Ihre Risikobeurteilung nach ISO 27005 Schritt für Schritt, bereit für das Audit.

Was ISO/IEC 27005 tatsächlich ist

ISO/IEC 27005 ist die internationale Norm, die Leitlinien für das Management von Informationssicherheitsrisiken gibt. Sie ersetzt ISO/IEC 27001 nicht: Sie erklärt, wie die Risikobeurteilung und die Risikobehandlung durchzuführen sind, die Kapitel 6.1 der ISO/IEC 27001 verlangt. In der Praxis sagt Ihnen ISO/IEC 27001, dass Sie Informationssicherheitsrisiken managen müssen, und ISO/IEC 27005 zeigt Ihnen einen belastbaren Weg, das zu tun. Die Ausgabe von 2022 gleicht ihr Vokabular an ISO/IEC 27001:2022 und an die allgemeinen Grundsätze des Risikomanagements nach ISO 31000 an, sodass die Begriffe unten diejenigen sind, die ein Auditor erwartet.

Der Risikomanagementprozess nach ISO 27005, Schritt für Schritt

Der Prozess ist ein Zyklus, keine einmalige Übung. Dies sind die Phasen, in der Reihenfolge, in der Sie sie durchlaufen sollten.

1. Den Kontext festlegen

Bevor Sie irgendetwas beurteilen, legen Sie die Spielregeln fest: den Anwendungsbereich, die internen und externen Themen, die beteiligten Personen und vor allem die Risikokriterien. Die Risikokriterien sind der Maßstab, mit dem Sie entscheiden, wie groß ein Risiko ist und, entscheidend, welche Risiken Sie zu akzeptieren bereit sind. Die Akzeptanzkriterien erst am Ende festzulegen, wenn die Ergebnisse schon bekannt sind, ist der häufigste Weg, eine Beurteilung zu verzerren. Legen Sie sie zuerst fest, und zwar schriftlich.

2. Die Risiken identifizieren

ISO/IEC 27005:2022 lässt zwei sich ergänzende Ansätze zu. Der wertorientierte Ansatz geht von dem aus, was Sie schützen (Informationen, Systeme, Prozesse), und fragt, welche Bedrohungen und Schwachstellen jeweils zutreffen. Der ereignisorientierte Ansatz geht von den Szenarien aus, die Sie fürchten (ein Ransomware-Ausbruch, ein Sicherheitsvorfall bei einem Lieferanten, ein verlorener Laptop), und arbeitet sich zu den betroffenen Werten zurück. Die meisten ausgereiften Programme kombinieren beide. Das Ergebnis dieses Schritts ist eine Liste von Risikoszenarien, jedes formuliert als Bedrohung, die eine Schwachstelle ausnutzt und eine Auswirkung hat.

3. Die Risiken analysieren

Für jedes Szenario schätzen Sie zwei Dinge: die Wahrscheinlichkeit, dass es eintritt, und die Auswirkung, wenn es eintritt. Das können Sie qualitativ tun (mit einer Skala, etwa von 1 bis 5) oder quantitativ (in Geld oder Zeit). Die Kombination ergibt ein Risikoniveau. Halten Sie die gewählte Skala schriftlich fest und wenden Sie sie bei jedem Szenario gleich an, sonst sind die Ergebnisse nicht vergleichbar.

4. Die Risiken bewerten

Jetzt vergleichen Sie jedes Risikoniveau mit den Kriterien aus Schritt 1 und bringen die Risiken in eine Rangfolge. In der Bewertung entscheiden Sie, was behandelt werden muss und was bereits innerhalb Ihrer Risikobereitschaft liegt. Das ist ein Entscheidungsschritt, kein Rechenschritt, und er gehört den Risikoeigentümern, nicht demjenigen, der die Tabelle geführt hat.

