Risiken managen

Der Risikobereich in Kertos ermöglicht es Organisationen, Risiken strukturiert, konform und wiederholbar zu identifizieren, zu bewerten, zu behandeln und zu dokumentieren. Egal, ob du die Einhaltung von ISO 27001, GDPR oder anderen Rahmenwerken anstrebst, Kertos unterstützt deine Bemühungen mit intuitiven Werkzeugen wie der Risikomatrix, dem vordefinierten Risikokatalog und automatisierten Kontrollempfehlungen.

Zweck

Die manuelle Verwaltung von Informationssicherheitsrisiken über verschiedene Abteilungen und Rahmenwerke ist komplex, fehleranfällig und schwer skalierbar. Ohne einen zentralisierten und konsistenten Ansatz zur Risikobewertung ist es leicht, Bedrohungen zu übersehen, Aufwand zu duplizieren oder den Audit-Anforderungen nicht zu genügen. Dies kann durch die Nutzung des „Risiken“-Abschnitts der Kertos-Plattform gelöst werden.

Fähigkeiten

• Vordefinierte Risikovorlagen: ermöglicht eine schnelle Risikenerstellung und reduziert die manuelle Eingabe

• Risikolebenszyklus: Risiken folgen einem strukturierten Workflow von Entwurf bis zur Überwachung, mit einem Archiv für veraltete Elemente.

• Risiko-Matrix: bietet einen visuellen Überblick, der hilft, Risiken basierend auf Wahrscheinlichkeit und Auswirkung zu priorisieren.

• Vorgeschlagene Kontrollen: bietet automatisierte Empfehlungen basierend auf dem Risikokontext und erleichtert die Anwendung der richtigen Gegenmaßnahmen.

• Zuweisung von Verantwortung: ermöglicht klare Verantwortlichkeit, indem ein oder mehrere verantwortliche Personen jedem Risiko zugewiesen werden.

• Genehmigungs-Workflow: Hochrisiko-Elemente erfordern eine dokumentierte Genehmigung, bevor sie überwacht werden können.

• Automatisierte Überprüfungszyklen: konfigurierbare Überprüfungszeiträume mit automatischer Aufgabenerstellung, wenn eine Überprüfung fällig ist.

• Verknüpfte Vermögenswerte: Anzeigen und Verwalten, welche primären und unterstützenden Vermögenswerte von jedem Risiko betroffen sind.

• Verfolgung des Restrisikos: ermöglicht eine Neubewertung, nachdem Kontrollen angewendet wurden, und hilft, die Wirksamkeit der Behandlung zu bewerten.

Wie es funktioniert

Risiko-Übersicht

Auf der Risiko-Übersicht Seite, findest du die folgenden Abschnitte:

• Entwurf / Aktiv Registerkarten: Risiken werden in zwei Registerkarten aufgeteilt. Entwurf zeigt Risiken, die noch bearbeitet werden oder auf Genehmigung warten. Aktiv zeigt Risiken, die überwacht werden oder zur Überprüfung anstehen. Jede Registerkarte zeigt eine Liste von Risiken mit Schlüsselinformationen. Klicke auf ein Risiko, um dessen Detailansicht zu öffnen.

• Archiv: Zugriff auf archivierte Risiken über die Archiv Schaltfläche in der oberen Leiste. Archivierte Risiken sind nur lesbar und werden zu Prüfzwecken aufbewahrt.

• Katalog: Durchsuchen und hinzufügen vordefinierter Risiken aus dem Risikokatalog.

• Filter: Verwende die Such- und Filterleiste, um deine Ansicht einzuschränken — einschließlich nach Status, Behandlung und ob ein Risiko eine Genehmigung erfordert oder eine Überprüfung benötigt.

• Kategorien: Risiken werden nach Kontext gruppiert, um die Navigation und Verwaltung zu erleichtern.

• Risikomatrix: Dieses visuelle Werkzeug ordnet Risiken basierend auf zwei Dimensionen - Auswirkung und Wahrscheinlichkeit. Klicke auf ein beliebiges Feld in der Matrix oder auf den Namen einer Risikostufe, um die Liste nach diesem Schweregrad zu filtern.

Detailansicht

Allgemein

• Titel: Der Name des Risikos.

• Beschreibung: Eine detaillierte Erklärung des Risikos.

• Risiko-Kategorie: Der Kontext oder Bereich der Organisation, in dem das Risiko auftritt.

