Informationssicherheits-Risikomanagement in der Praxis

Grundlagen und Risikobeurteilung

Einführung in das Risikomanagement im ISMS-Kontext

• Bedeutung von Risikomanagement für Informationssicherheit
• Rolle des Risikomanagements in der ISO/IEC 27001:2022

Anforderungen der ISO/IEC 27001:2022 zu Risiken und Chancen

• Risikobasierter Ansatz als Kernelement
• Dokumentations- und Berichtspflichten

Überblick ISO/IEC 27005:2019 – Vorgehensmodell und zentrale Begriffe

• Definitionen: Risiko, Bedrohung, Schwachstelle, Risikoakzeptanz
• Phasen des Risikomanagementprozesses

Asset-basierte vs. szenariobasierte Ansätze

• Vor- und Nachteile der beiden Ansätze
• Auswahlkriterien für die Praxis

Identifikation, Analyse und Bewertung von Informationssicherheitsrisiken

• Methoden und Techniken der Risikoidentifikation
• Quantitative und qualitative Risikobewertung
• Risiko-Matrix und Bewertungsskalen

Übungen und Praxisbeispiele

• Bedrohungen und Schwachstellen identifizieren
• Risikoformulierung anhand konkreter Szenarien

Risikobehandlung und Integration in das ISMS

Auswahl und Bewertung von Risikobehandlungsoptionen

• Risikovermeidung, Risikoakzeptanz, Risikoreduktion, Risikoübertragung
• Kriterien für die Entscheidungsfindung

Bezug zum Maßnahmenkatalog (Anhang A der ISO 27001 / Referenz zu ISO 27002)

• Verbindung der Risikobehandlung zu Sicherheitskontrollen
• Auswahl passender Maßnahmen zur Risikobehandlung

Erstellung eines Risikobehandlungsplans

• Aufbau und Inhalte des Plans
• Priorisierung und Verantwortlichkeiten

Verbindung zu Zielen, Policies und Auditkriterien im ISMS

• Integration des Risikomanagements in die ISMS-Dokumentation
• Vorbereitung auf interne und externe Audits

Kontinuierliche Überwachung und Verbesserung

• Monitoring von Risiken und Maßnahmen
• Risikomanagement als fortlaufender Prozess
• Lessons Learned und Anpassungen

Übungen und Praxisbeispiele

• Erstellung und Bewertung von Risikobehandlungsplänen
• Diskussion typischer Herausforderungen und Lösungsansätze