5. Die Risiken behandeln

Für jedes Risiko, das Ihre Kriterien überschreitet, wählen Sie eine von vier Optionen: Sie verändern es, indem Sie Maßnahmen ergänzen oder verstärken (die Maßnahmen der ISO/IEC 27002 und des Anhangs A der ISO/IEC 27001 sind der übliche Katalog), Sie behalten es bewusst bei, weil es innerhalb der Risikobereitschaft liegt, Sie vermeiden die Tätigkeit, die es verursacht, oder Sie teilen es, etwa über eine Versicherung oder einen Vertrag. Das Ergebnis ist ein Risikobehandlungsplan, und die Maßnahmen, die Sie anzuwenden beschließen, sind das, was Ihre Erklärung zur Anwendbarkeit füllt.

6. Akzeptieren, überwachen und kommunizieren

Das Risiko, das nach der Behandlung bleibt, ist das Restrisiko, und es muss vom Risikoeigentümer ausdrücklich akzeptiert werden, nicht stillschweigend. Von dort setzt sich der Zyklus fort: Überwachen Sie, ob sich Wahrscheinlichkeiten und Auswirkungen verändern, überprüfen Sie die Beurteilung in einem festgelegten Rhythmus und nach jeder wesentlichen Änderung, und teilen Sie die Ergebnisse denen mit, die Entscheidungen treffen. Eine Beurteilung, die einmal erstellt und abgelegt wird, ist bereits veraltet.

Die 5x5-Risikomatrix

Die 5x5-Matrix ist der gängigste Weg, Wahrscheinlichkeit und Auswirkung in ein einziges Risikoniveau zu überführen. Sie lesen sie, indem Sie die Zeile der Wahrscheinlichkeit und die Spalte der Auswirkung suchen: Die Zelle, in der sich beide treffen, ist das Risikoniveau.

Die Bezeichnungen sind weniger wichtig als die Disziplin dahinter. Zwei Regeln halten eine Matrix ehrlich. Erstens: Legen Sie fest, was jede Zahl bedeutet, bevor Sie bewerten, damit „3 Moderat“ für jedes Szenario und jeden Beurteilenden dasselbe ist. Zweitens: Entscheiden Sie im Voraus, welche Niveaus Sie akzeptieren (zum Beispiel: Niedrig wird akzeptiert, Mittel wird überwacht, Hoch und Kritisch erfordern eine Behandlung), damit die Matrix Entscheidungen steuert, statt sie nur einzufärben.

Ein ausgefülltes Risikoregister

Im Risikoregister wird der Prozess zu einem Arbeitsdokument. Dafür braucht es keine spezielle Software: Eine gut strukturierte Tabelle genügt, und so empfehlen wir Ihnen den Einstieg. Unten sehen Sie zwei Zeilen, ausgefüllt so, wie ein Beurteilender sie führen würde.

Beachten Sie, was jede Zeile ausdrücklich macht: einen benannten Eigentümer, eine Behandlungsoption (nicht nur einen Kommentar) und einen Zieltermin. Diese drei Spalten machen aus einer Liste von Sorgen etwas, das ein Auditor als Nachweis akzeptiert.

Die Fehler, die Auditoren immer wieder finden

• Akzeptanzkriterien zu spät festgelegt. Wenn Sie erst entscheiden, was akzeptabel ist, nachdem Sie die Bewertungen gesehen haben, biegen sich die Kriterien nach der gewünschten Antwort.
• Eine Methode, die nicht wiederholbar ist. Ohne schriftliche Skalen kommen zwei Beurteilende beim selben Risiko auf zwei verschiedene Zahlen, und die Beurteilung des nächsten Jahres lässt sich nicht mit dieser vergleichen.
• Keine Risikoeigentümer. Wenn niemand benannt ist, akzeptiert niemand das Restrisiko, und die Akzeptanz ist eine Anforderung, keine Höflichkeit.
• Die Erklärung zur Anwendbarkeit passt nicht zum Behandlungsplan. Als anwendbar markierte Maßnahmen, die nirgends im Plan auftauchen, oder geplante Maßnahmen, die in der Erklärung zur Anwendbarkeit fehlen, gehören zu den häufigsten Nichtkonformitäten.
• Restrisiko nie förmlich akzeptiert. Die Behandlung ist geplant, aber das Risiko, das danach bleibt, wird nie erneut bewertet oder freigegeben.
• Einmal beurteilt, nie überprüft. Ein Register mit einem einzigen Datum, Monate nach der letzten wesentlichen Änderung, sagt einem Auditor, dass der Prozess nicht lebt.
• Generische Risiken aus einer Vorlage kopiert. Ein Register, das zu jeder Organisation passen könnte, passt zu keiner. Die Szenarien müssen Ihren tatsächlichen Kontext widerspiegeln.

Wo die Zertifizierung ins Spiel kommt

Diesen Prozess gut zu führen ist eine Kompetenz, und dafür gibt es anerkannte Zertifizierungen. Die ISO/IEC 27005 Foundation deckt die Konzepte und das Vokabular ab. Die Zertifizierung ISO/IEC 27005 Risk Manager bestätigt, dass Sie den gesamten Beurteilungs- und Behandlungsprozess durchführen können, und der ISO/IEC 27005 Lead Risk Manager richtet sich an diejenigen, die das Risikomanagementprogramm leiten. Jeder Kurs ist im Selbststudium und im Selbststudium mit individueller Begleitung verfügbar. Wenn Ihr Kontext der öffentliche Sektor in Frankreich oder eine Anforderung der ANSSI ist, ist die Methode EBIOS Risk Manager die übliche Wahl, und unser Leitfaden zu EBIOS RM erklärt, wann Sie sie der ISO/IEC 27005 vorziehen sollten. Der Lernpfad Risiko zeigt die vollständige Abfolge.

Häufige Fragen

Was ist der Unterschied zwischen ISO 27005 und ISO 27001?

ISO/IEC 27001 ist die zertifizierbare Norm für ein Informationssicherheits-Managementsystem, und sie verlangt, dass Sie Risiken beurteilen und behandeln. ISO/IEC 27005 ist der Leitfaden, der Ihnen sagt, wie diese Beurteilung und Behandlung durchzuführen sind. Sie zertifizieren sich nach 27001; Sie folgen 27005, um dorthin zu gelangen.

ISO 27005 oder ISO 31000: Welche Norm verwende ich?

ISO 31000 ist der allgemeine Rahmen für das Risikomanagement in jeder Disziplin. ISO/IEC 27005 wendet dieselben Grundsätze gezielt auf die Informationssicherheit an und verbindet sie mit ISO/IEC 27001. Wenn Ihr Thema die Informationssicherheit ist, spricht 27005 Ihre Sprache.

Brauche ich Software, um ISO 27005 anzuwenden?

Nein. Weder ISO/IEC 27005 noch irgendein Auditor schreibt ein Werkzeug vor. Eine strukturierte Tabelle genügt für eine vollständige Beurteilung, und sie ist der richtige Einstieg. Spezielle Software wird erst nützlich, wenn Sie viele Beurteilungen über längere Zeit pflegen, nicht für Ihre erste.

Ist die Vorlage für das Risikoregister wirklich kostenlos?

Ja, ohne jede Bedingung und ohne Karte. Der gesamte Prozess oben steht auf dieser Seite zum Lesen bereit. Das Formular bietet lediglich zusätzlich die gestaltete PDF-Version mit der Vorlage darin.

Mit welcher Zertifizierung sollte ich beginnen?

Wenn Sie neu in der Risikoarbeit sind, beginnen Sie mit der Foundation, um das Vokabular zu festigen, und dann mit dem Risk Manager, um den gesamten Prozess zu üben. Wenn Sie bereits Beurteilungen durchführen und das Programm leiten müssen, gehen Sie direkt zum Lead Risk Manager.