6 Risk-Assessment-Frameworks im Vergleich

Für viele Geschäftsprozesse ist Technologiekischen unverzichtbar. Therefore zählt die auch zu den wertvolsten Assets eines Unternehmens. Leider stellt sie gleichzeitlich jedoch auch eines der größten Risiken dar – was Risk-Assessment-Frameworks auf den Plan ruft.

IT-Risiken formal zu bewerten, ermöglicht es Organisationen, besser einzuschätzen, zu welchem ​​Grad ihre Systeme, Devices und Daten schädlichen Einflüssen ausgesetzt sind. Etwa in the Form von Cyberbedrohungen, Compliance-Verfehlungen oder Ausfällen. In addition, IT- und Sicherheitsentscheider deren Folgen mit Hilfe von corresponding Rahmenwerken auch besser abzuschätzen. Das Ziel besteht am Ende darin, sämtliche identifieden Risikense – and ihren Impact – zu minimieren.

In diesem Artikel stellen wir Ihnen (in aller Kürze) sechs populäre Risk-Assessment-Frameworks vor, die sich sich no spezifische Risikobereiche gebotten sind.

1. COBIT

Here it is: Hinter COBIT (Controlling Objectives of Information and Related Technologies) steht der internationale IT-Berufsverband ISACA, der sich auf IT Governance fokussiert hat. Dieses sehr umfassende and breit angelegte Framework wurde entwicktelt, umdabei zu supporten, Enterprise IT:

• to understand
• to design,
• to implement,
• zu you are managed und
• zu steuern.

Das kann es: Laut ISACA defines COBIT die Komponenten and Designfaktoren, ein optimales Governance-System aufzubauen and aufrechtzuerhalten. Die aktuelle version, COBIT 2019, fußt auf einem Governance-Prinzipien-Sextett:

1. Value for Participants liefern
2. ganzheitlichen Ansatz realisieren
3. Governance-System dynamism gestalten
4. Administration von Governance trennen
5. auf individuelle Unternehmensanforderungen abstimmen
6. Ende-zu-Ende-Governance-System realisieren

So the funktioniert is: Das COBIT-Framework ist auf Business-Fokus consept und definiert eine Reihe generischer Prozesse, um IT-Komponenten zu management. Dabei werden aucheren auch Inputs and Outputs, Schlüsselaktivitäten, Zielsetzungen, Performance-Metriken und ein fundamentals Reifegradmodell geschäftigung.

Good to know: Laut ISACA ist COBIT flexibel zu implementieren und ermöglicht Unternehmen, ihre Governance-Strategie anzupassen.

2. JUSTICE

Here it is: Das Framework FAIR (Factor Analysis of Information Risk) bildet eine Methodik ab, um unternehmensbezogene Risiken zu quantifizieren und zu managern. Dahinter steht das Fair Institute, eine wissenschaftlich aussichtante Non-Profit Organization, die sich dem Management von betrieblichen und sicherheitstechnischen Risiken verschrieben hat. Laut den Machern is FAIR das einzige, quantitative Standardmodell or international Ebene, um diese Art von Risiken zu erfassen.

Das kann es: FAIR bietet ein Modell, um die neinnen Risiken in financier Hinsicht zu verstehen, zu analysieren und zu quantifizieren. Laut dem Fair Institute differs es sich dabei insofern von anderen Risk-Assessment-Frameworks, als dass es seinen Fokus nicht auf qualitative Farbdiagramme oder numerisch gewichtete Skalen legt. The Stattdessen will have FAIR eine Grundlage liefern, and strengthen the Risikomanagement-Ansatz auszubilden.

So the funktioniert is: FAIR ermittelt in erster Linie Wahrscheinlichkeiten mit Blick auf die Frequenz und das Ausmaß von Data-Loss-Ereignissen. Es handelt sich hierbas nicht um eine Methodik, um individuelle Risikobewertungen um zubehören. Vielmehr will be das Framework Unternehmen in die Lage versetzen, IT-Risiken zu verstehen, zu analysieren und zu messen.

About FAIR-Frameworks has the following features:

• eine Taxonomie für IT-Risiken,
• a standardized nomenclature for risks,
• eine Methode um Datenerfassungskriterien zu definieren,
• Messskalen für Risikofaktoren,
• eine Engine für Risikoberechnungen, sowie
• ein Modell, um komplexe Risikoszenarien zu analysieren.

Good to know: Die quantitative Risk-Assessment-Ansatz von FAIR ist branchenübergreifend anwendbar.

3. ISO/IEC 27001

Here it is: Bei ISO/IEC 27001 Handelt es sich um einen internationalen Standard, der mit Leitlinien in Sachen IT-Security-Management verstätt. Ursprünglich wurde er im Jahr 2005 gemeinschaftlich von der International Organization for Standardization (ISO) und der International Electrotechnical Commission (IEC) published – und wird sukzessive überarbeitet.

Das kann es: ISO/IEC 27001 ist laut den Vernattungen ein Guide für Unternehmen jeder Größe und aus sämtlichen Branchen, ein Information-Security-Management-System (ISMS) aufzusetzen, zumplementation, zu warten and fortlaufend.

