Übersetzungen exportieren

Einstellungen

Gruppe

Sprache

Format

Für die Offline-Übersetzung exportieren

Im systemeigenen Format exportieren

Im CSV-Format exportieren

[[Datei:RM_Risikopolitik_Inhalt.png||left|thumb|901px|Inhalt der Risikopolitik]]
Alle Einstellungen und Konfigurationen, die hier getroffen werden, sind global gültig. Sie wirken sich auf '''alle Managementsysteme''' aus und können nur von Experten oder Administratoren bearbeitet werden.

== Schutzziele ==

Jede Norm bzw. jedes Managementsystem verfolgt einen vorgegebenen Zweck. Es werden Ziele definiert um deren Schutz sicherzustellen.

Herstellerspezifische Schutzziele (nach ISO 27001, ISO 80001):
*Vertraulichkeit 	
*Verfügbarkeit	
*Integrität
Mit den herstellerspezifischen Schutzzielen wird in weiterer Folge in der Risikobewertung sowie der Strukturanalyse gearbeitet. Diese Ziele werden in den Wissensdatenbanken auf Prüffragen oder gegebenenfalls auf andere Risiken oder Maßnahmen gemappt. Diese Schutzziele können zwar umbenannt oder deaktiviert aber nicht gelöscht werden. Sie sind unter "Risikomanagement → Risikopolitik → Schutzziele" als "Herstellerspezifisches Schutzziel" gekennzeichnet.

Weitere Schutzziele können von Experten frei definiert und bearbeitet werden.

'''Beispiel für Schutzziele:'''

[[Datei:Risikopolitik Schutzziele.png||left|thumb|901px]]
 
=== Herstellerspezifische Schutzziele importieren ===

Da manche herstellerspezifischen Schutzziele nur für gewisse Branchen benötigt werden, werden standardmäßig nicht alle definierten Schutzziele mit ausgeliefert. Diese können allerdings, wenn benötigt, importiert werden. Dafür muss lediglich auf den Pfeil neben dem Plus geklickt und das gewünschte Schutzziel zum Importieren ausgewählt werden.

Diese Funktion wird zum Beispiel benötigt um von HITGuard erstellte Wissensdatenbanken zu importieren, die ein nicht standardmäßig ausgeliefertes Schutzziel benötigen.

== Eintrittswahrscheinlichkeiten ==

Die Eintrittswahrscheinlichkeit bezeichnet die geschätzte Wahrscheinlichkeit für das Eintreten eines bestimmten Ereignisses in einem bestimmten zukünftigen Zeitraum (z.B. ein Mal in 30 Jahren).

Klassen an Eintrittswahrscheinlichkeiten können, wie die Abbildung unten zeigt, frei definiert werden. Die Anzahl der Kategorien, der Name der Eintrittswahrscheinlichkeitsklassen sowie deren Beschreibung und hinterlegte Eintrittswahrscheinlichkeiten (in Häufigkeit je Zeitraum) ist dabei frei konfigurierbar.

[[Datei:Eintrittswahrscheinlichkeiten.PNG|left|thumb|901px|Maske der Eintrittswahrscheinlichkeiten]]

Risikofaktor:
: Der Risikofaktor dient als Multiplikator für die Berechnung der Risikokennzahl eines Risikos. Dabei wird der Risikofaktor der gewählten Eintrittswahrscheinlichkeit mit dem Risikofaktor des gewählten Schadensausmaßes multipliziert und so die Risikokennzahl ermittelt.
:Die Risikokennzahl dient zur Reihung der Risiken. Je höher die Risikokennzahl desto größer die Bedeutung des Risikos.

Faktisch:
: Diese Checkbox kann nur bei einer Eintrittswahrscheinlichkeit gesetzt werden. Wenn selektiert, wird diese Eintrittswahrscheinlichkeit als absolut behandelt. Damit bewertete Risiken, Chancen und Auswirkungen sind dann Fakt. Bei der Auswahl der Eintrittswahrscheinlichkeit im Risiko/der Chance/der Auswirkung und in den dazugehörigen Übersichten ist die faktische entsprechend gekennzeichnet.

