Prüfungsfragen

Die Prüfungsfragen des Leitfaden Ordnungsmäßigkeit (LFO) (ehemals SOIT) sind in dieser Übersicht kategorisiert gelistet. Über die Dreieckssymbole⁽¹⁾ bzw. über die Schaltflächen + und - ⁽²⁾ kann die Ansicht auf- und zugeklappt werden. Den Status der Umsetzung bekommen Sie ebenfalls in der Übersicht angezeigt.

Abbildung: Prüfungsfragen Übersicht

Einzelansicht Prüfungsfragen

Unter der Bezeichnung werden die Nutzer aufgelistet, die (ggf. durch Vererbung) für das Objekt verantwortlich sind. Um alle Nutzer einzusehen, klicken Sie auf das Dreieckssymbol⁽¹⁾. Soll die Verantwortung entsprechend anders vergeben werden, kann dies durch die Auswahl im Feld Umsetzungsverantwortliche(2)  geschehen. Im Bearbeitungsmodus empfehlen wir im Feld der Umsetzung (Ist)⁽³⁾ eine Beschreibung zu hinterlegen. Für die Auswahl des Reifegrads⁽⁴⁾ steht Ihn die Einstufung nicht relevant, nicht umgesetzt, teilweise umgesetzt und vollständig umgesetzt zur Verfügung. Über die Schaltfläche Risiko anlegen ...⁽⁵⁾ können Sie ein noch nicht in ForumNSR angelegtes Risiko neu anlegen. Die getroffene bzw. bestehende Auswahl von Risiken kann über die Schaltfläche Auswahl bearbeiten⁽⁶⁾ geändert werden. Sie können weitere Objekte zuordnen oder über das Symbol  löschen.

Abbildung: Einzelansicht Prüfungsfragen

Weitere Informationen zum Reifegrad finden Sie im Kapitel Reifegrad .

Bedrohungen an Sollhinweisen

An Prüfungsaufgaben oder Sicherheitsmaßnahmen (etc.) können nun im Bearbeitungsmodus Bedrohungen hinterlegt werden.

Abbildung: Bedrohungen an Sollhinweisen

Anzeige von GAP-Risiken aus ForumISM

Werden an Schutzobjekten in ForumISM Risiken für nicht vollständig umgesetzte Sollhinweise von Sollmaßnahmen aus Standrads angelegt, werden diese als GAP Risiko bezeichnet und im betreffenden Sollhinweis aufgeführt.

Abbildung: GAP-Risiken an Sollhinweisen

Sonderansicht Sollmaßnahmen Banken Sollmaßnahmenkatalog (BaSo)

An den Sollmaßnahmen des BaSo können zusätzlich die von der jeweiligen Maßnahme betroffenen Schutzziele sowie die möglichen Auswirkungen auf das jeweilige Schutzziel in einer Klassifizierung hinterlegt werden. Diese Einstufungen stehen Ihnen direkt über die Vorschläge zur Verfügung.

Abbildung: Schutzziele an den Sollmaßnahmen

Außerdem stehen verschiedene vertiefende Informationen zu den einzelnen Maßnahmen bereit. So wird auch darauf hingewiesen, in welchem Kontext die Maßnahme für BAIT, MaRisk und auch DORA relevant wird. Auch die Zuordnung zu den Konzepten der Cybersicherheit, den Sicherheitsdomänen sowie den IKT-Asset- und IKT-Dienstleister-Clustern ist bereits hinterlegt.

Sonderansicht Maßnahmen im BSI IT-Grundschutz-Kompendium

Im Bearbeitungsmodus empfehlen wir im Feld der Umsetzung (Ist)⁽²⁾ eine Beschreibung zu hinterlegen. Bitte denken Sie an die Vergabe der Zuständigkeit⁽³⁾. Für die Auswahl des Refegrads⁽⁴⁾ steht Ihn die Einstufung nicht relevant, nicht umgesetzt, teilweise umgesetzt und vollständig umgesetzt zur Verfügung. Über die Schaltfläche Risiko anlegen ...⁽⁵⁾ können Sie ein noch nicht in ForumNSR angelegtes Risiko neu anlegen. Die getroffene bzw. bestehende Auswahl von Risiken kann über die Schaltfläche Auswahl bearbeiten⁽⁶⁾ geändert werden. Sie können weitere Objekte zuordnen oder über das Symbol  löschen.

