Maßnahmen

Die Maßnahmen der BSI-Checklisten sind in dieser Übersicht kategorisiert gelistet. Über die Dreieckssymbole⁽¹⁾ bzw. über die Schaltflächen + und - ⁽²⁾ kann die Ansicht auf- und zugeklappt werden. Zusätzlich wird Ihnen der Status der Maßnahme angezeigt.

Abbildung: Maßnahmen Übersicht

Einzelansicht Maßnahmen

Im Bearbeitungsmodus empfehlen wir im Feld der Umsetzung (Ist)⁽²⁾ eine Beschreibung zu hinterlegen. Bitte denken Sie an die Vergabe der Zuständigkeit⁽³⁾. Für die Auswahl des Refegrads⁽⁴⁾ steht Ihn die Einstufung nicht relevant, nicht umgesetzt, teilweise umgesetzt und vollständig umgesetzt zur Verfügung. Über die Schaltfläche Risiko anlegen ...⁽⁵⁾ können Sie ein noch nicht in ForumNSR angelegtes Risiko neu anlegen. Die getroffene bzw. bestehende Auswahl von Risiken kann über die Schaltfläche Auswahl bearbeiten⁽⁶⁾ geändert werden. Sie können weitere Objekte zuordnen oder über das Symbol 

Abbildung: Einzelansicht einer Maßnahme

Wird der Reifegrad mit teilweise umgesetzt oder nicht umgesetzt eingestuft, wird zusätzlich die Zeile Abweichung für eine Beschreibung für die Abweichung eingeblendet.

Weitere Informationen zum Reifegrad finden Sie im Kapitel Reifegrad.

Das Feld URL (1) verweist Sie in der Anwendung ForumNSR auf einen Link der Maßnahme (Bundesamt für Sicherheit in der Informationstechnik (BSI)), um die Aktualität der Maßnahme in Ihrer Anwendung zu wahren.

Eine bereits in ForumNSR erfasste Umsetzung kann über das Symbol 

Bevor die erfasst Umsetzung entfernt wird, müssen Sie den Löschvorgang bestätigen.

Abbildung: Bestätigung der Löschung von einer Umsetzung

Eine neue Umsetzung erfassen Sie über die Schaltfläche Umsetzung erfassen ....

Abbildung: Umsetzung neu erfassen

Zu Abschluss kann die Bearbeitung beendet werden und durch die Schaltfläche Speichern und Schließen beendet werden.

Hinweis auf fehlenden Umsetzungsstand

Es wird nun für Prüfungsfragen bzw. Maßnahmen ein Hinweis angezeigt, sofern das übergeordnete Kapitel bzw. der übergeordnete Baustein als relevant markiert ist und noch kein Umsetzungsstand dokumentiert wurde.

Abbildung: Hinweis auf fehlenden Reifegrad

Risiken

Allgemein

Sofern sich zwischen Sollanforderung und der tatsächlichen Umsetzung eine Abweichung ergibt, sind diese einer Risikoanalyse zu unterziehen. Über die Schaltfläche Risiko anlegen...können Sie ein neues Risiko anlegen bzw. im Bearbeitungsmodus ein bereits angelegtes Risiko über die Schaltfläche Risiken duplizieren⁽³⁾ auswählen oder über die Schaltfläche Auswahl bearbeiten⁽²⁾ ein bereits hinzugefügtes Risiko über das Mülleimersymbol entsorgen.

Abbildung: Anlegen eines Risikos

Bitte geben Sie dem Risiko eine aussagekräftige Bezeichnung⁽¹⁾, um eine weitere Bearbeitung in ForumNSR zu erleichtern. Die Herkunft⁽²⁾ wird bei der Bearbeitung aus einer Prüfungsfrage bereits vorgegeben. Bitte vergessen Sie nicht eine Verantwortung⁽³⁾ zu hinterlegen und gegebenenfalls Bedrohungen⁽⁴⁾ zu zuordnen.

Abbildung: Ansicht Allgemein am Risiko (Beispiel aus dem SOIT)

Für die Auswahl von Bedrohungen steht in der Maske über die Schaltfläche Aus Liste wählen...⁽⁵⁾ ein Auswahldialog zur Verfügung.

Abbildung: Auswahldialog Bedrohungen

Bewertung

Analog zur Methodik des ISMS sind hier eine Schwachstellen- und Bedrohungsanalyse durchzuführen und Eintrittswahrscheinlichkeit und Schadenspotential  des Abweichungsrisikos zu bewerten. Der Umgang mit dem Risiko bzw. Restrisiko (nach Maßnahmen) ist zu dokumentieren. Ist die Bedrohungs- und Schwachstelleneinstufung getroffen, können Sie über die Schaltflächeberechnen⁽¹⁾ die Eintrittswahrscheinlichkeit⁽²⁾ berechnen lassen. Bitte hinterlegen Sie eine entsprechende Begründung⁽³⁾ für Ihre Entscheidung.

Sollten Änderungen an der Schwachstellen- bzw. Bedrohungseinstufungen vorgenommen werden, müssen eventuell hinterlegte Begründungen ebenfalls geändert werden.

Abbildung: Bewertung eines Risikos

Die Berechnung der Eintrittswahrscheinlichkeit erfolgt gemäß der nachfolgend abgebildeten Matrix aus Bedrohungs- und Schwachstelleneinstufung.

Abbildung: Matrix Eintrittswahrscheinlichkeit

Bei der Risikobewertung wird bei der Berechnung der Eintrittswahrscheinlichkeit aus Bedrohungs- und Schwachstelleneinstufung eine entsprechende Bemerkung hinterlegt.

Ist die Eintrittswahrscheinlichkeit berechnet und das Schadenspotenzial gewählt, wird automatisch vom System die Risikoklasse und Risikokategorie bestimmt.

Für die Einstufungen des Schadenpotentials bei Risikobewertungen stehen folgende Einstufung gemäß dem Standard für die Ordnungsmäßigkeit der IT-Verfahren (SOIT) zur Verfügung:

    1 - niedrig (Die Schadenswirkung ist minimal)

    2 - mittel (Die Schadenswirkung ist gering)

    3 - hoch (Die Schadenswirkung ist beträchtlich)

    4 - sehr hoch (Die Schadenswirkung ist geschäftskritisch)

Abbildung: Beispiel für ein bearbeitetes Risiko

Kopierfunktion von Risiken

Über die Schaltfläche Duplizeiren kann eine Kopie eines bereits bestehenden Risikos angelegt werden werden.

Abbildung: Anischt Risikobewertung

Sofern ein Risiko gewählt wurde, wird die Kopie gleich im Bearbeiten-Modus für die weitere Bearbeitung geöffnet.

Maßnahme am Risiko

Im Reiter Bewertung können Sie Risiken durch Maßnahmen⁽¹⁾ durch das Betätigen der Schaltfläche Maßnahme anlegen ...minimieren. Bitte geben Sie eine aussagekräftige Bezeichnung für die Maßnahme⁽²⁾ an, um die weitere Bearbeitung bzw. das Auffinden des Dokuments zu erleichtern. Bitte denken Sie an die Vergabe der Verantwortung⁽³⁾ und die Einstufung des Status⁽⁴⁾. Das Risiko ist bereits übernommen und weitere Risiken können hinzugefügt werden⁽⁵⁾. Über die Schaltfläche Auswahl bearbeiten⁽⁶⁾ können Sie die Auswahl bearbeiten bzw. über das Symbol des Mülleimers löschen. Über die Dropdown-Listen kann die Auswahl zur Risikoreduktion und den zu erwartenden Kosten⁽⁷⁾ getroffen werden, auch hier kann eine Begründung optional hinterlegt werden

Abbildung: Anlegen einer Maßnahme

Einer Maßnahme sollte für die spätere Bearbeitung eine Verantwortung zugeordnet werden.

Status 

Jede Änderung am Objekt kann verschiedene Status-Zustände annehmen. Für den Status der Bearbeitung stehen Ihnen folgende Staus zur Verfügung:

Freigabe

Die neue Maßnahme können Sie zum Abschluss freigeben und es wird automatisch eine Wiedervorlage erstellt. Im Menüpunkt Risikomanagement bekommen Sie in der Übersicht der Maßnahmen zur Risikobehandlung alle in ForumNSR angelegten Maßnahmen angezeigt.

Abbildung: Freigabe der Maßnahme

Gesperrte Überarbeitung nach Freigabe

Ist das übergeordnete Objekt freigegeben, kann eine Änderungen erst durchgeführt werden, wenn das übergeordnete Objekt überarbeitet wird.

Abbildung: Gesperrte Überarbeitung nach Freigabe