'''Beispiel in Anlehnung und Erweiterung zu TR719 (80001):'''

{| class="wikitable"
|-
! Eintrittswahrscheinlich- keitsklassen
! Definition
|-
|rowspan = 2| Extrem selten
| Mindestens ein Mal in 30 Jahren 
|-
| Es ist sehr unwahrscheinlich, dass unbeabsichtigte Auswirkungen auftreten.
|-
|rowspan = 2| Sehr selten
| Mindestens ein Mal in 10 Jahren 
|-
|Es ist nicht wahrscheinlich, dass unbeabsichtigte Auswirkungen auftreten.
|-
|rowspan = 2| Selten
| Mindestens ein Mal in 3 Jahren
|-
| Es können hin und wieder unbeabsichtigte Auswirkungen auftreten.
|-
|rowspan = 2| Wahrscheinlich
| Mindestens ein Mal jährlich
|-
| Es ist wahrscheinlich, dass unbeabsichtigte Auswirkungen auftreten.
|-
|rowspan = 2| Häufig
| Mindestens ein Mal monatlich
|-
| Unbeabsichtigte Auswirkungen treten häufig auf.
|-
|rowspan = 2| Sehr häufig
| Mindestens ein Mal wöchentlich oder mehr
|-
| Unbeabsichtigte Auswirkungen treten sehr häufig bzw. nahezu immer auf.
|}

== Kriterien für Schadensausmaße ==

Ein Schaden muss nicht zwingend monetärer Natur sein. Er kann auch durch Effektivitätsverlust, Imageschaden oder Patientenschaden bestimmt werden. Aus diesem Grund bietet HITGuard die Möglichkeit Kriterien für Schadensausmaße frei zu konfigurieren. Diese Kriterien können dann wiederum auf Schadensausmaßklassen gemapped und dadurch für Schutzbedarfsanalysen verwendet werden.

Kriterien Schadensausmaße können unter "Risikomanagement → Risikopolitik → Kriterien für Schadensausmaße" definiert werden.

[[Datei:Kriterien für Schadensausmaße.PNG|left|thumb|900px|Beispiel: Kriterien für Schadensausmaße]]

== Schadensausmaße ==

Schadensausmaße werden in Klassen unterteilt. Die Schadensausmaßklassen orientieren sich an der Risikotragfähigkeit des Unternehmens. Die höchste Schadensausmaßklasse sollte sich daher an dem maximalen, für das Unternehmen tragbaren, Schaden orientieren.

Möchten Sie in einem oder mehreren Managementsystemen unterschiedliche Schadensausmaßklassen verwenden, dann legen Sie hierfür eine zusätzliche Klassifikation für Schadensausmaß und Nutzen an. Für diese können Sie anschließend neue Schadensausmaßklassen erstellen.

Weisen Sie anschließend die neu erstellte Klassifikation unter "Risikomanagement → Einstellungen" dem gewünschten Managementsystem als Klassifikation zu.

Klassen und Klassifikationen können von Administratoren und Experten durch klicken auf das Plus neben den Klassen/Klassifikationen definiert werden (siehe Abbildung).

[[Datei:Schadensausmaße.PNG|left|thumb|901px|Beispiel: Schadensausmaß Hoch]]

Monetärer Schaden:
: Hier wird definiert, wie hoch ein monetärer Schaden einer Klasse ausfällt.

SBA Kantengewicht:
: Dieser Wert stellt die Abhängigkeit, den der Schadensausmaß in einer Schutzbedarfsanalyse repräsentiert, in Prozent dar und wird im Graphen als Kantengewicht verwendet.
:Grundlage der Ermittlung des Wertes kann beispielsweise die Untergrenze, Obergrenze oder der Mittelwert einer Schutzbedarfsklasse sein.