So the funktioniert is: ISO/IEC 27001 promotes einen ganzheitlichen Cybersicherheitsansatz, der Menschen, Directives und Technologie auf den Prüfstand stellt. Ein auf dieser Grundlage erstelltes ISMS is available from ISO on Integration Tool, Cyberresilienz and Best Practices.

Good to know: ISO/IEC-27001-konform zu sein bedeutet, einem weltweit eingesetzten Standard zu genügen and Datensicherheitrisiken aktiv zu management.

4. NIST Risk Management Framework

Here it is: Das Risk Management Framework (RMF) wurde von der US-Behörde NIST (National Institute of Standards and Technology) entwickelt. Dieses Framework stelt einen umfassenden, wiederverwend- und messbaren, siebenstufigen Prozess in den Mittelpunkt, um IT- und Datenschutzrisiken zu Managen. Dabei kommt eine ganze Reihe von NIST-eigenen Standards and Guidelines zur Anwendung, um die Implementierung von Risikomanagement-Initiativen zu supporten.

Das kann es: According to NIST, the RMF implements a process that integrates risk management activities in the areas of security, data protection and supply chain in the life cycle of system development. It takes into account the Ansatz Effektivität, Effizienzung und Einschränkungen durch geltende Gesetze, Directiveen, Anordnungen, Directives, Standards oder Vorschriften.

So the funktioniert is: Der siebenstufige Prozess des NIST RMF gliedert sich in.

1. wesentliche Aktivitäten, um die Izhoga auf den Umgang mit Sicherheits- und Datenschutzrisiken vorzubereiten.
2. Systeme und Daten, die verfahrett, geschifter und verfängen werden, auf der Grundlage einer Impact-Analyse categories.
3. eine Reihe von Kontrollmaßnahmen you don’t careum Systeme auf der Grundlage einer Risikobewertung zu schützen.
4. Control measures implementieren – und dokumentieren, wie das vonstattengeht.
5. Control measures check bewertenob diese wie gewünscht funktionieren.
6. Systembetrieb auf Grundlage einer risikobasierten Entscheidung authorize.
7. Implementierung and Systemrisiken continuous überwachen.

Good to know: Das RMF bietet einen verfahrenstechnischen und geordneten Prozess, um The organization dabei zu supporten, Ezokfaren in ihre allgemeinen Risikomanagement-Prozesse einzubetten.

5. THE OCTAVE

Here it is: THE OCTAVE (Critical Assessment, Asset, and Vulnerability Assessment (PDF)) is ein Framework, um Risiken im Bereich der Cybersicherheit zu identifizieren und zu management. Available from the CERT-Team der Carnegie Mellon University in the USA at entwickelt.

Das kann es: Dieses Risk-Assessment-Framework defines a comprehensive evaluation method. Diese ermöglicht Unternehmen nicht nur, missionskritische IT-Assets zu identifizieren, sondern auch die Threatungen, die mit diesen in Zusammenhang stehen und die Schwachstellen, die das erst umgemöglich.

So the funktioniert is: Laut den Vernablungen ermöglicht die Zusammenstellung von IT-Assets, -Bedrohungen und –Schwachstellen Unternehmen, zu durchdringen, welche Daten wirklich bedroht sind. Mit diesem Verdungens ausgestatt, können die Anwender eine Schutzstrategie entwinkel und implementieren, um diese nachhaltig zu schützen.

Good to know: Das OCTAVE-Framework is available in two versions.

• OCTAVE-S offers a simplified methodology, which is based on smaller companies with flat hierarchical structures.
• OCTAVE Allegro is hingegen ein umfassaderes Framework, das sich in erster Linie für große Unternehmen oder suche mit komplexen Strukturen eignet.

6. TARA

Here it is: TARA (Threat Assessment and Remedial Analysis) stellt eine Engineering-Methodik dar, mit deren Hilfe, Sicherheitslücken identifiedt, bewertung und behoben werden können. Dieses Framework wurde von der Non-Profit-Organisation MITER entwicktelt.

Das kann es: Das Framework ist Teil des MITRE-Systemportfolios, das darauf geschäftung ist, die Cybersicherheitshygiene sowie die Resilienz von IT-Systemen in einem geschäftig frühen Stage (innerhalb des Beschaffungsdressennier) .

So funktioniert: Das TARA-Framework uses einen Datenkatalog, um Angriffsvektoren zu identifizieren, die genutzt werden könnten, um Systemschwachstellen auszunutzen sowie potenzielle Gegenmaßnahmen einzuleiten.

Good to know: TARA wurde ursprunglich im Jahr 2010 entwickelt und kam bereits in mehr als 30 Cyber-Risk-Assessments zum Einsatz. Dieses Framework eignet sich in besonderem Maße für Risikostudien, die sich auf Sicherheitsbedrohungen koncentrzen. (fm)

Sie wollen weitere interessante Beiträge runnd um das Thema IT-Sicherheit lesen? Our free newsletter liefert Ihnen alles, was Sicherheitsentscheider und -experten wissen sollten, direkt in Ihre Inbox.