Am Beispiel des Prozesses „Angebot erstellen“ gehst du einmal komplett durch Ariadne ISMS: vom Geschäftsprozess über Informationen, BIA und Asset bis zum behandelten Risiko mit Maßnahmen und Restrisiko. Danach weißt du, wie die Schritte zusammenhängen, und kannst deine eigenen Prozesse nach demselben Muster aufnehmen.
Voraussetzungen
- Du hast Zugriff auf Ariadne ISMS. Für Bewertungen, BIA und Risikobehandlung musst du am jeweiligen Datensatz als Verantwortlich eingetragen sein oder die Rolle Key User bzw. Admin haben.
- Für die Übernahme aus Ariadne ist die Ariadne-Integration für deine Organisation eingerichtet.
Der Weg auf einen Blick
| # | Schritt | Ergebnis im Beispiel |
|---|---|---|
| 1 | Prozess | „Angebot erstellen“ ist angelegt, verantwortlich ist die Vertriebsleitung. |
| 2 | Informationen | Kalkulations- und Preisdaten sowie Kundenkontaktdaten sind verknüpft und bewertet. |
| 3 | BIA | Ab 24 Stunden Ausfall ist es nicht mehr tragbar: MTA 24 h. |
| 4 | Asset | Das CRM ist angelegt und als Erforderlich mit dem Prozess verbunden. Es erbt den Schutzbedarf. |
| 5 | Risiko | „Unbefugter Zugriff über kompromittierte Zugangsdaten“ ist erfasst und bewertet. |
| 6 | Behandlung | Reduzieren, mit Verantwortlicher Person und Zieldatum. |
| 7 | Maßnahmen | MFA und Berechtigungskonzept sind umgesetzt und nachgewiesen. |
| 8 | Neubewertung | Das Restrisiko ist bewertet und für die nächste Wiedervorlage eingeplant. |
1. Den Prozess anlegen
Öffne Geschäftsprozesse > + Erstellen. Ist der Prozess in Ariadne beschrieben, wähle den Reiter Aus Ariadne übernehmen, tippe unter Ariadne-Seiten suchen… „Angebot“ ein und wähle die Seite aus. Titel und Inhalt werden vorbefüllt, du kannst beides vor dem Anlegen anpassen. Klicke auf Erstellen.
- Trage unter Personen die Vertriebsleitung als Verantwortlich ein. Der Seitenverantwortliche aus Ariadne wird nur angezeigt, nicht übernommen.
- Titel und Beschreibung werden nur einmal übernommen. Spätere Änderungen an der Ariadne-Seite fließen nicht in den Prozess ein, die Seiteneigenschaften unter Ariadne-Referenzen siehst du aber immer aktuell.
2. Informationen verknüpfen und bewerten
Klicke am Prozess bei Verarbeitete Informationen auf +. Die KI prüft zuerst die bestehenden Verknüpfungen, das kann 20 bis 60 Sekunden dauern. Unter Vorhandene Informationen verknüpfst du vorhandene Informationen, unter Neue Informationen übernimmst du Vorschläge mit dem Hinweis KI-Vorschlag per +.
Öffne danach jede Information und bewerte sie unter Informationsschutzbedarf und Datenschutzklassifizierung:
| Information | Vertraulichkeit | Integrität | Datenschutz |
|---|---|---|---|
| Kalkulations- und Preisdaten | Schwerwiegend | Schwerwiegend | – |
| Kundenkontaktdaten | Mittel | Gering | Personenbezogene Daten |
Unter Schutzbedarf zeigt der Prozess jetzt automatisch den höchsten Wert: Vertraulichkeit und Integrität Schwerwiegend, dazu unter Datenschutz Personenbezogene Daten.
3. Die BIA durchführen
Klicke bei Verfügbarkeitsbedarf (BIA) auf das Stift-Symbol. Die Vertriebsleitung beantwortet für jedes Szenario: Wie schmerzhaft ist es, wenn der Prozess ausfällt, und ab wann? Im Beispiel für das Szenario „Aufgabenerfüllung und Servicefähigkeit“:
| 8 h | 24 h | 72 h | 14 Tage |
|---|---|---|---|
| Gering | Schwerwiegend | Schwerwiegend | Katastrophal |
Ergänze eine Begründung (optional) und klicke auf Bewertung abschließen. Weil die Intoleranzstufe (Standard: Schwerwiegend) bei 24 h erreicht ist, zeigt der Prozess MTA 24 h. Die Auswirkung darf über die Zeit nur gleich bleiben oder steigen, niedrigere Stufen sind im Dialog ausgegraut.