:'''Beispiel:'''

:{| class="wikitable"
|-
! Schadensausmaßklasse!! SBA Kantengewicht
|-
| Unbedeutend|| 10%
|-
| Gering|| 20%
|-
| Moderat|| 40%
|-
| Hoch|| 60%
|-
| Katastrophal|| 100%
|}

Risikofaktor:

: Der Risikofaktor dient als Multiplikator für die Berechnung der Risikokennzahl eines Risikos. Dabei wird der Risikofaktor der gewählten Eintrittswahrscheinlichkeit mit dem Risikofaktor des gewählten Schadensausmaßes multipliziert und so die Risikokennzahl ermittelt.
: Die Risikokennzahl dient zur Reihung der Risiken. Je höher die Risikokennzahl desto größer die Bedeutung des Risikos.

: [[Datei:Beispielhafte Verteilung von Risikofaktoren auf einer Farbskala von Grün nach Rot..png|mini|Beispielhafte Verteilung von Risikofaktoren auf einer Farbskala von Grün nach Rot.]]Dieser Risikofaktor dient weiters als Kriterium für die farbliche Hinterlegung der Schadensausmaßklasse in Schutzbedarfsberichten. Auf einer Farbskala von grün nach rot, ergibt der niedrigste Risikofaktor die Farbe Grün, der höchste Risikofaktor die Farbe Rot.  Dazwischen liegende Risikofaktoren liefern Farben entsprechend Ihrer relativen Position auf der von grün nach rot verlaufenden Farbskala.

Kriterium hinzufügen:
: Hier können die bereits erstellten Kriterien auf eine Schadensausmaßklasse gemapped werden. Zudem sollte im Kontext der Klasse beschrieben werden welcher Schaden auftreten muss um ein Kriterium zu erfüllen.

'''Beispiele für Schadensausmaßklassen:'''

{| class="wikitable"
|-
! Schadensausmaßklasse
! Definition
|-
|rowspan = 4| Gering
| Monetärer Schaden: > 5.000 Euro und <= 25 Euro
|-
| Patientenschaden: geringe und kurzzeitige Unannehmlichkeiten
|-
| Effektivitätsverlust: kein oder sehr begrenzter Einfluss auf Operationen/Prozeduren
|-
| Daten- und Systemsicherheit: Bekanntwerden einer entsprechenden Bedrohung oder Schwachstelle hat vernachlässigbaren Einfluss
|-
|rowspan = 4| Moderat
| Monetärer Schaden: > 25.000 Euro und <= 100.000 Euro
|-
| Patientenschaden: zeitlich begrenzte und geringere Verletzungen, medizinische Intervention erforderlich
|-
| Effektivitätsverlust: sehr begrenzter oder belästigender Effekt auf Operationen/Maßnahmen 
|-
| Daten- und Systemsicherheit: Offenlegung sensibler Informationen könnte negative (finanzielle) Folgen haben und möglicherweise Ressourcenaufwand zur Beseitigung benötigen.
|-
|rowspan = 4| Katastrophal
| Monetärer Schaden: > 10 Millionen Euro
|-
| Patientenschaden: Tod
|-
| Effektivitätsverlust: geplante Operationen/Prozeduren nicht mehr durchführbar
|-
| Daten- und Systemsicherheit: Kann zu vollständiger Offenlegung sensibler Informationen führen
|}

==Kriterien für Nutzen==

Ein Nutzen muss nicht zwingend monetärer Natur sein. Er kann auch durch Effektivitätsgewinn, Imageverbesserung oder Patientengesundheit bestimmt werden. Aus diesem Grund bietet HITGuard die Möglichkeit Kriterien für Nutzen frei zu konfigurieren. Diese Kriterien können dann wiederum auf Nutzen gemapped und dadurch für Schutzbedarfsanalysen verwendet werden.

Kriterien für Nutzen können unter "Risikomanagement → Risikopolitik → Kriterien für Nutzen" definiert werden.

[[Datei:Risikopolitik_KriterienNutzen.png|left|thumb|900px|Beispiel: Kriterien für Nutzen]]

==Nutzen==
Nutzen werden in Klassen unterteilt. Diese orientieren sich an der Fähigkeit des Unternehmens, Chancen auszunutzen. Der höchste Nutzen sollte sich daher an dem maximalen, für das Unternehmen erreichbaren, Nutzen orientieren.

