Wir sind uns zunehmend der Anfälligkeit von Infrastrukturen (Wasserversorgungssysteme, Telekommunikationsunternehmen, Banken, Stromnetze, Gesundheitssysteme usw.) gegenüber Cyberangriffen aller Art bewusst. Laut McAfee stieg die Cyberkriminalität im Jahr 2008 um 53 %. Im April 2010 kam es bei Optus-Kunden, deren Internetanbietern und zahlreichen Großkunden zu erheblichen Beeinträchtigungen des Datenverkehrs infolge eines DDoS-Angriffs aus China. Gartner und McAfee schätzten den Schaden durch Diebstahl geistigen Eigentums im Jahr 2009 auf rund eine Billion US-Dollar. Netzwerkangriffe beeinträchtigen die gesamte Netzwerkinfrastruktur, beschädigen Router, verändern Routing-Tabellen, überlasten DNS-Server, verursachen Ausfälle von E-Mail-Servern, manipulieren ARP- und DNS-Caches und vieles mehr.

Elemente der Risikoanalyse:
Eine Schwachstelle ist eine Schwäche oder ein Fehler in einem System, der ausgenutzt werden kann, um es zu kompromittieren oder anzugreifen. Bedrohungen sind Umstände oder Akteure, die potenziell Verluste oder Schäden an einem System verursachen können, indem sie bestehende Schwachstellen ausnutzen. Angriffe zielen auf wichtige Sicherheitsdienste wie Vertraulichkeit (Verschlüsselung, Datenschutz, Anonymität/Steganografie), Integrität (konventionelle und blinde digitale Signaturen, Hashes, MAC-Adressen) und Verfügbarkeit (Backup, Hot-/Cold-Sites, Redundanz), zusammengefasst als CIA (Vertraulichkeit-Integrität-Verfügbarkeit). Angriffe zielen auch auf Sicherheitsziele wie Authentifizierung (mittels Man-in-the-Middle-Angriffen und Identitäts-/Adressfälschung), Identifizierung, Autorisierung, Nichtabstreitbarkeit, Verantwortlichkeit/Protokollierung/Überwachung usw. Bedrohungen nutzen Schwachstellen aus und können unbeabsichtigt (menschliches Versagen) oder böswillig (Viren) sein. Kontrollmaßnahmen (Schutzvorkehrungen, Gegenmaßnahmen, Sicherheitselemente oder Sicherheitsvorkehrungen) sind Mechanismen oder Verfahren zur Minderung von Schwachstellen (unter Anwendung der drei Ansätze Prävention, Erkennung und Wiederherstellung sowie mitunter auch Abschreckung). Es ist unerlässlich, die Kosten und den Umfang der Kontrollmaßnahmen zu kennen. Darüber hinaus unterliegen Kontrollmaßnahmen einer Schwachstellen- und Bedrohungsanalyse. Beispielsweise stellt ein veraltetes Antivirenprogramm eine erhebliche Gefahr dar (aufgrund von Unwissenheit, Fahrlässigkeit oder böswilliger Absicht des Benutzers oder weil der Hersteller des Antivirenprogramms keine manuellen Updates zulässt, sondern stattdessen automatische Updates, beispielsweise aus der Cloud, bevorzugt).

