Wissensdatenbanken

Wissensdatenbanken enthalten portierbares Know-How zur Risikoidentifikation (durch Themen, Prüffragen, Bedrohungen) und Risikobehandlung (Maßhnahmen, Kontrollen). Neben den von HITGuard mitgelieferten WDB-Wissensdatenbanken können von Administratoren, Experten oder Professionals eigene WDBs erstellt werden.

Die vom HITGuard gelieferten WDBs können nicht von Benutzern bearbeitet werden. Es ist jedoch möglich von ihnen abzuleiten. Die von HITGuard definierten Prüffragen können lediglich auf entbehrlich gesetzt werden

Elemente einer Wissensdatenbank

Die Wissensdatenbank unterteilt sich in fünf zentrale Elemente:

• Themen
• Prüffragen
• Bedrohungen
• Maßnahmen
• Kontrollen

Diese Elemente stehen wie folgt miteinander in Beziehung:

Eine Wissensdatenbank hält eine Menge an Themen. Diese Themen können untereinander hierarchisch strukturiert sein. Ein Thema muss keine Prüffragen enthalten, wenn es z.B. nur ein Strukturierungselement ist. Die Themen jeder Hierarchieebene können aber Prüffragen enthalten. Dadurch ist es möglich das die gleiche Prüffrage auf mehreren Hierarchieebenen die Antwort von der übergeordneten Hierarchieebene erben kann (wenn dies für diese Prüffrage je Thema definiert ist).

Die Prüffragen dienen bei der Beantwortung (ja/nein, teilweise, entbehrlich) dazu zu erkennen, ob ein potentielles Risiko in diesem Bereich vorliegen kann. Abweichungen (Antworten mit nein oder teilweise) müssen im Risikobewertungsschritt genauer untersucht werden.

Wenn eine Abweichung erkannt wird, dann wird diese in der Regel von einer speziellen Bedrohung mehr oder weniger stark adressiert, bzw. ist mit gewissen Maßnahmen zu beheben bzw. mit Kontrollen dann langfristig abzusichern. Daher sind einer Prüffrage wiederum eine oder mehrere Bedrohungen, Maßnahmen bzw. Kontrollen zugewiesen.

Themen

In der Wissensdatenbank enthaltene Themen dienen zur Strukturierung einer Wissensdatenbank. Sie sind die Einheiten innerhalb einer Schicht (z. B. IT-Systeme, Netze). Sie beschreiben z.B. technische Komponenten (wie Verkabelung) oder organisatorische Verfahren (wie Notfallvorsorge-Konzept). Zu jedem Thema sollen die betrachtete Entität (z.B. IT-Komponente) und die Gefährdungslage beschrieben, sowie organisatorische und technische Sicherheitsmaßnahmen empfohlen werden.

Prüffragen

Prüffragen dienen dazu, im Rahmen einer Überprüfung ,mögliche Risiken festzustellen. Eine Prüffrage kann mehreren Themen zugeteilt sein. Dies ermöglicht ebenso eine Vererbung der Antwort wenn Themen in einer Mutter-Tochter Beziehung stehen. Prüffragen können durch die Verwendung von Strukturfragen, wie Themen, hierarchisch aufgebaut werden.

Vererbung von Prüffragen:

Wenn Themen in einer Wissensdatenbank hierarchisch angeordnet sind und zum Mutterthema, genauso wie zum Tochterthema, dieselbe Prüffrage zugeteilt ist, dann kann diese für das Tochterthema auf „vererben“ gesetzt werden. Dies bedeutet, dass die Antwort die für die Prüffrage des Mutterthemas gegeben wurde auf die Prüffrage des Tochterthemas übernommen wird. Das ist der Standardfall, kann aber von Benutzern umgangen werden. Wenn der Benutzer den Wert der Prüffrage des Tochterthemas abändert, dann ist das auch erlaubt.

D.h. dass bei der Beantwortung des Mutterthemas die Antwort auf das Tochterthema übernommen wird, wenn bisher noch keine Antworten (sowohl für das Mutterthema, als auch das Tochterthema) gegeben wurden. Sobald erstmals Antworten für Mutter und/oder Tochter gespeichert sind wird immer gefragt, ob der veränderte Wert der Mutter auch auf alle Töchter übernommen werden soll.

Strukturfragen:

Prüffragen die Themen zugewiesen sind können in der Wissensdatenbank um sogenannte Unterfragen erweitert werden. Hat eine Frage eine oder mehrere Unterfragen so wird die Oberfrage zur Strukturfrage und dient lediglich zur Strukturierung. D.h. eine mit "Nein" oder "Teilweise" beantwortete Strukturfrage stellt keine Abweichung dar!
Abhängig von der Beantwortung der Strukturfrage können verschiedene Prüffragen angezeigt werden. Es können z.B. im Falle einer Beantwortung mit "Ja" zwei spezifische Prüffragen angezeigt werden und im Falle der Beantwortung mit "Nein" drei andere spezifische Prüffragen angezeigt werden. Eine negative Beantwortung von Unterfragen führt jedoch zu Abweichungen.

Datei:Coq-Topic-Question-Sub-Question.png

Wird eine übergeordnete Frage angelegt so stehen die Optionen "Wird angezeigt wenn" und "Antwort wenn nicht angezeigt" zur Verfügung.

• Die Option "Wird angezeigt wenn" definiert welche Beantwortung die Überfrage erfahren muss, damit die Unterfrage zur Beantwortung angeboten wird. D.h. wenn bei der Prüffrage unter "Wird angezeigt wenn" nur die Option "Ja" ausgewählt wird, so wird diese Unterfrage nur zur Beantwortung angezeigt wenn die Oberfrage mit "Ja" beantwortet wird.
• Die Option "Antwort wenn nicht angezeigt" definiert welche Beantwortung die Unterfrage erfahren soll, wenn sie nicht zur Beantwortung angezeigt wird. Wird hier keine Auswahl getroffen, wird die Prüffrage in diesem Fall nicht automatisch beantwortet.

Maßnahmen in einer WDB

Maßnahmen welche im Rahmen einer WDB erstellt wurden, werden nur bei Risiken vorgeschlagen, die bei einer Überprüfung aufgrund einer Abweichung bei Prüffragen zugewiesen wurden.

Weiter unterscheiden sich die Maßnahmen die in einer WDB erstellt wurden von den Maßnahmen im Progress Monitor insofern dadurch, dass sie keine laufenden Maßnahmen sind. D.h ihnen sind keine Verantwortlichen zugeteilt noch existiert eine Terminplanung. Sie können aber in laufende Maßnahmen überführt werden.