Möchten Sie in einem oder mehreren Managementsystemen unterschiedliche Nutzen verwenden, dann legen Sie hierfür eine zusätzliche Klassifikation für Schadensausmaß und Nutzen an. Für diese können Sie anschließend neue Nutzen erstellen.

Weisen Sie anschließend die neu erstellte Klassifikation unter "Risikomanagement → Einstellungen" dem gewünschten Managementsystem als Klassifikation zu.

Klassen und Klassifikationen können von Administratoren und Experten durch klicken auf das Plus neben den Klassen/Klassifikationen definiert werden (siehe Abbildung).

[[Datei:Risikopolitik_Nutzen.png|left|thumb|901px|Beispiel: Nutzen Sehr groß]]

Monetärer Nutzen:
: Hier wird definiert, wie hoch ein monetärer Nutzen einer Klasse ausfällt.

Chancenfaktor:

: Der Chancenfaktordient als Multiplikator für die Berechnung der Risikokennzahl einer Chance. Dabei wird der Risikofaktor der gewählten Eintrittswahrscheinlichkeit mit dem Chancenfaktor des gewählten Nutzens multipliziert und so die Risikokennzahl ermittelt.
: Die Risikokennzahl dient zur Reihung der Risiken und Chancen. Je höher die Risikokennzahl (also je weiter entfernt von Null) desto größer die Bedeutung der Chance.

Kriterium hinzufügen:
: Hier können die bereits erstellten Kriterien auf eine Nutzen gemapped werden. Zudem sollte im Kontext der Klasse beschrieben werden welcher Nutzen eintreten muss um ein Kriterium zu erfüllen.

== Schutzzielausprägungen==

Da Schutzziele in verschiedenen Klassifikationen andere Bedeutung haben können, ist es möglich Schutzziele für die jeweiligen Klassifikationen hinsichtlich ihrer Benennung zu konkretisieren. So kann das Schutzziel "Vertraulichkeit" im Kontext der Datenschutz Klassifikation als Privatsphäre interpretiert werden (siehe Abbildung). Dadurch wird überall dort, wo das Schutzziel angewandt wird, die Schutzzielausprägung der Schadensausmaßklassifikation des Managementsystems Datenschutz - also die Bezeichnung "Privatsphäre" - angezeigt.

Dieser Menüpunkt ist nur sichtbar wenn mindestens zwei Schadensausmaßklassifikationen existieren.

[[Datei:Schutzzielausprägungen.PNG|left|thumb|900px|Schutzzielausprägungen]]

== Schutzbedarf ==

Der Schutzbedarf einer Ressource, Organisationseinheit, Datenkategorie oder eines Prozesses orientiert sich am Ausmaß der Schäden, die entstehen können, wenn die Funktionsweise beeinträchtigt ist. Da die Höhe eines Schadens häufig nicht genau bestimmt werden kann, sollten Sie für Ihren Anwendungszweck passende Klassen definieren.

Schutzbedarfsklassen können unter "Risikomanagement → Risikopolitik → Schutzbedarf" von Administratoren oder Experten erstellt und verwaltet werden.

[[Datei:Schutzbedarf.PNG|left|thumb|900px|Beispiel: Schutzbedarf Hoch]]

Die zuvor definierten Schadensausmaßklassen fallen je nach Höhe Ihres [[#BIA edge weights|SBA Kantengewichtes]] in unterschiedliche Schutzbedarfsklassen (je höher das Kantengewicht umso höher der Schutzbedarf).

Die sogenannte SBA-Kantengewicht-Range (von bis) sorgt dafür, dass in der Strukturanalyse durch eine Abhängigkeitsanalyse, eine Schutzbedarfsklasse für eine Datenkategorie oder Ressource ermittelt werden kann. Diese Ermittlung leitet sich über die SBA-Kantengewicht-Range ab. Über alle eingehenden Schutzziel-Beziehungen je Ressource bzw. Datenkategorie wird die Kantenabhängigkeit in Prozent mit dem höchsten SBA-Wert ermittelt und daraus die zugehörige Schutzbedarfsklasse aus dem Range erhoben.

Die Farbe dient zur Signalisierung der Wichtigkeit einer klasse in der Strukturanalyse.

