IT-Sicherheit: Risikokalkulation

[jrockenf]

Hallo,

ich habe eine Aufgabe bei der ich mir nicht sicher bin und Hilfe benötige. Es geht um IT-Sicherheit und die Berechnung, dass ein Schadensereigniss in einem IT-System eintritt (z.B. Hackerangriff). NAch dem Bundesamt für Sicherheit in der Informationstechnik (BSI) kann man eine Risikoanalyse erstellen.

Aufgabe:
Als Nächstes bittet Sie der Restaurantbesitzer, das Risiko zu kalkulieren, das aufgrund eines Schadensereignisses das neue Restaurant nicht mehr nutzbar machen würde (Wert des Restaurants beläuft sich auf 5.000.000 €). Kalkulieren Sie das Risiko unter der Annahme, dass ein Schadensereignis mit einer Wahrscheinlichkeit von 10 % eintritt. Kalkulieren Sie darüber hinaus das Risiko, wenn ein weiteres Schadensereignis mit einer Wahrscheinlichkeit von 25 % aufträte und nur 30 % des Restaurants unbenutzbar wäre. Interpretieren Sie die Ergebnisse.

Lösungsansatz:

Die grundsätzliche Formel zur Berechnung des Risikos ist: Risiko = Schaden x Eintrittswahrscheinlichkeit

Im Fall 1 beträgt die Eintrittswahrscheinlichkeit, dass ein Schaden auftritt 10 % und im Fall 2 25 %.

Fall 1:

Risiko = Schaden x Eintrittswahrscheinlichkeit

Den Schaden müsste man anhang von Kategorien einstufen z.B so:
Schadensausmaß:

Niedrig: 10%

Mittel: 30%

Hoch: 50%

Sehr hoch: 70%

Bei einer Eintrittswahrscheinlichkeit von 10% und einer mittleren Schadensausmaß von 30 % beträgt das Risiko (Schaden) = 10 % x 30% x 5.000.000 € = 150.000

Fall 2:

Bei einer Eintrittswahrscheinlichkeit eines Schadensereignisses von 25 % und das nur 30 % des Restaurants unbenutzbar währen, d.h. das Schadensausmaß beträgt 30%, berechnet sich das Risiko (Schaden) = 25% x 30 % x 5.000.000 € = 375.000

Ich bin mir nicht sicher, ob man das genauso berechnen könnte. Bei einer Wahrscheinlichkeit von 10%, dass ein Schadensereigniss auftritt und einem Schadensausmaß von 30 % beträgt dann dass kalkulierte Risiko 150.000, also habe ich ein Risiko dass ich 150.000 € verlust mache.

Kann mir bei dieser Aufgabe jemand helfen?

Viele Grüße

Jan

 

[VDC]

Es geht um IT-Sicherheit und die Berechnung, dass ein Schadensereigniss in einem IT-System eintritt (z.B. Hackerangriff). NAch dem Bundesamt für Sicherheit in der Informationstechnik (BSI) kann man eine Risikoanalyse erstellen.

Das beispiel mit den Werten hat nix mit it-sicherheit zu tun. Die sind gut aus der Luft gegriffen.

Risiko ist nicht der Schaden/verlust, sondern was man als Maß für die Versicherung(sbeiträge) ansetzt. Deine werte sollten funktionieren, die frage ist nur, was du daraus interpretiert.

 

[Krik]

Bei Fall 1 würde ich 100% statt 30% Verlust ansetzen, da in der Aufgabenstellung steht, dass das Restaurant nicht mehr nutzbar ist. Das ist ein Total- und kein Teilausfall.

 

[Shark1705]

Vor allem muss man mal klären, was eigentlich genau gemeint ist. Das Restaurant kann einen Wert von 5.000.000 haben (Gebäude, Einrichtung usw.), aber wichtiger wäre in deinem Fall ja der Ausfall und nicht der Wert des Unternehmens. Wenn ein Restaurant am Tag 100.000 € macht und das Restaurant ist auf Grund eines Angriffs 5 Tage nicht nutzbar, hat man einen Schaden von 500.000 + Wegfall der Kunden die nie wieder kommen, der Wert des Gebäudes ist trotzdem unverändert.

Neben dem Nutzungsausfall kann man jetzt noch überlegen, was der Wert der Daten hat, wenn diese komplett verloren sind.

Ich selber rechne bei Investitionen in die IT einfach immer, was passiert wenn das Unternehmen 1h, 1 Tag usw. steht.

 

[Khorneflakes]

Die Aufgabe ist schlecht gestellt.

Selbst unter der Annahme, dass ein Restaurant signifikante Werte in Form von IT-Assets rumstehen hat UND die bei einem etwaigen Angriff wirklich irreparabel beschädigt werden, was beides schon steile Annahmen sind, ist der Schadenswert ja nicht der Wert des Restaurants.

Der reine Gebäudewert (und Innenausstattung und so weiter) ist doch für einen IT-Vorfall völlig uninteressant. Wenn es wirklich IT gäbe, die bei einem erfolgreichen Angriff und Ausfall dafür sorgen würde, dass der ganze Betrieb steht, dann ist der zu beziffernde Schaden doch der Verdienstausfall und die Kosten der Wiederherstellung. Und ein nicht zu beziffernder Teil wäre sowas wie Imageschaden.

Und auf welchen Zeitraum beziehen sich die Eintrittswahrscheinlichkeiten?

Risikomanagement ist übrigens in ISO 31000 standardisiert. Da werden auch Risikoeinschätzungen und Schäden betrachtet. Ich kenne die Regeln nicht auswendig. Viel Spaß bei der Lektüre. Deine Beispiele für diese alle doch sehr hoch zu sein scheinenden Eintrittswahrscheinlichkeiten würden vermutlich dazu führen, dass niemand guten Gewissens diese Risiken tragen könnte.

 

[Markchen]

https://www.computerbase.de/forum/threads/fragen-hausaufgaben-co.1767679/