Für die Managementsystem-Standards (MSS) der ISO definiert der sogenannte „Harmonized Approach“ [1] eine konsistente High-Level-Structure (HLS, seit Mai 2021 genauer: „Harmonized Structure“ – HS). In Abschnitt 6.1 werden in dieser „Maßnahmen zum Umgang mit Risiken und Chancen“ gefordert („actions to address risks and opportunities“, [2]). Inhaltlich werden Chancen an dieser Stelle allerdings nur nebensächlich definiert – vor allem beschreibt der Text das für das Managementsystem notwendige Risikomanagement. Aber dennoch wird die Berücksichtigung von Chancen auch von Prüfern zunehmend gefordert. Gerade für die sicherheitsorientieren Managementsysteme, wie Informationssicherheits-Managementsysteme (ISMS) oder Business-Continuity-Management- Systeme (BCMS), birgt das eine Chance in sich.
Begrifflichkeiten
Risiken stellen laut ISO 31000:2018 „Risk Management – Guidelines“ den „Effekt von Unsicherheit auf Ziele“ dar („effect of uncertainty on objectives“), wobei der „Effekt“ als Abweichung vom Erwarteten angesehen wird. Der Duden definiert Risiko hingegen als „möglicher negativer Ausgang bei einer Unternehmung, mit dem Nachteile, Verlust, Schäden verbunden sind“ oder als „mit einem Vorhaben, Unternehmen o. Ä. verbundenes Wagnis“. Zusammengefasst ist ein Risiko die Möglichkeit einer negativen Zielabweichung.
Bei ISMS oder BCMS sowie weiteren Managementsystemen (z. B. Qualitäts- oder Umweltmanagementsysteme) stellt das Risikomanagement ein Kernelement und die wichtigste Kommunikationsbasis zur Institutionsleitung dar: Damit vermittelt man, wie sich der Status quo zum jeweiligen Managementsystem auf die Zielerreichung auswirkt. In der Praxis geht es aber grundsätzlich darum, was „Schlimmes“ passieren kann, welche Auswirkungen das hätte und welche Maßnahmen ergriffen werden sollten, um das zu vermeiden. Eine stärkere Berücksichtigung von „Chancen“ eröffnet demgegenüber die Gelegenheit, das jeweilige Themenfeld in einem positiveren Licht darzustellen und den Mehrwert des jeweiligen Managementsystems hervorzuheben.
Chancen, im Umfeld der ISO eher als „opportunity“ (Gelegenheit) bezeichnet, werden dort als „Vorkommnisse, die sich günstig auswirken würden“ definiert (ISO/TR 21506:2018 „Project, programme and portfolio management — Vocabulary“). Der Duden versteht Chancen als „günstige Gelegenheit“ oder „Möglichkeit, etwas Bestimmtes zu erreichen“. In diesem Zusammenhang sind Chancen die Basis einer erfolgreichen Unternehmensführung: Sie sind der Motor, der Unternehmen voranbringt, um ihre Ziele zu erreichen oder auch neue Ziele zu setzen und sich weiterzuentwickeln.
Daher eröffnet die Berücksichtigung von Chancen in Managementsystemen die Möglichkeit, nicht nur Schwierigkeiten und deren Behandlung darzustellen, sondern vielmehr positive interne und externe Entwicklungen und Voraussetzungen zu identifizieren und aktiv für das Unternehmen zu berücksichtigen. Der Effekt von Chancen wird verstärkt, weil man negative Nebeneffekte (Risiken) verringert oder sogar neue Möglichkeiten eröffnet.
Was wäre, wenn?
Ein Beispiel: In einem Unternehmen will man die eigene IT effizienter aufstellen und hierfür Server bei einem Cloud-Provider einrichten. Dadurch erhofft sich das Unternehmen die Chance zur Fokussierung auf das eigentliche Geschäft und zudem eine Reduktion der IT-Kosten.
Ein verbreiteter Spruch besagt: „Es gibt keine Cloud, sondern nur anderer Leute Server.“ In diesem Sinne bestehen unterschiedliche Risiken für dieses Vorhaben: Wo werden die Informationen verarbeitet? Können unberechtigte Dritte die verarbeiteten Informationen einsehen oder gar verändern? Ist die Verfügbarkeit wirklich gewährleistet? Was passiert bei einem Ausfall des Cloud-Dienstleisters?
Es liegt nun am Informationssicherheitsbeauftragten und dem Business-Continuity-Manager diese Risiken zu bewerten. Hierfür werden sie mögliche Bedrohungen und Schwachstellen erörtern und entsprechende Behandlungsstrategien identifizieren, um die planmäßige Chance wahrnehmen zu können.
Aber durch die Behandlung dieser Risiken können sich auch weitere Chancen ergeben, die über die Fokussierung auf das Kerngeschäft hinausgehen: Der Cloud-Dienstleister könnte beispielsweise integrierte Sicherheitsfunktionen anbieten, die auf der eigenen Infrastruktur nur aufwendig zu integrieren und pflegen wären (z. B. Multi-Faktor- Authentifizierung, Transport- und Speicherverschlüsselung, ein integriertes Monitoring oder eine sichere Netzwerkumgebung).
Im Gegensatz zu einer ausschließlichen Betrachtung der Risiken im Rahmen des ISMS, lässt sich der Wert von Ursprungs- und erweiterten Chancen der „Cloud- Nutzung“ durch eine Analyse von Chancen- und Risiken deutlich ausbauen.
ChaRM-Prozess
Durch die Gegenüberstellung von Chancen und Risiken können sich durchaus tiefer greifende Erkenntnisse ergeben: Bestimmte Chancen könnten womöglich den Aufwand des „Ergreifens“ und der Behandlung der damit verbundenen Risiken gar nicht Wert sein. Oder eine zu gering geglaubte Chance könnte durch die Behandlung der Risiken doch eine Bereicherung des Unternehmens darstellen.
Eine Grundlage kann der allgemeine Risikomanagementprozess nach ISO 31000:2018 darstellen – denn Schritte für das Management von Chancen können analog erfolgen (vgl. [3]). Entsprechend muss man bei einem etablierten Risikomanagement nicht unbedingt einen neuen Prozess etablieren – vielmehr muss lediglich der vorhandene Prozess erweitert oder quasi „geklont“ werden. Abbildung 1 zeigt einen möglichen Aufbau für einen Prozess zum „Chance and Risk Management“ (ChaRM).
