätzlich zur Hauptsicht auch einzelne oder alle Entitäten aus anderen Sichten angezeigt werden. Die Kombination von Sichten ist frei konfigurierbar, d.h es gibt keine Einschränkungen wie die Sichten kombiniert werden können. Um eine weitere Sicht zur Hauptsicht dazu zu nehmen, müssen sie das Häkchen im Navigationsbereich der Strukturanalyse zu der gewünschten Sicht wählen und anschließend auf "Anwenden" klicken.
Die Kombination von Sichten ist vorallem praktisch, wenn Verbindungen zwischen verschiedenen Entitätstypen erstellt oder analysiert werden sollen. Diese kombinierten Sichten, können für Wiederverwendungszwecke, weil zum Beispiel die Auswirkung einer Maßnahme analysiert werden soll, als Konfigurationen gespeichert werden.
Wichtig:
Abhängig davon ob Sie im Entwurfs- oder im Analysemodus arbeiten werden alle oder nur explizit ausgewählte Entitäten (nämlich jene, zu denen bereits Beziehungen aus der Hauptsicht existieren) aus den zusätzlich gewählten Sichten angezeigt.
Knoten finden (Alt + s)
In umfangreicheren Ansichten wird die Suche unterstützt um schnell zu einem bestimmten Knoten zu gelangen.
Geben Sie hierzu den Suchbegriff des Knotens in das Feld "Knoten finden..." ein und schließen Sie Ihre Eingabe mit der Enter- oder Eingabe-Taste ab. Die Suche zentriert anschließend den ersten gefundenen Knoten. Wird nochmals die Eingabe- oder Enter-Taste gedrückt, wird der nächste gefundenen Knoten zentriert usw. Ist das Ende des Suchergebnisses erreicht, wird eine Meldung angezeigt. Wird danach neuerlich die Eingabe- oder Enter-Taste gedrückt wird wieder das erste Suchergebnis angezeigt.
Die Suche ignoriert Groß- und Kleinschreibung. Spezielle Wortanfänge, -endungen oder Formulierungen finden Sie mit einem Sternchen (*):
sap* findet z.B. "SAP MM" und "SAP HCM" und "SAP FI/CO",
sap*co findet "SAP FI/CO",
*mm findet "SAP MM" und "Personalstamm"
*fi* findet "SAP FI/CO" und "Finanzabteilung"
Konfigurationen
Konfigurationen speicehrn alle Einstellungen welche zum Speicherzeitpunkt vorhanden waren. D.h es speichert welche Sicht die Hauptsicht war, welche Sichten oder Entitäten zusätzlich angezeigt wurden, wie die Schutzziele angezeigt werden und ob die Gefährdungslagen angezeigt werden sollen.
Konfigurationen können vorallem dazu verwendet werden, um große und komplexe Strukturen auf verschiedene Konfigurationen aufzuteilen und dadurch auf übersichtliche Weise darzustellen. Dies erleichtert das arbeiten mit großen Strukturen erheblich.
Über die Wolken Symbole kann die aktuelle Konfiguration geladen oder eine bereits vorhandene Konfiguration geladen werden.
Beispiel für die Verwendung einer Konfiguration:
Es wurde eine Schutzbedarfsanalyse durchgführt und in der Strukturanalyse wurden die Auswirkungen analysiert. Als nächstes werden Maßnahmen für entstandene Gefährdungslagen festgelegt und umgesetzt. Die vorher durchgeführte Strukturanalyse in einer Konfiguration gespeichert, kann dieselbe Analyse mit vergleichbar wenig aufwand erneut durchgeführt werden und dadurch die Auswirkungen der Maßnahmen analysiert werden.
Entwurfsmodus
Im Entwurfsmodus können Sie Elemente aus den ausgewählten Sichten in Verbindungen setzten und ihre Abhängigkeiten auf Basis von Schutzzielen definieren. Sie können aber keine Verbindungen oder Schutzziel Gewichtungen bearbeiten wenn diese durch eine Schutzbedarfsanalyse definiert wurden. Um diese zu bearbeiten müssen Sie eine neue Schutzbedarfsanalyse durchführen.
Im Entwurfsmodus werden alle Entitäten aus den gewählten Sichten angezeigt. Dies hat den Zweck, dass zwischen allen Elementen Beziehungen erstellt werden können.
Elemente bewegen
Sie können Elemente einzeln oder auch mehrere Elemente gleichzeitig bewegen. Um ein Element einzeln zu bewegen müssen Sie mit dem Mauszeiger über das gewünschte Element fahren und die linke Maustaste klicken und halten.
Um mehrere Elemente zu verschieben haben Sie zwei Optionen:
Halten Sie die linke Maustaste gedrückt bis ein Kreuz erscheint. Anschließend ziehen Sie das Rechteck über die Elemente welche Sie bewegen möchten.
Halten Sie STRG gedrückt können Sie mehrere Elemente durch Klicken auswählen
Linke Maustaste gedrückt halten und Elemente auswählen
mehrere Elemente mit STRG gedrückt markieren und bewegen
Knoten erstellen / bearbeiten
Um Elemente miteinander zu verbinden gibt es mehrere Möglichkeiten:
Auf ein Element rechtsklicken und "Beziehung hinzufügen" auswählen. Anschließend anderes Element auswählen. (Ausgangspunkt zu Endpunkt) Knoten mit Rechtsklick erstellen
"Alt" gedrückt halten und Element 1 auswählen und anschließend auf das zweite Element klicken. Knoten mit "Alt"-gedrückt erstellen
Bei Daten, Prozessen und Organisationseinheiten können Sie, wenn Sie auf das Element doppelklicken, in der Maske ein Übergeordnetes Element auswählen oder die Verbindung zum übergeordneten Element aufheben. Datenkategorie Knoten über Maske erstellen
Bei Ressourcen können Sie, wenn Sie auf das Element doppelklicken, in der Maske über den Reiter "Beziehungen" neue Verbindungen erstellen oder bestehende bearbeiten. Knoten einer Ressource erstellen
Schutzziel bearbeiten / löschen
Die Verbindung mit Ressourcen geschieht immer mit Schutzzielen. Diese Schutzziele können aber von Ihnen angepasst werden. Ausnahmen sind Schutzziele die durch Schutzbedarfsanalysen gewichtet wurden. Diese können nur durch eine neue Schutzbedarfsanalyse verändert werden (zum erstellen von Schutzzielen siehe Schutzziele)
Die Schutzbedarfsanalyse Schutzziele können nicht bearbeitet werden
Um die Schutzziele einer Verbindung zu bearbeiten müssen Sie entweder auf die Verbindungspfeile doppelklicken oder auf das Element doppelklicken und auf den "Beziehungen" Reiter wechseln. Bei letzterer Option können keine Gewichtungen eingestellt werden. Hier wird immer von einer 100% Gewichtung ausgegangen.
Schutzziel löschen
Schutzziele über "Beziehungen" Reiter bearbeiten
Elemente erstellen / bearbeiten / löschen
Rechtsklicken Sie in der Strukturanalyse ins leere können Sie neue Ressourcen, Organisationseinheiten, Prozesse oder Datenkategorien erstellen. Wählen Sie nun ein Element zum Erstellen aus, öffnet sich die jeweilige Maske zum Erstellen des neuen Elementes.
Doppelklicken Sie auf ein Element öffnet sich dessen "bearbeiten" Maske. In dieser können Sie die Elemente auch löschen.
Der Analysemodus dient zur Analyse der Unternehmensstruktur. Sie können analysieren welche Elemente auf welche Art voneinander abhängig sind. Hierfür können Sie auswählen wie die Abhängigkeit dargestellt werden soll:
Was hängt von mir ab?
Wovon hänge ich ab?
Zusätzlich können Sie auch noch einen Schwellwert festlegen. Dieser bestimmt ab welcher prozentualen Abhängigkeit eine Verbindung zwischen 2 Elementen angezeigt werden soll.
Im Analysemodus werden nur Entitäten aus den gewählten Sichten angezeigt, die mit einer Entitäten aus der Hauptansicht in Verbindung stehen.
Was hängt von mir ab?
Hiermit kann analysiert werden, wie stark andere Entitäten, im Bezug auf ihre Schutzziele, von einer Entität abhängen.
Es besteht ebenso die Möglichkeit zu untersuchen, wie sich Risiken auf die gesamte Struktur auswirken. Dabei kann auch untersucht werden, wie sich diese auf die einzelnen Schutzziele auswirken. Dadurch lässt sich schnell erkennen, wie sich ein Risiko auf andere Entitäten auswirkt.
Entitäten von denen die gewählte Entität nicht abhängt werden ausgegraut.