Ein vollständig isoliertes System (z. B. ein Server ohne Netzwerkverbindung) ist zwar sicher, aber nutzlos. Daher muss ein Kompromiss zwischen Sicherheit und Verfügbarkeit gefunden werden. Ebenso sollten Ressourcen nicht für den Schutz von Systemen ohne relevanten Wert aufgewendet werden. Die Sicherheitsmaßnahmen sollten Angreifer abschrecken, aber aus Kostengründen nicht absolut sicher sein. Risiko ist die Wahrscheinlichkeit, dass eine bestimmte Bedrohung eine bestimmte Schwachstelle ausnutzt; absolute Gewissheit besteht nie. Beispiele für kritische Systeme sind Personal, Hardware/Software, Daten, Dokumentation, Anlagen usw. Die Auswirkungen eines Risikos sind die Verluste, die durch die Ausnutzung entstehen. Daher ist es notwendig, die Risiken eines Systems systematisch zu verstehen und Strategien zu deren Kontrolle zu entwickeln. Die Risikoanalyse ist der Prozess der Identifizierung, Bewertung und Reduzierung von Risiken auf ein akzeptables Niveau. Sie definiert und kontrolliert Bedrohungen und Schwachstellen und implementiert Maßnahmen zur Risikominderung. Die Risikoanalyse ist eine Disziplin mit drei Teilen: (i) Risikobewertung: Ermittlung der bestehenden Risiken. (ii) Risikomanagement: Bewertung von Alternativen zur Risikominderung. (iii) Risikokommunikation. Die oben genannten Ergebnisse werden so präsentiert, dass sie für Entscheidungsträger verständlich sind – nicht nur für Sicherheitsmanager, sondern vor allem für die Unternehmensführung, die letztendlich für die Ziele ihrer Organisationen verantwortlich ist. Für die Strukturierung des Risikoanalyseprozesses müssen Assets, Schwachstellen und Bedrohungen berücksichtigt werden. Das Risiko ist eine Funktion von Assets, Schwachstellen und Bedrohungen: (Risiko) = (Assets) x (Bedrohungen) x (Schwachstellen). Im Rahmen der Risikoanalyse werden Assets, Schwachstellen und Bedrohungen Werte zugewiesen. Die grundlegende Struktur der Risikoanalyse ist: (1) Evaluieren. Informations- und IT-Assets bewerten. Systemschwachstellen ermitteln. Bedrohungen innerhalb und außerhalb der Organisation berücksichtigen. Risiken priorisieren. (2) Prüfen. Verfügbare Sicherheitsmaßnahmen prüfen, deren Wirksamkeit bewerten und deren Kosten (Installation, versteckte Lizenzen, Betrieb, Updates usw.) ermitteln. (3) Implementieren und Überwachen. Zu den an diesem Prozess beteiligten Personen gehören: Sicherheitsexperten, interne Fachexperten (diejenigen, die die Funktionsweise der Systeme am besten verstehen), Manager, die für die Implementierung von Kontrollmaßnahmen verantwortlich sind, Juristen und Führungskräfte aus dem Unternehmen/der Organisation. Die Identifizierung von Vermögenswerten (Personen/Organisationen/Objekten/Wertgegenständen) kann Personen, physische Vermögenswerte (wie Gebäude, Netzwerke und Computer) und logische Vermögenswerte (wie Reputation, geistiges Eigentum, Einhaltung gesetzlicher Bestimmungen und Software) umfassen. Bei der Risikobewältigung sind verschiedene Ansätze möglich, beispielsweise: (i) Vermeidung des Risikos durch Implementierung einer Kontrollmaßnahme oder Änderung des Designs. (ii) Risikoübertragung durch Änderung des Designs, um ein anderes Risiko einzuführen, oder durch Beauftragung einer Versicherung. (iii) Akzeptanz des Risikos. Dies beinhaltet die Erkennung und Behebung des Risikos durch die Erstellung eines umfassenden Notfallplans für den Fall eines Angriffs (z. B. durch fehlertolerante Infrastruktur, Failover, Hochverfügbarkeit, Redundanz, Backups, Cold Sites oder Hot Sites).

Arten der Risikoanalyse

Bei der Risikoanalyse lassen sich zwei Ansätze unterscheiden: (1) Quantitative Analyse. Hierbei werden die Kosten von Schutzmaßnahmen und der potenzielle Schaden quantifiziert. Dabei werden das jährliche Verlustrisiko (Annual Loss Exposure, ALE), die Risikobewertung (Risk of Injury Statement, ROSI) und die Eintrittswahrscheinlichkeit eines Ereignisses definiert. Dieser Ansatz kann ungenau und unzuverlässig sein. Die Phasen dieser Analyse sind: (i) Identifizierung und Bewertung von Vermögenswerten. (ii) Ermittlung von Schwachstellen und deren Auswirkungen. (iii) Schätzung der Ausnutzungswahrscheinlichkeit. (iv) Berechnung des ALE. (v) Zusammenfassung der anwendbaren Kontrollmaßnahmen und ihrer Kosten. (vi) Prognose der jährlichen Einsparungen durch die Kontrollmaßnahmen. Das Risikorisiko (oder der erwartete Verlust) ergibt sich aus dem Produkt der Risikoauswirkungen und der Risikowahrscheinlichkeit. Beispielsweise entsprechen die Risikoauswirkungen beim Verlust eines Servers den Kosten für dessen Ersatz (z. B. 17.000 €), und die Verlustwahrscheinlichkeit beträgt beispielsweise 0,10. Dies führt zu einem Expositionsrisiko von 17.000 x 0,10 = 1.700. Die pro Jahr gemessene Gesamtexposition entspricht dem ALE. Bei dieser Art von Analyse sollte eine Kosten-Nutzen-Analyse der Kontrollmaßnahmen durchgeführt werden.