Abbildung: Einzelansicht einer Maßnahme

Umsetzung (IST) entfernen

Eine bereits in ForumNSR erfasste Umsetzung kann im Bearbeitungsmodus über das Symbol  entfernt werden.

Abbildung: Löschen einer Umsetzung

Bevor die erfasst Umsetzung entfernt wird, müssen Sie den Löschvorgang bestätigen.

Abbildung: Bestätigung der Löschung von einer Umsetzung

Eine neue Umsetzung erfassen Sie über die Schaltfläche Umsetzung erfassen ....

Abbildung: Umsetzung neu erfassen

Hinweis auf fehlenden Umsetzungsstand

Es wird nun für Prüfungsfragen bzw. Maßnahmen ein Hinweis angezeigt, sofern das übergeordnete Kapitel bzw. der übergeordnete Baustein als relevant markiert ist und noch kein Umsetzungsstand dokumentiert wurde.

Abbildung: Hinweis auf fehlenden Reifegrad

Verantwortung aus Kapitel übernehmen

Im Bearbeitungsmodus einer Prüfungsfrage besteht über die Schaltfläche Verantwortung aus Kapitel übernehmen die Möglichkeit, eine bereits gesetzte Verantwortung aus dem übergeordneten Objekt zu übernehmen.

Abbildung: Verantwortung aus Kapitel übernehmen

Referenz auf andere Maßnahmen

Maßnahmen mit Referenzen auf andere Maßnahmen sind nicht bearbeitbar. Hauptsächlich wird Ihnen dies im Bankindividuellen Sollmaßnahmenkatalog (BASI) begegnen. In den Clustern 01 bis Cluster 13 wird an den betreffenden Maßnahmen im Feld Inhalt mit Bewertung erfolgt in übergeordnetem Cluster "Organisation" angezeigt und eine weitere Bearbeitung ist in diesen Fällen nicht möglich.

Abbildung: Einzelansicht einer unbearbeitbaren Maßnahme

Sie haben keine Schaltfläche für die Bearbeitung und erhalten den Hinweis:

Risiken

Allgemein

Sofern sich zwischen Sollanforderung und der tatsächlichen Umsetzung eine Abweichung ergibt, sind diese einer Risikoanalyse zu unterziehen.
Über die Schaltfläche Risiko anlegen... können Sie ein neues Risiko anlegen bzw. im Bearbeitungsmodus ein bereits angelegtes Risiko über die Schaltfläche Risiken duplizieren⁽³⁾ auswählen oder über die Schaltfläche Auswahl bearbeiten⁽²⁾ ein bereits hinzugefügtes Risiko über das Mülleimersymbol entsorgen.

Abbildung: Anlegen eines Risikos

Bitte geben Sie dem Risiko eine aussagekräftige Bezeichnung⁽¹⁾, um eine weitere Bearbeitung in ForumNSR zu erleichtern.
Die Herkunft⁽²⁾ wird bei der Bearbeitung aus einer Prüfungsfrage bereits vorgegeben. Bitte vergessen Sie nicht eine

⁽³⁾ zu hinterlegen und gegebenenfalls

⁽⁴⁾ zu zuordnen.
Erfassen Sie eine Beschreibung⁽⁵⁾ und vergeben Sie gemäß Ihren internen Anforderungen z.B. analog ForumISM eine Risiko-Nr sowie einen Sortierschlüssel⁽⁶⁾.  
Die Risiko-Nr. und der Sortierschlüssel werden in den Risikoreports in ForumISM berücksichtigt.

Abbildung: Ansicht Allgemein am Risiko (Beispiel aus dem LFO)

Für die Auswahl von Bedrohungen steht in der Maske über die Schaltfläche Aus Liste wählen...⁽⁵⁾ ein Auswahldialog zur Verfügung.