'''Beispiele für Schutzbedarfsklassen:'''
*Normal: Die Schadensauswirkungen sind begrenzt und überschaubar.(0-30% SBA Kantengewicht)
*Hoch: Die Schadensauswirkungen können beträchtlich sein.(30-70% SBA Kantengewicht)
*Sehr Hoch: Die Schadensauswirkungen können ein existentiell bedrohliches, katastrophales Ausmaß erreichen.(70-100% SBA Kantengewicht)

== Risikomatrix ==

Die Risikomatrix ergibt sich für jede Schutzbedarfsklasse aus der Kombination von Schadensausmaß oder Nutzen (vertikal) und Eintrittswahrscheinlichkeit (horizontal). Hierzu werden die jeweiligen Risikofaktoren multipliziert um die Risikokennzahl oder Chancenkennzahl zu erhalten. Je größer die Risikokennzahl oder Chancenkennzahl (also je weiter weg von Null) desto kritischer ist ein Risiko und umso dringender muss es behandelt werden um schwerwiegende Folgen zu verhindern, bzw desto größer ist eine Chance und umso eher sollte sie ausgenutzt werden um daraus zu gewinnen.

Administratoren und Experten können unter "Risikomanagement → Risikopolitik → Risikomatrix" festlegen in welcher Farbe eine Risikokennzahl im Dashboard und der Strukturanalyse angezeigt wird (je kritischer und dringender, desto alarmierender sollte die Farbe sein). Weiters dient die Risikokennzahl der Reihung der Risiken und Chancen auf dem Dashboard.

Für jede Klassifikation von Schadensausmaß und Nutzen gibt es eine eigene Risikomatrix, die konfiguriert werden kann.

[[Datei:Risikomatrix.PNG|left|thumb|900px|Beispiel Risikomatrix ]]

== Datenklassen ==

Die Datenklassifikation gibt vor wie Daten, abhängig von ihrer Klassifizierung, zu handhaben sind. Dies richtet sich nach der Vertraulichkeit der Daten und dem damit einhergehenden erwünschtem Schutzniveau.

Die Anzahl der Kategorien, der Name der Datenklasse sowie deren Beschreibung sind frei definierbar. Eine neue Klasse kann über den „Plus Button“ erstellt werden.

Üblicherweise kann man eine Assoziation ableiten, sodass der unterschiedlich geltende Schutzbedarf je Datenklasse über die, mit dem Vertraulichkeitsrisiko zusammenhängende Schadensausmaßklasse zu erklären ist. Daher ist ein Mapping zwischen Daten- und Schadensausmaßklassen möglich.

Existieren mehrere Schadensausmaßklassifikationen, so muss ausgewählt werden von welcher Klassifikation das Schadensausmaß stammt.

[[Datei:Beispiel Datenklassen.PNG|left|thumb|901px|Beispiel: Klasse "Streng vertraulich" ]]

'''Beispiel:'''
{| class="wikitable"
|-
! Datenklassen!! Schadensausmaßklasse 
|-
| Öffentlich|| Sehr Gering (Standard)
|-
| Intern|| Mittel (Standard)
|-
| Vertraulich|| Groß (Standard)
|-
| Geheim|| Sehr Groß (Standard)
|}

== Abilities to Control==

Die Abilities to Control werden verwendet um bereits implementierte Maßnahmen- und Kontrollensets zur Risikosteuerung eines Risikos nach ihrer Qualität zu bewerten. Mehr zum Kontext der Verwendung ist [[Special:MyLanguage/Risikobewertung | hier ]] zu finden.

Hier können die zur Bewertung verfügbaren Abilities to Control verwaltet werden.

Eine neue Ability to Control kann über den "Plus" Button erstellt werden. Über den "Mülleimer" Button können bestehende gelöscht werden.