• Verantwortliche: Die Personen, die für die Verwaltung des Risikos verantwortlich sind. Diese sollten Personen sein, die operativ nah am Kontext des Risikos stehen und in der Lage sind, es genau zu beurteilen und zu adressieren. Nur Risikoeigentümer und Genehmiger können ein Risiko auf überwacht setzen.

Überprüfungszeitraum

Periodische Risikoneubewertung ist bewährte Praxis in allen Compliance-Rahmenwerken. Kertos automatisiert dies mit konfigurierbaren Überprüfungszyklen.

Festlegen eines Überprüfungszeitraums

Jedes Risiko hat einen Überprüfungszeitraum, der auf 3, 6 oder 12 Monate eingestellt werden kann. Der Überprüfungs-Timer startet, wenn das Risiko genehmigt und auf Überwacht gesetzt wird.

Wenn eine Überprüfung fällig ist

Wenn der Überprüfungszeitraum abläuft, wird das Risiko mit einem Ausstehende Überprüfung Feld gekennzeichnet und eine Aufgabe wird automatisch für den Risiko‑Eigentümer erstellt:

Abschluss einer Überprüfung

Wenn eine Überprüfung fällig ist, wird das Risiko mit einem Ausstehende Überprüfung Feld gekennzeichnet. Klicke auf Als überprüft markieren auf der Detailseite des Risikos, um zu bestätigen. Dies setzt den Überprüfungs‑Timer zurück und schließt die Überprüfungsaufgabe:

Status

Zeigt den aktuellen Lebenszyklusstatus des Risikos an: Entwurf, Genehmigung erforderlich, Überwacht, Überprüfung erforderlich oder Archiviert.

Risikobeschreibung

• Bedrohungen: Welche potenziellen Gefahren könnten dein Unternehmen betreffen?

• Schwachstellen: Welche Schwächen könnten ausgenutzt werden?

• Schäden: Welche Folgen könnten entstehen, wenn die Schwachstellen ausgenutzt werden?

CIA-Bewertung

Gebe an, welche Komponenten der CIA-Triade sind vom Risiko betroffen (Mehrfachauswahl möglich):

• Vertraulichkeit

• Integrität

• Verfügbarkeit

• Authentizität (nur für Kunden mit einem DORA-Abonnement verfügbar, wie es die DORA-Verordnung verlangt)

Risikobewertung

• Wahrscheinlichkeit: Wie wahrscheinlich ist es, dass dieses Risiko eintritt? (Bewertet von 1 = Selten bis 4 = Wahrscheinlich)

• Auswirkung: Wie schwerwiegend wären die Konsequenzen? (Bewertet von 1 = Unbedeutend bis 4 = Katastrophal)

• Risikopunktzahl = Wahrscheinlichkeit x Auswirkung

Risikobehandlung

• Akzeptanz: Hat das Unternehmen beschlossen, das Risiko zu akzeptieren?

  • Wenn ja, sind keine weiteren Behandlungsdetails erforderlich.

  • Wenn nein, bitte fahre fort, den Behandlungsmechanismus zu definieren.

• Behandlungsmechanismus: Wird das Risiko vermieden, gemindert oder übertragen (z. B. durch Versicherung)?

• Behandlungsbeschreibung: Eine detaillierte Erklärung, wie das Risiko in Ihrer Organisation behandelt wird.

Genehmiger

Ob ein Genehmiger erforderlich ist, hängt vom Risikopfad ab:

• Risiko wird akzeptiert und die Risikobewertung ist kritisch: Ein Genehmiger muss zugewiesen werden.

• Risiko wird akzeptiert und Risikobewertung ist hoch: Der Risikoeigentümer kann sich selbst genehmigen mit dokumentierter Begründung. Kein separater Genehmiger erforderlich.

• Risiko wird behandelt, Restrisiko ist HOCH oder KRITISCH: Ein Genehmiger muss zugewiesen werden.

Nur Admin-Benutzer werden im Genehmiger-Auswahlfeld angezeigt. Der Genehmiger prüft das Risiko und liefert bei Zustimmung eine schriftliche Begründung. Diese Begründung wird auf der Risiko-Detailseite als Prüfungsnachweis gespeichert. Der zugewiesene Genehmiger kann die Begründung bearbeiten; alle anderen Benutzer sehen sie nur lesend.

Angewandte Kontrollen

Dieser Abschnitt ermöglicht es dir, Kontrollen mit dem Risiko zu verknüpfen:

• Klicke auf „Link-Steuerelemente“ um ein Fenster zu öffnen, in dem du Steuerungen aus verschiedenen Frameworks auswählest.

