diamond_fulldiamonddiamond_halfdiamond_eurosearch-iconmenuchat-iconclose-iconenvelope-iconsmartphone-call-icon

Prüfung

Bedrohungs- und Risikoanalyse

Der hohe Stellenwert der Informationstechnologien im Unternehmen fordert eine umfassende Identifizierung und Bewertung der damit verbundenen Sicherheitsrisiken. Einen elementaren Bestandteil des IT-Risikomanagements bilden hierbei sogenannte Bedrohungs- und Risikoanalysen. Auf Basis langjähriger Praxiserfahrung unterstützt Sie unser Unternehmen bei der auf Ihre Anforderungen zugeschnittenen Umsetzung solcher Analysen. Die Realisierung einer Bedrohungs- und Risikoanalyse erfolgt hierbei üblicherweise konform zu ISO/IEC 27005. Wenn sich das Untersuchungsobjekt im Kontext eines Fahrzeugs befindet, richtet sich unser Ansatz nach den Anforderungen der sogenannten TARA (Threat Analyses and Risk Assessment), die in der ISO 21434 definiert ist.

placeholder for background/covered-door.jpg

Ziel

Bewertung des Risikos für IT-Umgebungen oder einzelner Komponenten basierend auf definierten und erarbeiteten Bedrohungsszenarien


Fragestellung

Welche Sicherheitsrisiken, ausgehend von Bedrohungsszenarien, existieren für eine IT-Umgebung oder einzelne Komponenten?


Scope

IT-Umgebungen oder einzelne Komponenten

Bedrohungsanalyse

Die Bedrohungsanalyse ist ein strukturierter Ansatz zur Identifikation und Evaluation von möglichen IT-/ OT-basierten Bedrohungen bezogen auf eine IT-Umgebung, ein IT-System oder eine Anwendung. Im Rahmen eines IT-Sicherheitsassessments ermöglicht die Bedrohungsanalyse einem Prüfer relevante Bedrohungs- und Angriffsszenarien für nachgelagerte Prüfungen zu identifizieren. Des Weiteren stellt die Bedrohungsanalyse die Grundlage für eine fundierte Risikoanalyse dar.

Dadurch bildet der bewährte Ansatz der Bedrohungsanalyse die Basis für weitere (technische) Assessments und Analysen und erreicht eine hohe Abdeckung der real existierenden Bedrohungslandschaft.

Die Bedrohungsanalyse besteht dabei aus folgenden Bestandteilen:

  • Workshop, Interviews und/oder Analyse bereitgestellter Dokumente
    • Erfassung des Kontexts
    • Erfassung der Assets (z.B. schützenswerte Informationen oder Prozesse)
  • Identifikation und Analyse von spezifischen Bedrohungs- und Angriffsszenarien
  • Definition der nächsten Schritte
  • Dokumentation und Vorstellung der Ergebnisse

Die Bedrohungsanalyse basiert auf verschiedenen Methoden und Standards:

  • IT-Risikomanagement nach ISO / IEC 27005
  • TARA nach ISO / SAE 21434
  • STRIDE Threat Model
  • OWASP Threat Modeling

Die Ergebnisse sind die Grundlage für die nachfolgende Risikoanalyse und bieten ein Basisset an relevanten Bedrohungs- und Angriffsszenarien für die Durchführung von Sicherheitsassessments (z.B Penetrationstests).

Risikoanalyse

Im Rahmen der Risikoanalyse werden auf Basis der zuvor definierten Bedrohungsszenarien konkrete Risiken für eine IT-Umgebung, ein IT-System oder eine Anwendung bewertet. Die Norm ISO/IEC 27005, als Teil der ISO 2700X-Familie, beschreibt den dazu notwendigen Prozess in Form des IT-Risikomanagements.

Die Risikoanalyse besteht dabei aus folgenden Bestandteilen:

  • Workshop, Interviews und/oder Analyse bereitgestellter Dokumente
    • Erfassung vorhandener Security Controls
    • Erfassung grundlegender Informationen aus dem IT-Risikomanagement und dem Informationssicherheitsmanagementsystem (ISMS) des Auftraggebers
  • Identifikation und Bewertung von Risiken hinsichtlich:
    • Möglicher Business Impact
    • Analyse von Angriffspfaden
    • Bewertung der Durchführbarkeit von Angriffen
    • Bestimmung des Risikowertes
  • Risikobehandlung und -priorisierung
    • Beschreibung und Zuordnung konkreter Maßnahmen
  • Dokumentation und Vorstellung der Ergebnisse

Als Ergebnis erhalten Sie eine Aufstellung der identifizierten Sicherheitsrisiken zusammen mit einer fundierten Risikobewertung und Empfehlung möglicher technischer oder organisatorischer Maßnahmen.

Wie dürfen wir Ihnen helfen?

Rufen Sie uns an oder finden Sie Ihren Ansprechpartner

Kostenfreies Erstgespräch