ISO 27005 ist die Norm für das Informationssicherheits-Risikomanagement und ein zentraler Baustein von ISO 27001 und ISMS. Dieser Leitfaden zeigt Ihnen konkret und praxisnah, wie Sie Risiken identifizieren, analysieren und behandeln.
Das erhalten Sie im Leitfaden
- Eine Schritt-für-Schritt-Methode von Rahmen und Risikobeurteilung bis zu Risikobehandlung und Überwachung
- Fünfstufige Skalen zur Bewertung von Auswirkung und Eintrittswahrscheinlichkeit
- Einen Bedrohungskatalog und Skalen zur Bewertung des Reifegrads Ihrer Maßnahmen
- Eine Methode, um einen Risikofaktor zu berechnen und ein Gesamtrisikobild zu erstellen
- Ein Begriffsschema zur Bewertung geschäftlicher Auswirkungen
Für wen ist der Leitfaden gedacht
Der Leitfaden richtet sich an alle, die mit ISO 27001, einem ISMS oder Compliance arbeiten und einen strukturierten Ansatz für das Risikomanagement benötigen, zum Beispiel im Zusammenhang mit NIS2 oder der DSGVO.
Was ist ISO 27005?
ISO 27005 ist eine internationale Norm mit Leitlinien für das Informationssicherheits-Risikomanagement. ISO 27001 verlangt, dass die Informationssicherheit auf einer Bewertung der tatsächlichen Risiken der Organisation beruht, beschreibt aber nicht im Detail, wie diese Bewertung durchzuführen ist. Diese Anleitung liefert ISO 27005.
Die Norm enthält keine Anforderungen, eine Zertifizierung nach ISO 27005 ist daher nicht möglich. Die aktuelle Fassung stammt aus dem Jahr 2022.
Der Risikomanagementprozess nach ISO 27005
Der Prozess besteht aus mehreren Schritten, die regelmäßig wiederholt werden:
- Rahmen festlegen. Geltungsbereich abgrenzen, Verantwortlichkeiten zuweisen, Methode für die Risikobeurteilung wählen und Kriterien festlegen, ab wann ein Risiko akzeptabel ist.
- Risiken beurteilen. Assets, Schwachstellen, Bedrohungen und bestehende Maßnahmen identifizieren. Eintrittswahrscheinlichkeit und Auswirkung analysieren und das Risikoniveau anhand Ihrer Kriterien bewerten, um Prioritäten zu setzen.
- Risiken behandeln. Für jedes Risiko entscheiden, wie damit umgegangen wird (siehe Tabelle unten).
- Restrisiko akzeptieren. Die Geschäftsleitung genehmigt den Risikobehandlungsplan und akzeptiert bewusst das verbleibende Risiko.
- Kommunizieren und überwachen. Die relevanten Personen einbinden, die Wirksamkeit der Maßnahmen überprüfen und die Beurteilung regelmäßig wiederholen.
Vier Optionen der Risikobehandlung
|
Strategie |
Bedeutung |
|
Reduzieren |
Präventive Maßnahmen einführen, die die Eintrittswahrscheinlichkeit senken, oder korrektive Maßnahmen, die die Auswirkung begrenzen |
|
Akzeptieren |
Das Risiko tragen, weil sich Maßnahmen nicht lohnen und das Risiko innerhalb Ihres Risikoappetits liegt |
|
Vermeiden |
Die Aktivität einstellen, die das Risiko verursacht, z. B. die Nutzung eines unsicheren Systems |
|
Teilen |
Das Risiko über Versicherungen oder Lieferantenverträge mit anderen teilen. Die Gesamtverantwortung bleibt bei Ihnen |
So hängen ISO 27005 und ISO 27001 zusammen
ISO 27005 unterstützt die Anforderungen der ISO 27001 mit Leitlinien zur Risikobeurteilung, Methoden zur Auswahl der Risikobehandlung, Ansätzen für die laufende Überwachung und einem Rahmen für die Risikokommunikation. Das Ergebnis Ihrer Risikobehandlung fließt direkt in Ihre Erklärung zur Anwendbarkeit (Statement of Applicability) ein, in der Sie die Auswahl Ihrer Maßnahmen begründen.
In NorthGRC basiert die Risikobeurteilung auf Ihren erfassten Assets und einem Bedrohungskatalog. Das Risiko wird aus Auswirkung und Eintrittswahrscheinlichkeit für Vertraulichkeit, Integrität und Verfügbarkeit berechnet, und jede Bewertung kann begründet werden, sodass die Entscheidungsgrundlage für Auditoren und Geschäftsleitung dokumentiert ist.