Risiko Auswirkungen
Risiko Auswirkung auf gebündelte Schutzziele
Risiko Auswirkung auf Schutzziel Verfügbarkeit
Wovon hänge ich ab?
Hiermit kann untersucht werden, wie stark eine Entität, im Bezug auf ihre Schutzziele, von anderen Entitäten abhängt.
Die Abhängigkeit kann auf Schutzziel Basis entweder gebündelt oder je Schutzziel untersucht werden. Durch ändern des Schwellwerts, lässt sich einstellen ab welcher prozentualen Gewichtung des Schutzziels man von einer Entität abhängt.
Entitäten von denen die gewählte Entität nicht abhängt werden ausgegraut.
Wovon hänge ich ab?
Durchführung einer Strukturanalyse
Organisationseinheiten bzw. Geschäftsprozesse verwenden Ressourcen (Business Applikationen , communication services, Medizinisch administrative Applikationen, etc). Es können daher mehrere Applikationen mehreren Organisationseinheiten zugeordnet werden. Durch die Schutzbedarfsanalyse wird die Beziehung zwischen der jeweiligen Organisationseinheit und der Ressource gewichtet (z.B. sehr geringes Risiko bis katastrophales Risiko).
Die Applikation hat zu unterschiedlichen Geschäftsbereichen unterschiedliche Gewichtungen im Bezug auf ihre Schutzziele. Die kritischste Gewichtung gibt vor wie technisch anspruchsvoll die Ressource hinsichtlich ihrer Schutzziele z.B. Verfügbarkeit, Vertraulichkeit oder Integrität ausgelegt werden muss. Auf diese Art können für die Applikationen kritische Risiken aufgrund der Gewichtung ihrer Schutzziele festgelegt werden.
Beispiel:
Auf einer Festplatte sind vertrauliche Kundendaten gespeichert. Diese Daten werden im KIS nur selten gebraucht, weshalb ihre Verfügbarkeit auf 20% gewichtet wurde, die Vertraulichkeit aber 100% da es sich um vertrauliche Daten handelt. Dadurch können z.B die Risiken Diebstahl und Serverausfall festgestellt werden. Durch die Gewichtung lässt sich erkennen, dass ein Diebstahl vertraulicher Daten wesentlich kritischer ist als ein Serverausfall. D.h Diebstahl wäre ein kritisches Risiko, Serverausfall aber nicht.
Ressourcen können voneinander Abhängig sein. Es kann Ressourcen geben, die nicht funktionsfähig oder nur eingeschränkt funktionsfähig sind, wenn eine andere Ressource nicht verfügbar ist. Ressourcen benötigen z.B. eine IT-Infrastruktur, Datenspeicher und ggf. Medizinprodukte um funktionsfähig zu sein.
Diese Abhängigkeiten können auch bidirektional sein. Dies wäre zum Beispiel der Fall, wenn zwei Ressourcen (z.B Applikationen) aktiv Daten austauschen. Würde eine der Beiden ausfallen hätte das Einfluss auf die andere Ressource.
All diese Abhängigkeiten können über die Strukturanalyse analysiert werden.
Logik der Beziehungen zwischen Entitäten
Strukturelemente (Business-Applikationen oder IT-Infrastruktur Services) können untereinander in Beziehung stehen. Zwischen zwei in Beziehung stehenden Strukturelementen gibt es dabei eine Ausprägung der Beziehung je Schutzziel. Je Schutzziel ist dabei festgelegt welche Richtung die Beziehung hat und wie stark die Abhängigkeit gewichtet ist. Standardmäßig ist die Gewichtung der Beziehung mit 100% zu sehen, aber auch eine andere Gewichtung ist einstellbar. All diese Beziehungen können uni- oder bidirektional sein. Das definiert die Abhängigkeiten der Objekte zueinander.
Beispiel: Ein Krankenhausinformationssystem (KIS) und eine Laborinformationssystem (LIS) stehen in Beziehung
Schutzziel Verfügbarkeit: Das LIS ist zu 100% vom KIS abhängig. Wenn das KIS nicht funktioniert kann das LIS nicht auf die Patientenstammdaten zugreifen und somit kann daher nicht gearbeitet werden. Das KIS hingegen ist in unserem Beispiel nur zu 10% vom LIS abhängig. Wenn dieses nämlich nicht funktioniert, kann das KIS nicht die Laborwerte abrufen, alle anderen Funktionen stehen aber uneingeschränkt zur Verfügung.