  

• Auf der rechten Seite siehst du „Vorgeschlagene Kontrollen“ automatisch empfohlen basierend auf den Merkmalen des Risikos.

• Du kannst entweder auf „Alle vorgeschlagenen verlinken“ klicken um schnell alle empfohlenen Kontrollen hinzuzufügen oder manuell bestimmte auswählen und „Ausgewählte verlinken“.

Verknüpfte Vermögenswerte

Dieser Abschnitt zeigt alle mit dem Risiko verbundenen Vermögenswerte, aufgeteilt in zwei Registerkarten: Primäre Vermögenswerte und Unterstützende Vermögenswerte.

Um Vermögenswerte mit einem Risiko zu verknüpfen:

1. Klicke auf "+ Vermögenswerte verknüpfen" im relevanten Tab

2. Verwende die Suche oder Kategorie-Filter, um Vermögenswerte zu finden

3. Wähle ein oder mehrere Vermögenswerte aus und klicke auf "Auswahl verknüpfen"

Bereits verknüpfte Vermögenswerte erscheinen im Modal bereits vorausgewählt. Du kannst sie abwählen, um die Verknüpfung zu entfernen.

Um Vermögenswerte aus der Tabelle zu entkoppeln, wähle eine oder mehrere Zeilen mithilfe der Kontrollkästchen aus und klicke auf "Entkoppeln." Änderungen sind bidirektional: Das Verknüpfen eines Vermögenswertes mit einem Risiko hier wird das Risiko auch auf der Detailseite dieses Vermögenswerts anzeigen, und umgekehrt.

Restrisiko

• Bewerte die Wahrscheinlichkeit und Auswirkung des Risikos nachdem die Behandlung und Kontrollen angewendet wurden neu. Die Bewertungsmethode bleibt dieselbe wie bei der ursprünglichen Risikobewertung.

Hinweise

• Verwende dieses Feld, um zusätzliche Informationen oder Kontext, die für das Risiko relevant sind, hinzuzufügen.

Risiken dokumentieren

Im Risiken Registerkarte, kannst du Risiken hinzufügen und verwalten, indem du vordefinierte Risiken aus dem Katalog auswählst oder indem du sie manuell erstellst. Beide Methoden ermöglichen es dir, wichtige Risikoinformationen zu dokumentieren und einen strukturierten und konformen Risikobewertungsprozess sicherzustellen.

Risiken aus dem Katalog hinzufügen

1. Wähle die Kategorie aus, für die du Risiken hinzufügen möchten.

2. Durchsuche die Liste und Vorschau jedes Risiko, indem du darauf klickst.

3. Wähle einzelne Risiken aus oder verwende das Kontrollkästchen oben, um alle auszuwählen.

4. Klicke “Ausgewählte hinzufügen” um diese Risiken zu erstellen.

5. Die hinzugefügten Risiken werden in der Übersicht angezeigt.

Risiken manuell hinzufügen

1. Auf der Übersichtsseite klicke “Risiko hinzufügen” in der oberen rechten Ecke.

2. Es erscheint eine neue Detailansicht eines neuen, leeren Risikos.

3. Fülle alle erforderlichen Felder aus. Neue Risiken beginnen im Entwurf Status. Verwende das Dropdown „Speichern“, um entweder Als Entwurf speichern, Speichern & Auf Überwacht setzen (für Risiken mit einem Niedrig/Mittel-Score), oder Speichern & Anfrage Genehmigung (für Risiken mit einem Hoch/Kritisch-Score).

Archiv & Wiederherstellen

Archivieren ermöglicht es dir, Risiken aus deinen aktiven Ansichten zu entfernen, während sie als schreibgeschützte Aufzeichnungen erhalten bleiben.

Ein Risiko archivieren

Öffne auf der Detailseite des Risikos das Drei-Punkte-Menü und wähle Archivieren. Sie können auch mehrere Risiken aus der Übersicht auswählen und die Massen-Archivieren Aktion. Eine Rückgängig-Option erscheint kurz nach dem Archivieren.

Anzeige archivierter Risiken

Klicke auf Archivieren in der oberen Leiste des Risk Overview.

Alle Felder auf archivierten Risikodetailseiten sind deaktiviert (nur lesbar).