Abbildung: Auswahldialog Bedrohungen

Bewertung

Analog zur Methodik des ISMS sind hier eine Schwachstellen- und Bedrohungsanalyse durchzuführen und Eintrittswahrscheinlichkeit und Schadenspotential  des Abweichungsrisikos zu bewerten.
Der Umgang mit dem Risiko bzw. Restrisiko (nach Maßnahmen) ist zu dokumentieren. Ist die Bedrohungs- und Schwachstelleneinstufung getroffen, können Sie über die Schaltfläche Berechnen⁽¹⁾ die Eintrittswahrscheinlichkeit⁽²⁾ berechnen lassen.
Bitte hinterlegen Sie eine entsprechende Begründung (3) für Ihre Entscheidung.

Abbildung: Bewertung eines Risikos

Die Berechnung der Eintrittswahrscheinlichkeit erfolgt gemäß der nachfolgend abgebildeten Matrix aus Bedrohungs- und Schwachstelleneinstufung.

Abbildung: Matrix Eintrittswahrscheinlichkeit

Für die Einstufungen des Schadenpotentials bei Risikobewertungen stehen folgende Einstufung gemäß dem Standard für die Ordnungsmäßigkeit der IT-Verfahren (SOIT) zur Verfügung:

    1 - niedrig (Die Schadenswirkung ist minimal)

    2 - mittel (Die Schadenswirkung ist gering)

    3 - hoch (Die Schadenswirkung ist beträchtlich)

    4 - sehr hoch (Die Schadenswirkung ist geschäftskritisch)

Abbildung: Beispiel für ein bearbeitetes Risiko

Umgang mit dem Risiko / Restrisiko

Wurde eine Bewertung des Risikos durchgeführt, bestehen verschiedene Option im Umgang mit dem Risiko. Diese Auswahl hat einen Einfluss auf die Bewertung das Restrisikos. 

Auch für das verbleibende Restrisiko kann eine Handlungsempfehlung ausgesprochen werden, wenn sich beispielsweise zu einem Risiko keine (wirtschaftlich / organisatorisch) sinnvollen Maßnahmen zur Minimierung festlegen lassen oder das Restrisiko trotz getroffener Maßnahmen noch sehr hoch ist.

Abbildung: Umgang mit dem Risiko

Kopierfunktion von Risiken

Über die Schaltfläche Duplizieren kann eine Kopie eines bereits bestehenden Risikos angelegt werden werden.

Abbildung: Anischt Risikobewertung

Maßnahme am Risiko

Im Reiter Bewertung können Sie Risiken durch Maßnahmen⁽¹⁾ durch das Betätigen der Schaltfläche Maßnahme anlegen ...minimieren. Bitte geben Sie eine aussagekräftige Bezeichnung für die Maßnahme⁽²⁾ an, um die weitere Bearbeitung bzw. das Auffinden des Dokuments zu erleichtern. Bitte denken Sie an die Vergabe der Verantwortung⁽³⁾ und die Einstufung des Status⁽⁴⁾. Das Risiko ist bereits übernommen und weitere Risiken können hinzugefügt werden⁽⁵⁾. Über die Schaltfläche Auswahl bearbeiten⁽⁶⁾ können Sie die Auswahl bearbeiten bzw. über das Symbol des Mülleimers löschen. Über die Dropdown-Listen kann die Auswahl zur Risikoreduktion und den zu erwartenden Kosten⁽⁷⁾ getroffen werden, auch hier kann eine Begründung optional hinterlegt werden

Abbildung: Anlegen einer Maßnahme

Status 

Jede Änderung am Objekt kann verschiedene Status-Zustände annehmen. Für den Status der Bearbeitung stehen Ihnen folgende Staus zur Verfügung:

Freigabe

Die neue Maßnahme können Sie zum Abschluss freigeben und es wird automatisch eine Wiedervorlage erstellt. Im Menüpunkt Risikomanagement bekommen Sie in der Übersicht der Maßnahmen zur Risikobehandlung alle in ForumNSR angelegten Maßnahmen angezeigt.

Abbildung: Freigabe der Maßnahme