Standardmäßig werden folgende Abilities to Control angeboten:
* '''nicht relevant''' - Die Fähigkeit zur Steuerung des Risikos durch das zugewiesene Set an Maßnahmen und Kontrollen ist nicht relevant.
* '''initial''' - Die Fähigkeit zur Steuerung des Risikos durch das zugewiesene Set an Maßnahmen und Kontrollen ist in einem frühen Entwicklungsstadium.
* '''gemanagt''' - Die Fähigkeit zur Steuerung des Risikos durch das zugewiesene Set an Maßnahmen und Kontrollen kann erfolgreich durchgeführt werden.
* '''definiert''' - Die Fähigkeit zur Steuerung des Risikos durch das zugewiesene Set an Maßnahmen und Kontrollen ist reproduzierbar und kann nach einem angepassten Standardprozess abgehandelt werden.
* '''gemessen''' - Die Fähigkeit zur Steuerung des Risikos durch das zugewiesene Set an Maßnahmen und Kontrollen ist anhand einer statistischen Kontrolle messbar.
* '''optimiert''' - Die Fähigkeit zur Steuerung des Risikos durch das zugewiesene Set an Maßnahmen und Kontrollen ist anhand einer statistischen Kontrolle messbar und kann die Arbeitsweise verbessern.

[[Datei:Abilities to control.PNG|left|thumb|900px|Abilities to Control ]]

== Kategorien von Risiken/Chancen und Auswirkungen==

Um die erkannten Risiken, Chancen und die Auswirkungen besser verwalten und damit behandeln zu können, können unter "Risikomanagement → Risikopolitik → Kategorien von Risiken/Chancen und Auswirkungen" selbige definiert werden.

Mit dem "Plus" Button können neue Kategorien angelegt werden. Sie können jederzeit umbenannt werden. Kategorien, die für kein Risiko/Chance/Auswirkung ausgewählt sind, können auch gelöscht werden. Bei Kategorien, die in Verwendung sind, ist der "Löschen" Button deaktiviert.

[[Datei:Risikokategorien_Risikopolitik.png|left|thumb|901px|Risikopolitik → Kategorien von Risiken/Chancen und Auswirkungen]]

Einzelne Risiken, Chancen und Auswirkungen können einer oder auch mehreren Kategorien zugewiesen und danach gruppiert werden.

[[Datei:Risikokategorien_Übersicht.png|left|thumb|901px|Kategorien in der Übersicht der Risiken und Chancen]]

==Kriterien für Auswirkungen==

Eine Auswirkung kann unterschiedlicher Naturen sein. Aus diesem Grund bietet HITGuard die Möglichkeit Kriterien für Auswirkungen frei zu konfigurieren. Diese Kriterien können dann wiederum auf Auswirkungen gemapped werden.

Kriterien für Auswirkungen können unter "Risikomanagement → Risikopolitik → Kriterien für Auswirkungen" definiert werden.

[[Datei:Risikopolitik_KriterienAuswirkungen.png|left|thumb|900px|Beispiel: Kriterien für Auswirkungen]]

==Klassifikationen für Auswirkungen==

Die Auswirkungsklassen beschreiben den Umfang (Scale), den Geltungsbereich (Scope) und die Abhilfe (Remedy, nur bei negativen Auswirkungen) einer Auswirkung. Sie werden dafür genutzt, positive und negative Auswirkungen auf das Unternehmen von außen und nach außen durch das Unternehmen zu bewerten. Anhand von Kriterien können zusätzliche Details zu den einzelnen Auswirkungen erfasst werden.

Für jede der drei Klassifikationen können Auswirkungsklassen definiert werden.

Kriterium hinzufügen:
: Hier können die bereits erstellten Kriterien auf eine Auswirkungsklasse gemapped werden. Zudem sollte im Kontext der Klasse beschrieben werden welcher Umstand auftreten muss um ein Kriterium zu erfüllen.

Auswirkungsfaktor:
: Aus den Auswirkungsfaktoren der Auswirkungsklassen und dem Risikofaktor der Eintrittswahrscheinlichkeit wird die Auswirkungskennzahl ausgerechnet. Wie die Risikokennzahl weist diese aus, wie groß oder klein die Auswirkung des Unternehmen auf seine Umwelt ist.

[[Datei:Risikopolitik_KlassifikationAuswirkungen.png|left|thumb|900px|Auswirkungsklassen]]