Wiederherstellen eines Risikos

Öffne ein archiviertes Risiko und wähle Wiederherstellen aus dem Menü — das Risiko kehrt in den Entwurfsstatus zurück. Du kannst auch mehrere Risiken aus der Archivliste wiederherstellen:

Löschen aus dem Archiv

Risiken können dauerhaft aus dem Archiv gelöscht werden. Diese Aktion ist unumkehrbar.

FAQs 

Wie kann ich feststellen, welche Risiken für meine Organisation gelten?

Starte mit dem Risiko-Katalog für eine kuratierte Liste von gängigen Risiken der Kategorien. Du kannst eine Vorschau anzeigen und relevante auswählen, oder KAIA nach einer Anleitung fragen, falls du unsicher bist. Es ist außerdem Best Practice, Risiken von deinen Vermögenswerten abzuleiten – vorausgesetzt, dein Asset-Inventar ist vollständig.

Was ist enthalten, wenn ich ein Risiko aus dem Katalog hinzufüge?

Katalogrisiken werden mit einem vordefinierten Titel, einer Beschreibung, Bedrohungen, Schwachstellen und potenziellen Schäden geliefert. Sie müssen weiterhin Besitzer zuweisen, die Risiko- und CIA-Bewertungen abschließen, Behandlungen definieren und zutreffende Kontrollen verlinken.

Kann ich Katalogrisiken nach dem Hinzufügen bearbeiten?

Ja. Sobald sie hinzugefügt wurden, verhalten sich Katalogrisiken wie manuell erstellte Risiken – du kannst alle Felder anpassen, um den spezifischen Kontext Ihres Unternehmens widerzuspiegeln.

Muss ich beim Erstellen eines Risikos sofort alle Kontrollen einbeziehen?

Nicht unbedingt. Sobald ein Risiko hinzugefügt wurde, öffne die Detailansicht und scrolle nach unten zum Abschnitt Angewandte Kontrollen. Klicke auf „Kontrollen verknüpfen“ , um von Experten empfohlene Kontrollen anzuzeigen. Sie können sie alle übernehmen, indem du „Alle vorgeschlagenen verknüpfen“ auswählst oder einzelne, indem „Ausgewählte verknüpfen.“ auswählst.

Ist es besser, Risiken vor oder nach der Implementierung von Kontrollen zu bewerten?

Du solltest Risiken basierend auf deiner aktuellen Situation bewerten, einschließlich bereits vorhandener Kontrollen. Dies liefert ein genaues Bild deiner Sicherheitslage und hilft, die Wirksamkeit von Kontrollen zu messen.

Kann ich Vermögenswerte mit Risiken in beide Richtungen verknüpfen? Ja. Du kannst Vermögenswerte von der Detailseite des Risikos aus verknüpfen oder Risiken von der Detailseite des Vermögenswertes aus verknüpfen. Die Beziehung ist dieselbe, unabhängig davon, wo du sie erstellst. Änderungen werden auf beiden Seiten angezeigt.

Warum befinden sich einige meiner Risiken jetzt im Entwurf?

Mit dem neuen Risikoworkflow wurden vorhandene Risiken in den entsprechenden Status migriert. Risiken, die HOCH oder KRITISCH (und einer Genehmigung bedürfen) sind oder bei denen erforderliche Felder fehlen, wurden in den Entwurf verschoben. Überprüfen Sie die Registerkarte Entwurf, um sie zu prüfen und abzuschließen.

Wer kann ein Risiko genehmigen?

Nur Admin-Benutzer können als Genehmiger zugewiesen werden. Der Genehmiger muss eine schriftliche Begründung bereitstellen, bevor das Risiko nach "Überwacht" wechseln kann.

Was passiert, wenn eine Risikoüberprüfung fällig ist?

Das Risiko wird als ausstehende Überprüfung markiert und für den Eigentümer wird eine Aufgabe erstellt. Klicke auf "Als geprüft markieren" auf der Detailseite des Risikos, um die Überprüfung zu bestätigen und den Timer zurückzusetzen.

Kann ich ein archiviertes Risiko wiederherstellen?

Ja. Öffne das archivierte Risiko und wähle Wiederherstellen im Menü, oder verwende die Massenwiederherstellung in der Archivliste. Wiederhergestellte Risiken kehren zum Entwurfsstatus zurück.

Was ist der Unterschied zwischen Archivierung und Löschen?

Die Archivierung bewahrt das Risiko als schreibgeschützten Datensatz für die Prüfungsprotokolle. Das Löschen entfernt es dauerhaft. Sie können Risiken nur aus dem Archiv löschen.