Schutzbedarf-Methodik teamweit festlegen

Die Schutzbedarfsfeststellung ist nur dann auditfest, wenn im ganzen Team nach denselben Regeln eingestuft wird. Diese Grundkonfiguration pflegen Sie einmalig unter „Einstellungen → Schutzbedarf“ – vor der ersten Einstufung eines Assets, einer Verarbeitungstätigkeit oder einer Anwendung.

Voraussetzungen

• Sie sind als Administrator angemeldet.
• Das Team verfügt über eine aktive Lizenz für Datenschutz- oder Informationssicherheitsmanagement.
• Die Einstellungen gelten für alle „Assets“, „Verarbeitungstätigkeiten“ und „Anwendungen“ dieser Zugehörigkeit.

Einstellungen öffnen

1. Klicken Sie in der linken Seitenleiste auf „Einstellungen“.
2. Wählen Sie im Einstellungs-Menü den Eintrag „Schutzbedarf“. Die Seite gliedert sich in die drei Abschnitte „Schutzziele“, „Schadensszenarien“ und „Bewertungsoptionen“.

Anzahl der Schutzziele festlegen

1. Klicken Sie im Abschnitt „Schutzziele“ auf „Bearbeiten“.
2. Wählen Sie unter „Anzahl der Schutzziele“ eine der drei Optionen: „3 Schutzziele — Vertraulichkeit, Integrität, Verfügbarkeit“ (klassische CIA-Triade nach ISO 27001), „4 Schutzziele — Vertraulichkeit, Integrität, Verfügbarkeit, Authentizität“ oder „4 Schutzziele — Vertraulichkeit, Integrität, Verfügbarkeit, Verbindlichkeit“.
3. Klicken Sie auf „Speichern“.

Wenn Sie ein bereits gewähltes viertes Schutzziel später ändern oder entfernen, werden die dazu erfassten Werte, Begründungen und Szenario-Bewertungen unwiderruflich gelöscht; das System verlangt vor dem Speichern eine ausdrückliche Bestätigung.

Gültige Schadensszenarien bestimmen

Der Abschnitt „Schadensszenarien“ enthält die Szenarien, die jeder Einstufung zugrunde liegen. Die Tabelle zeigt je Szenario die Spalten „Schadensszenario“, „Quelle“ („Vorgegeben“ oder „Individuell“) und „Status“ („Aktiv“ oder „Inaktiv“).

1. Klicken Sie auf ein Szenario, um es zu prüfen. Bei einem vorgegebenen Szenario sind „Bezeichnung“ und „Beschreibung“ schreibgeschützt – änderbar ist nur der Schalter „Aktiviert“.
2. Für ein eigenes Szenario klicken Sie auf „Neu“, erfassen „Bezeichnung“ und „Beschreibung“, lassen den Schalter „Aktiviert“ aktiv und klicken auf „Speichern“.
3. Ein individuelles Szenario löschen Sie über das Menü „Aktionen“ mit „Entfernen“.

Bewertungsoptionen konfigurieren

1. Klicken Sie im Abschnitt „Bewertungsoptionen“ auf „Bearbeiten“.
2. Aktivieren Sie das „Maximumprinzip“: Der Schutzbedarf eines Ziels entspricht dann dem höchsten Schutzbedarf der einfließenden Quellen.
3. Aktivieren Sie bei Bedarf den „Kumulationseffekt“ – er hebt ein Schutzziel um eine Stufe an, wenn sich dort mehrere Quellen mit hohem Schutzbedarf häufen. Jedes Schutzziel wird für sich betrachtet; der Effekt wirkt nur bei aktivem Maximumprinzip.
4. Wenn der Kumulationseffekt aktiv ist, füllen Sie „Schwellenwert (Anzahl Quellen)“ und „Schwellenwert (Schutzbedarf)“ (Normal, Hoch oder Sehr hoch).
5. Legen Sie unter „Vererbung“ fest, welche Quellen einfließen: „Verarbeitungstätigkeiten“, „Verarbeitungstätigkeiten im Auftrag“ und „Untergeordnete Assets“.
6. Klicken Sie auf „Speichern“.

Was passiert anschließend

• Bei jeder Änderung an Schutzzielen, Schadensszenarien oder Bewertungsoptionen wird der Schutzbedarf aller betroffenen Objekte automatisch neu berechnet.
• Beim Deaktivieren oder Entfernen eines Schadensszenarios werden die dazu erfassten Bewertungen und Begründungen aus allen Objekten unwiderruflich gelöscht – das System fordert dafür die Eingabe des Team-Namens als Bestätigung.

Tipp aus der Praxis: Legen Sie das vierte Schutzziel früh fest, denn es erscheint anschließend systemweit in allen Matrizen und Übersichten. Und schließen Sie die Szenarienliste ab, bevor die erste Einstufung läuft: Jede spätere Streichung kostet Bewertungen, die Sie im Audit nicht mehr rekonstruieren können.