Hinzufügen von Gefährdungen in einem selbst erstellten Audit-Katalog

Bei der Erstellung eines eigenen Audit-Katalogs werden Gefährdungen in zwei Schritten genutzt: Zunächst legen Sie die Gefährdungen zentral im Audit-Katalog an, anschließend ordnen Sie sie der jeweiligen Anforderung zu. Erst durch diese Zuordnung wird sichtbar, wogegen eine Anforderung schützt – die Logik ist aus dem BSI IT-Grundschutz und aus CISIS12 vertraut.

Schritt 1 – Gefährdung anlegen: Öffnen Sie die Detailansicht des Audit-Katalogs und klicken Sie im Abschnitt Gefährdungen auf Neu. Vergeben Sie eine Bezeichnung und optional eine Beschreibung und bestätigen Sie mit Erstellen.

Schritt 2 – Gefährdung einer Anforderung zuordnen: Öffnen Sie im Audit-Katalog die gewünschte Prüfliste, klicken Sie auf die betreffende Anforderung und anschließend im Abschnitt Gefährdungen auf Gefährdungen hinzufügen. Markieren Sie die zuzuordnenden Gefährdungen und bestätigen Sie mit Hinzufügen.

Wenn Gefährdungen nicht für das Prüfobjekt übernommen werden, sollte überprüft werden, ob der zweite Schritt – die Zuordnung der Gefährdung zur Anforderung – korrekt durchgeführt wurde. Gefährdungen, die nur im Katalog angelegt, aber keiner Anforderung zugeordnet sind, werden im Audit nicht wirksam.

Zusammenfassung: Gefährdungen werden in einem selbst erstellten Audit-Katalog zunächst zentral angelegt und anschließend über die jeweilige Anforderung (Prüfliste → Anforderung → „Gefährdungen hinzufügen“) zugeordnet. Erst diese Zuordnung macht den Schutzzweck einer Anforderung sichtbar. Werden Gefährdungen nicht übernommen, fehlt in der Regel der zweite Schritt – die Zuordnung zur Anforderung.