27005-06 Risikobewertung

Für: V, IA
Quelle: ISO/IEC 27005:2018(en), Englisch. 8.4

Input: eine Liste von Risiken mit zugeordneten Wertniveaus und die Bewertungskriterien. Die Handlung: das Risikoniveau sollte mit den Bewertungskriterien und den Akzeptanzkriterien verglichen werden.

Die Art der Entscheidungen und die Kriterien, mit denen sie getroffen werden, werden beim Festlegen des Kontexts entschieden. Diese Entscheidungen und der Kontext sollten in diesem Stadium genauer erneut betrachtet werden, wenn mehr über die ermittelten Risiken bekannt ist. Um Risiken zu bewerten, sollten Organisationen die geschätzten Risiken, mit den gewählten Methoden oder Ansätzen aus Anhang E, mit den Bewertungskriterien aus dem Kontext vergleichen.

Die Kriterien sollten mit dem festgelegten externen und internen Kontext übereinstimmen und die Ziele der Organisation sowie die Sicht der Beteiligten berücksichtigen. Entscheidungen in dieser Tätigkeit beruhen hauptsächlich auf dem annehmbaren Risikoniveau. Folgen, Wahrscheinlichkeit und der Grad des Vertrauens in Identifikation und Analyse sollten ebenfalls berücksichtigt werden. Die Zusammenfassung mehrerer niedriger oder mittlerer Risiken kann zu deutlich höheren Gesamtrisiken führen und sollte entsprechend behandelt werden.

Die Überlegungen sollten einschließen: Informationssicherheitseigenschaften, wenn ein Kriterium für die Organisation nicht relevant ist, zum Beispiel Verlust der Vertraulichkeit, dann sind vielleicht alle Risiken, die dieses Kriterium treffen, nicht relevant; die Bedeutung des Geschäftsprozesses oder der Tätigkeit, die ein Wert oder eine Menge von Werten unterstützt, wenn der Prozess als wenig wichtig bestimmt ist, sollten zugehörige Risiken geringer gewichtet werden als Risiken, die wichtigere Prozesse treffen. „May not be relevant“ und „should“.

Die Bewertung nutzt das Verständnis aus der Analyse, um über künftige Handlungen zu entscheiden. Entscheidungen sollten einschließen, ob eine Tätigkeit unternommen werden sollte, und die Prioritäten der Risikobehandlung unter Berücksichtigung der geschätzten Risikoniveaus. Output: eine Liste von Risiken, priorisiert nach den Bewertungskriterien, in Bezug auf die Vorfallsszenarien, die zu diesen Risiken führen.

Die Akzeptanz selbst ist nicht dieser Vergleich. Sie ist Abschnitt 10, nach der Behandlung, siehe 27005-07.

Nicht in diesem Text: eine Schwelle als Zahl und die Aussage, jedes niedrige Risiko dürfe ohne den Blick auf die Summe unbehandelt bleiben. 8.4 sagt, die Zusammenfassung berücksichtigt werden sollte.