Management und Wissen, Risikomanagement

Alternative Risikoformel

Bewerten wir die richtigen Dinge?

Die klassische Formel zur Risikoberechnung war in der IT nie unproblematisch – in Ermangelung anderer Modelle wurde und wird sie dennoch nicht selten genutzt. Dabei gibt es durchaus andere Möglichkeiten.

Von Genséric Cantournet, Rom, und Aleksandra Sowa, Bonn

Das Messen und Bewerten der Informationssicherheit hat mittlerweile eine gewisse Tradition – besonders hinsichtlich der Wirksamkeit relevanter Kontrollen im Rahmen von Monitoring, Continuous Auditing, interner Revision, Intrusion-Detection-Systems oder Incident- und Abuse-Management. So existieren auch zahlreiche Methoden und Modelle, die Unternehmen einsetzen, um die Effektivität ihres Sicherheitsmanagements zu prüfen. Aber messen wir überhaupt (noch) die richtigen Dinge, wenn es um die Sicherheit geht?

Inadäquate statistische Deduktionsprozesse, Metriken und Methoden können sehr wohl zu falschen Ergebnissen und folglich zu falschen Entscheidungen führen. Oft bemerkt das Management aber erst dann, wenn sich eine Organisation mit einem Sicherheitsvorfall konfrontiert sieht, dass es gegebenenfalls mit irreführenden Zahlen beliefert wurde.

Klassische Risikobewertung

Die für die Berechnung und Bewertung qualitativer wie quantitativer Risiken – für Sicherheitsvorfälle, Ausfälle und andere Gefahren der Cybersecurity – meistens verwendete Formel berücksichtigt zwei Indikatoren: die Eintrittswahrscheinlichkeit eines Security-Incidents (p) und die Höhe des Schadens, der durch diesen Vorfall verursacht werden könnte (I). Das Gesamtrisiko (R) wird als Summe der Teilrisiken kalkuliert, die aus der Betrachtung verschiedener potenzieller Sicherheitsvorfälle resultieren:

Bedauerlicherweise ist es viel leichter, Risiko zu definieren als es zu messen, wie Lawrence Gordon und Martin Loeb in ihrem wegweisenden Buch "Managing Cybersecurity Resources" [1] festgestellt haben. Die Ursachen, warum viele Organisationen auf die traditionelle Form zur Berechnung der Risiken verzichten, liegen längst nicht immer in den oft nur rudimentären statistisch-mathematischen Kenntnissen der Verantwortlichen begründet. Darüber hinaus sind sowohl die Eintrittswahrscheinlichkeit eines Sicherheitsvorfalls als auch der potenzielle Schaden eines Vorfalls oft nur schwer zu ermitteln:

• Erstens behandeln Unternehmen Risiken mit einem hohen Impact auf die Unternehmenswerte und niedriger Eintrittswahrscheinlichkeit ganz anders als solche mit einer potenziell niedrigen Schadenshöhe und großer Häufigkeit.
• Zweitens lassen sich Sicherheitsvorfälle mit einer niedrigen Eintrittswahrscheinlichkeit nur dann angemessen berücksichtigen, wenn sich die Risikobewertung über einen entsprechend langen Zeitraum erstreckt. Um es an einem Beispiel zu verdeutlichen: Wie sollte man in einer traditionellen Risikoformel das Risiko eines einmaligen Events, beispielsweise eines Zero-Day-Exploits, angemessen berücksichtigen?

Dynamische Risikobewertung

Die traditionelle statische Risikoformel funktioniert dann gut und liefert zuverlässige Ergebnisse, wenn den Berechnungen ein korrekter statistischer Deduktionsprozess sowie zuverlässige Datenquellen und geprüfte Datenerzeugungsmechanismen zugrunde liegen. Doch wie bereits Gordon und Loeb [1] bemerkt haben, kann der Prozess zur Identifikation von Cybersecurity-Risiken abhängig von Organisationsform, Risikoeinstellung im Management oder Risikometrik verschiedene Formen annehmen.

Liegen nur sehr wenige historische Daten vor, sollten diese individuell und besser gewichtet werden. Hierfür scheint die Bayessche Formel gut geeignet, da sie zudem praktischerweise auch Ereignisse berücksichtigt, die konsekutiv stattfinden und – einem Dominoeffekt ähnlich – aufeinander aufbauen (bedingte Wahrscheinlichkeit [4]): Die Formel von Bayes berücksichtigt damit historische Daten über zurückliegende Sicherheitsvorfälle, Attacken, Ausfälle et cetera zur Risikoeinschätzung zukünftiger Incidents.

Um die Eintrittswahrscheinlichkeit eines Vorfalls A unter der Bedingung zu kalkulieren, dass ein Ereignis B bereits eingetreten ist, verwendet man folgende Bayessche Formel [2,3,4]:

Die Häufigkeit eines Sicherheitsvorfalls A bei eingetretenem Ereignis B entspricht demnach dem Verhältnis des Eintretens beider Ereignisse (A und B) zur Wahrscheinlichkeit des Ereignisses B. Stellen A und A^c komplementäre Ereignisse dar, die als Vorbedingung von B fungieren können, so lässt sich die Formel von Bayes in folgender Form nutzen [2,3,4]: