Gefährdungen einer Anforderung zuordnen – Zuordnung wieder lösen

Eine Anforderung im Audit-Katalog beantwortet erst dann die wichtigste Folgefrage – wogegen schützt sie eigentlich? –, wenn ihr Gefährdungen zugeordnet sind. Diese Verknüpfung ist die Grundlage der risikoorientierten Audit-Bewertung: Wird die Anforderung im Audit als „nicht erfüllt“ bewertet, sind die zugeordneten Gefährdungen genau die Risikoquellen, die Sie ins Risikomanagement überführen.

Voraussetzungen

• Sie haben Zugriff auf den übergeordneten Audit-Katalog.
• Sie verfügen über die Berechtigung, den Audit-Katalog zu bearbeiten.
• Im Abschnitt „Gefährdungen“ des Audit-Katalogs sind bereits Gefährdungen angelegt.

Schritt für Schritt

1. Öffnen Sie die Detailansicht des Audit-Katalogs.
2. Klicken Sie auf die gewünschte Prüfliste, um sie zu öffnen.
3. Klicken Sie in der Tabelle „Anforderungen“ auf die gewünschte Anforderung, um sie zu öffnen.
4. Scrollen Sie im Detailfenster zum Abschnitt „Gefährdungen“ und klicken Sie auf die Schaltfläche „Gefährdungen hinzufügen“. Es öffnet sich die Seitenleiste „Gefährdungen hinzufügen“ mit einer Tabelle aller im Audit-Katalog verfügbaren Gefährdungen.
5. Markieren Sie über die Auswahlboxen am Zeilenanfang die zuzuordnenden Gefährdungen.
6. Klicken Sie auf „Hinzufügen“, um die Auswahl zu übernehmen, oder auf „Abbrechen“. Die zugeordneten Gefährdungen erscheinen anschließend im Abschnitt „Gefährdungen“ der Anforderung.

Zuordnung wieder lösen

1. Öffnen Sie die Detailansicht der Anforderung wie oben beschrieben.
2. Markieren Sie im Abschnitt „Gefährdungen“ über die Auswahlboxen am Zeilenanfang die Gefährdungen, deren Zuordnung Sie aufheben möchten.
3. Klicken Sie rechts oben auf „Aktionen“ und wählen Sie die Massenaktion zum Lösen der Zuordnung. Bestätigen Sie die Sicherheitsabfrage.

Die Gefährdungen bleiben im Audit-Katalog erhalten und stehen weiterhin für andere Anforderungen zur Verfügung – entfernt wird nur die Verknüpfung zur ausgewählten Anforderung.

Was passiert anschließend

• Das Zuordnen und das Lösen einer Zuordnung werden in der Aktivitätshistorie des übergeordneten Audit-Katalogs protokolliert.
• Beobachter:innen und zugewiesene Benutzer:innen erhalten eine E-Mail-Benachrichtigung sowie eine Benachrichtigung in der Anwendung.
• Wenn der Audit-Katalog im Status „Freigegeben“ steht, erscheint vor jeder Änderung eine Sicherheitsabfrage, weil die Änderung an einer methodischen Grundlage alle laufenden Audits gegen diesen Katalog betrifft.

Tipp aus der Praxis: Ordnen Sie jeder Anforderung mindestens eine Gefährdung zu – Anforderungen ohne Gefährdung sind im späteren Audit-Bericht ein Warnzeichen, weil ihr Schutzzweck nicht dokumentiert ist. Bei IT-Grundschutz-Anforderungen sind in der Regel mehrere „Elementare Gefährdungen“ des BSI IT-Grundschutz-Kompendiums (G 0.1 bis G 0.47) relevant; bei übergreifenden organisatorischen Anforderungen genügt häufig eine einzige übergeordnete Gefährdung.