Du bewertest deine Informationen und führst die Business-Impact-Analyse (BIA) an deinen Geschäftsprozessen durch. Den Schutzbedarf deiner Prozesse und Assets berechnet Ariadne ISMS daraus selbst. So kannst du für jedes System begründen, warum es wie stark geschützt werden muss, und musst keinen Wert doppelt pflegen.
Drei Quellen, ein Ergebnis
Der Schutzbedarf eines Assets setzt sich aus drei Bausteinen zusammen. Jeden davon pflegst du an genau einer Stelle.
Informationen
Liefern Vertraulichkeit, Integrität und Datenschutz
Du bewertest jede Information einmal mit ihrer Sicherheits- und Datenschutzbewertung. Dieses Ergebnis wandert an alle Prozesse und Assets, die die Information verarbeiten.
Business-Impact-Analyse
Liefert die Verfügbarkeit
Die BIA am Geschäftsprozess ergibt seine Verfügbarkeitskurve: die höchste Auswirkung je Zeitraum. Verfügbarkeit kommt ausschließlich aus der BIA, nie aus Informationen.
Abhängigkeiten
Transportieren den Schutzbedarf zum Asset
Über die Abhängigkeit Prozess → Asset oder Asset → Asset legst du fest, welche Informationen verarbeitet werden und wie stark die Verfügbarkeit weitergegeben wird.
Die Grundregel: Der höchste Wert gewinnt
Ariadne ISMS arbeitet nach dem Maximalprinzip. Verarbeitet ein Prozess oder ein Asset mehrere Informationen, zählt jeweils die höchste Stufe. So wird ein System nie schwächer eingestuft als die kritischste Information, die es trägt.
Schutzbedarf am Geschäftsprozess
- Vertraulichkeit und Integrität: höchster Wert aller verknüpften Informationen.
- Datenschutz: Personenbezogene Daten, Art. 9 oder Art. 10 gilt für den Prozess, sobald mindestens eine verknüpfte Information das Merkmal hat.
- Verfügbarkeit: kommt aus der BIA des Prozesses.
- Unbewertete und archivierte Informationen zählen nicht mit.
Du siehst das Ergebnis am Prozess in der Seitenleiste unter Schutzbedarf und Datenschutz.
Schutzbedarf am Asset
- Vertraulichkeit und Integrität: höchster Wert der Informationen, die du an den Abhängigkeiten dieses Assets angehakt hast.
- Datenschutz: gilt, sobald eine dieser Informationen das Merkmal hat.
- Verfügbarkeit: die Verfügbarkeitskurve der Prozesse, weitergegeben über die Abhängigkeitskette.
Wie der Abhängigkeitsmodus die Verfügbarkeit steuert
| Abhängigkeitsmodus | Wirkung auf die Verfügbarkeit |
|---|---|
| Erforderlich | Das Asset übernimmt die Verfügbarkeitskurve unverändert. |
| Workaround möglich | Die Kurve verschiebt sich um einen BIA-Zeitraum nach hinten, weil ihr eine Zeit lang ohne das Asset auskommt. |
| Optional | Keine Weitergabe der Verfügbarkeit. |
Ketten und mehrere Prozesse
- Ketten: Hängt ein Asset von einem anderen Asset ab, gibt das ISMS den Schutzbedarf weiter, zum Beispiel vom CRM an den Datenbankserver darunter. Jede Abhängigkeit mit Workaround möglich auf dem Weg verschiebt die Kurve um einen weiteren Zeitraum.
- Mehrere Prozesse: Nutzen mehrere Prozesse dasselbe Asset, nimmt das ISMS je Zeitraum den höchsten Wert. So werden zentrale Systeme wie ein Fileserver automatisch als kritisch sichtbar.
Ein Beispiel durchgerechnet
Das Beispiel nutzt die Standardwerte. Skala, BIA-Zeiträume und Intoleranzstufe können in deiner Organisation anders konfiguriert sein.
| Schritt | Eingabe | Ergebnis |
|---|---|---|
| 1 Informationen | Kalkulationsdaten: V und I Schwerwiegend Kundenkontaktdaten: V Mittel, I Gering, Personenbezogene Daten | Zwei bewertete Informationen |
| 2 Prozess | „Angebot erstellen“ verarbeitet beide Informationen | V und I Schwerwiegend, personenbezogen |
| 3 BIA | 8 h Gering, 24 h Schwerwiegend, 72 h Schwerwiegend, 14 Tage Schwerwiegend | MTA 24 h (Intoleranzstufe Schwerwiegend) |
| 4 Abhängigkeit | Prozess → CRM, beide Informationen angehakt | CRM: V und I Schwerwiegend, personenbezogen, Verfügbarkeit je nach Modus (siehe unten) |
So sieht die Verfügbarkeit des CRM je nach Abhängigkeitsmodus aus:
| Modus | 8 h | 24 h | 72 h | 14 Tage |
|---|---|---|---|---|
| Erforderlich | Gering | Schwerwiegend | Schwerwiegend | Schwerwiegend |
| Workaround möglich | – | Gering | Schwerwiegend | Schwerwiegend |
| Optional | – | – | – | – |
Mit Optional zeigt das Asset unter Schutzbedarf den Text „Keine Verfügbarkeitsauswirkung übertragen.“
Was du beachten solltest
- Nicht manuell änderbar: Den abgeleiteten Schutzbedarf kannst du nicht überschreiben. Passt ein Wert nicht, korrigierst du die Bewertung der Information, die BIA oder die Abhängigkeit.
- Automatische Neuberechnung: Änderst du Bewertungen, Verknüpfungen oder Abhängigkeiten, rechnet das ISMS neu. Am Asset kann der neue Wert kurz verzögert erscheinen.
- Lücken sichtbar machen: Unbewertete Informationen und Prozesse ohne BIA liefern keinen Schutzbedarf. Arbeite die offenen Punkte unter Handlungsbedarf im Dashboard ab, damit dein Ergebnis vollständig ist.
Verwandte Artikel
War dieser Artikel hilfreich?
Das ist großartig!
Vielen Dank für das Feedback
Leider konnten wir nicht helfen
Vielen Dank für das Feedback
Feedback gesendet
Wir wissen Ihre Bemühungen zu schätzen und werden versuchen, den Artikel zu korrigieren