4. Das CRM als Asset anlegen und verbinden
- Wähle in der Navigation unter Sekundäre Assets eine passende Kategorie, zum Beispiel Software, und klicke auf + Erstellen. Gib „CRM“ als Titel ein und prüfe die Kategorie.
- Das Asset startet als Vorgeschlagen. Über das Menü … setzt du es mit Prüfung starten und Für den Einsatz freigeben auf Im Einsatz.
- Öffne den Prozess und klicke bei Genutzte Assets auf +. Suche das CRM, wähle als Abhängigkeitsmodus Erforderlich, hake beide Informationen an und klicke auf Abhängigkeit hinzufügen.
Das CRM zeigt jetzt unter Schutzbedarf Vertraulichkeit und Integrität Schwerwiegend, Personenbezogene Daten und die Verfügbarkeit des Prozesses als Zeitreihe über die BIA-Zeiträume. Diese Werte kannst du nicht von Hand ändern, sie ergeben sich aus dem Geschäft.
5. Das Risiko erfassen und bewerten
- Klicke am CRM bei Risiken auf +. Das Asset ist vorbelegt. Tippe „Unbefugter Zugriff über kompromittierte Zugangsdaten“ ein. Gibt es keinen passenden Katalogeintrag, legst du es über Risiko mit dem Namen „…“ erstellen an.
- Übernimm das Risiko über … > Risiko steuern in die Bearbeitung. Erst dann kannst du es bewerten.
- Setze unter Gefährdete Schutzziele Vertraulichkeit und Integrität und klicke auf Schutzziele speichern.
- Klicke unter Nächste Schritte auf Bewerten. Wähle zum Beispiel Auswirkung Schwerwiegend (4) und Wahrscheinlichkeit Wahrscheinlich (4) und begründe kurz. Ergebnis: Risiko-Score 16, Einstufung Hoch.
6. Die Behandlung festlegen
Klicke unter Nächste Schritte auf Festlegen und wähle Reduzieren. Trage eine Begründung ein, prüfe die vorbelegte Verantwortliche Person und setze ein Zieldatum. Ohne Zieldatum bleibt Behandlung festlegen deaktiviert. Das Zieldatum ist zugleich die Frist für alle Maßnahmen dieses Risikos.
7. Maßnahmen umsetzen und nachweisen
Klicke am Risiko bei Maßnahmen auf + und lege zwei Maßnahmen an, entweder aus dem Maßnahmenkatalog oder mit eigenem Titel:
MFA für das CRM einführen
Senkt die Wahrscheinlichkeit, dass gestohlene Passwörter reichen
Setze sie über Nächste Schritte > Starten auf In Umsetzung. Ist sie fertig, hängst du unter Dokumente > + einen Nachweis an, zum Beispiel einen Konfigurationsscreenshot, und führst sie über Umgesetzt bis Verifiziert.
Berechtigungskonzept umsetzen
Begrenzt den Schaden, falls doch ein Zugang missbraucht wird
Gleicher Ablauf: starten, umsetzen, Nachweis anhängen, Wirksamkeit prüfen. Verifiziert bedeutet: Die Maßnahme ist geprüft. Wie gut das Risiko jetzt beherrscht ist, zeigt erst die Neubewertung.
8. Die Behandlung abschließen und das Restrisiko bewerten
Sind beide Maßnahmen dokumentiert, klicke unter Nächste Schritte auf Abschließen und ergänze eine Abschlussnotiz. Das Risiko ist damit sofort zur Neubewertung vorgemerkt.
Klicke erneut auf Bewerten. Mit MFA ist ein Zugriff über gestohlene Passwörter deutlich unwahrscheinlicher, zum Beispiel Wahrscheinlichkeit Unwahrscheinlich (2) bei gleicher Auswirkung. Ergebnis: Risiko-Score 8, Einstufung Mittel. Das ist dein Restrisiko. Nächste Schritte zeigt dir, was als Nächstes dran ist. Liegt das Restrisiko innerhalb eurer Akzeptanzkriterien, dokumentierst du zum Beispiel Akzeptieren.
Das Ergebnis im Dashboard prüfen
Öffne Übersicht: Prozess, Informationen und Risiko zählen jetzt als bewertet, das CRM steht unter Im Einsatz. Im Dashboard Risikomanagement siehst du das Risiko in der Risikomatrix und in der Risikolage. So kannst du deiner Geschäftsleitung zeigen, welches Risiko ihr bewusst tragt und warum.
Verwandte Artikel
War dieser Artikel hilfreich?
Das ist großartig!
Vielen Dank für das Feedback
Leider konnten wir nicht helfen
Vielen Dank für das Feedback
Feedback gesendet
Wir wissen Ihre Bemühungen zu schätzen und werden versuchen, den Artikel zu korrigieren