Wahrscheinlichkeit gegen Schadensausmaß, schriftlich und mit Verantwortlichen
Wir bewerten die Risiken für Ihre Infrastruktur, Ihr Netzwerk und Ihre Anwendungen, ordnen sie verständlich ein und helfen Ihnen zu entscheiden, was Sie behandeln, übertragen oder tragen.
Überblick
Was Ihnen eine Risikobewertung bringt
Jede Sicherheitsentscheidung ist eine Wette auf zwei Dinge: wie wahrscheinlich etwas eintritt und wie schwer es wiegt, wenn es eintritt. Eine Risikobewertung macht diese Wette ausdrücklich, damit das Budget zu den Risiken geht, die zählen, und nicht zu den lautesten.
Wir ermitteln, was Sie schützen müssen, was es bedroht und welche Schwachstellen die Bedrohung real machen. Jedes Risiko erhält eine Wahrscheinlichkeit, ein Schadensausmaß, einen Verantwortlichen und eine Entscheidung. Die Methode folgt anerkannten Leitfäden wie ISO/IEC 27005 und NIST SP 800-30, angepasst an Ihre Größe.
Das Ergebnis ist ein Risikoregister, das Ihre Leute pflegen können, keine Heatmap, die auf einer Folie verblasst. Es dient zugleich den Vorgaben, die einen risikobasierten Ansatz verlangen, etwa ISO/IEC 27001, NIS2 und DORA.
Für wen es gedacht ist
Organisationen, die eine dokumentierte Risikobewertung für ISO/IEC 27001, NIS2, DORA, einen Kunden oder einen Versicherer brauchen, und Teams, die entscheiden müssen, wohin das nächste Sicherheitsbudget fließt. Auch sinnvoll vor größeren Veränderungen: einer Migration, einem neuen Produkt oder einem neuen Lieferanten.
Die Arbeit, von der Abgrenzung des Umfangs bis zu den Nachweisen.
Was wir tun
Werte und Kontext
Die Systeme, Daten, Prozesse und Lieferanten, die zählen, wem sie gehören und was das Geschäft von ihnen braucht.
Infrastruktur und Netzwerk
Risiken in Netzwerkarchitektur, Servern, Endgeräten, Cloud-Diensten und Fernzugriff, bewertet anhand von Architektur und Konfiguration.
Anwendungsrisiken
Risiken in den Anwendungen, die Sie entwickeln oder nutzen: Authentifizierung, Datenverarbeitung, Schnittstellen und Bereitstellung.
Bedrohungen und Schwachstellen
Realistische Bedrohungsszenarien, abgeglichen mit den gefundenen Schwachstellen, einschließlich Ergebnissen bereits vorhandener Tests.
Risikoregister
Jedes Risiko mit Wahrscheinlichkeit, Schadensausmaß, Verantwortlichem, bestehenden Maßnahmen und Restrisiko, in einem Format, das Sie aktuell halten können.
Behandlungsoptionen
Für jedes Risiko eine Empfehlung, es zu mindern, zu vermeiden, zu übertragen oder zu tragen, mit den nötigen Maßnahmen und dem Aufwand.
So läuft der Auftrag ab
Auftakt
Wir vereinbaren Geltungsbereich, Risikokriterien und Beteiligte und unterzeichnen auf Wunsch vorab eine Vertraulichkeitsvereinbarung.
Angebot
Ein Angebot mit Methode, Geltungsbereich und der Vertragsform, die zu Ihnen passt.
Erhebung
Workshops mit Verantwortlichen, Prüfung von Dokumenten und Architektur sowie technische Prüfungen, wo der Umfang es verlangt.
Analyse
Risiken nach Wahrscheinlichkeit und Schadensausmaß bewertet, mit Ihren Risikokriterien verglichen und gereiht.
Übergabe der Ergebnisse
Das Register, ein Managementbericht für die Leitung und ein technischer Bericht für die Teams, die die Risiken behandeln.
Abschluss
Projektabschluss mit Feedback und auf Wunsch Beratung, während Sie den Behandlungsplan abarbeiten.
Was Sie erhalten
- Methode der Risikobewertung und Kriterien für die Risikoakzeptanz
- Werteverzeichnis für den bewerteten Bereich
- Risikoregister mit Verantwortlichen und Bewertungen
- Risikobehandlungsplan mit empfohlenen Maßnahmen
- Managementbericht für die Leitung
- Technischer Bericht für die umsetzenden Teams
Fragen
Ist eine Risikobewertung dasselbe wie ein Penetrationstest?
Nein. Ein Penetrationstest zeigt, wie sich bestimmte Schwachstellen ausnutzen lassen. Eine Risikobewertung betrachtet den gesamten Bereich und fragt, welche Risiken am meisten zählen. Testergebnisse sind gute Eingaben für eine Risikobewertung, und die Risikobewertung zeigt, wo sich Tests lohnen.
Welche Methode verwenden Sie?
Eine, die zu Ihrer Größe und zu den Normen passt, nach denen Sie berichten, üblicherweise in Anlehnung an ISO/IEC 27005 oder NIST SP 800-30. Haben Sie bereits eine Methode, arbeiten wir damit.
Dürfen wir ein Risiko tragen, statt es zu beheben?
Ja, wenn es innerhalb Ihrer Akzeptanzkriterien liegt und der Verantwortliche es freigibt. Ein Risiko zu tragen ist eine legitime Entscheidung. Es zu vergessen nicht.
Wie oft sollte sie wiederholt werden?
In geplanten Abständen und bei jeder wesentlichen Änderung. ISO/IEC 27001 zum Beispiel erwartet beides. Wir helfen Ihnen, einen Rhythmus festzulegen, der zu Ihrem Veränderungstempo passt.
Verwandte Leistungen
- Compliance und ZertifizierungISO/IEC 27001ISO/IEC 27001 mit Black Fox Security: ISMS-Geltungsbereich, Risikobeurteilung, Erklärung zur Anwendbarkeit, internes Audit und Vorbereitung auf die Zertifizierung.
- Governance und RisikoInformationssicherheits-AuditUnabhängige Audits der Informationssicherheit von Black Fox Security nach ISO/IEC 27001, 27002, DSGVO, PCI DSS, Ihren Richtlinien oder einem Kundenfragebogen.
- Offensive SicherheitPenetrationstestsPenetrationstests von Black Fox Security: Black-, Grey- und White-Box-Tests im vereinbarten Umfang, Management- und Technikbericht sowie Nachtest Ihrer Korrekturen.
- Governance und RisikoLieferantenrisikomanagementLieferantenrisikomanagement mit Black Fox Security: Inventar, Einstufung, Fragebögen, Prüfung von Nachweisen und Vertragsklauseln, ausgerichtet an NIS2 und DORA.
Ihre Risiken auf einer Seite
Erzählen Sie uns, was Sie betreiben und was Ihnen Sorgen macht. Wir helfen Ihnen, es zu gewichten.