Das Risiko beeinflusst die Bewertung des Nutzens einer Kontrollmaßnahme. Ein hilfreiches Maß ist das Verhältnis: (Risikoexposition vor der Implementierung der Kontrollmaßnahme) minus (Risikoexposition nach der Implementierung der Kontrollmaßnahme) dividiert durch (die Kosten der Kontrollmaßnahme). (2) Qualitative Analyse. Diese bewertet das relative Risiko der Organisation gegenüber Bedrohungen. Sie basiert auf Urteilsvermögen, Intuition und Erfahrung. Sie klassifiziert die Schwere von Bedrohungen anhand der Sensibilität der Vermögenswerte. Sie ist subjektiv und liefert keine numerischen Daten zur Begründung des Return on Investment. Die Phasen der qualitativen Risikoanalyse sind: (i) Festlegung des Umfangs. Definition des Problems. (ii) Zusammenstellung eines Teams. Einbeziehung von Experten mit Fachkenntnissen, Implementierungsverantwortlichen und Anwendern. (iii) Identifizierung von Bedrohungen. Auswahl aus Listen bekannter Bedrohungen. Brainstorming neuer Bedrohungen durch Kombination von Bedrohungen und Schwachstellen. (iv) Priorisierung der Bedrohungen für jeden Vermögenswert. Bestimmung der Eintrittswahrscheinlichkeit. Definition einer festen Bedrohungsbewertung, z. B. von niedrig (Wert 1) bis hoch (Wert 5). Zuordnung eines Wertes zu jeder Bedrohung. Dies ist eine Annäherung an die Risikowahrscheinlichkeit aus dem quantitativen Ansatz. (v) Schadensauswirkung. Für jede Bedrohung wird die Schadensauswirkung ermittelt. Es wird eine feste Rangfolge definiert, z. B. niedrig (Wert 1) bis hoch (Wert 5). Diese dient der Priorisierung des durch die Bedrohung verursachten Schadens an Vermögenswerten. (vi) Gesamtauswirkung bzw. Risikofaktor. Dies ist die Summe aus Bedrohungspriorität und Auswirkungspriorität. Beispiel: Bei Diebstahlsgefahr beträgt der Risikofaktor 5, wenn die Bedrohungspriorität 2 und die Auswirkungspriorität 3 ist; bei Brandgefahr beträgt der Risikofaktor 8, wenn die Bedrohungspriorität 3 und die Auswirkungspriorität 5 ist; bei Überschwemmungsgefahr beträgt der Risikofaktor 7, wenn die Bedrohungspriorität 2 und die Auswirkungspriorität 5 ist. (vii) Kontrollmaßnahmen/Schutzvorkehrungen identifizieren. Es wird ein erster Satz potenzieller Kontrollmaßnahmen erstellt. Die Kontrollmaßnahmen werden jeder Bedrohung zugeordnet. Beginnen Sie mit den Risiken mit der höchsten Priorität. (viii) Kosten-Nutzen-Analysen werden durchgeführt. Diese Phase kann mit Phase 6 wiederholt werden. (ix) Kontrollen klassifizieren – Schutzmaßnahmen bewerten. Die Klassifizierung erfolgt nach Risikofaktor. Beispiel: Bei Brandgefahr und einem Risikofaktor von 8 ist eine mögliche Schutzmaßnahme eine Brandbekämpfungsanlage mit Kosten von 18.000 €. Bei Hochwasser- oder Hurrikangefahr und einem Risikofaktor von 7 ist ein Notfallplan eine mögliche Schutzmaßnahme mit Kosten von 87.000 €. (x) Ergebnisse kommunizieren. Die Ergebnisse werden in einem schriftlichen Bericht zusammengefasst und allen Mitgliedern in Form von spezifischen Meetings entsprechend ihrer Hierarchieebene präsentiert. Das Meeting mit Führungskräften unterscheidet sich von dem mit Mitarbeitern niedrigerer Ebenen.

Schlussbetrachtungen
Unsere Forschungsgruppe arbeitet seit über zwanzig Jahren weltweit im Bereich der Risikoanalyse in allen Arten von Organisationen und Szenarien, in denen Informationen und Wissen angemessen geschützt werden müssen – von eingebetteten Systemen bis hin zu großen Organisationen mit Web-/Web-2.0-Netzwerken sowie Virtualisierungs- und Cloud-Infrastrukturen.

Dieser Artikel ist Teil der Aktivitäten im Rahmen des Projekts LEFIS-APTICE (gefördert von der Europäischen Kommission im Rahmen des Programms Socrates).

Bibliographie

– Areitio, J. „Information Security: Networks, Computing and Information Systems“. Cengage Learning-Paraninfo. 2010.
– Areitio, J. „Analysis of Information Vulnerability“. Conectrónica Magazine. Nr. 131. Oktober 2009.
– Areitio, J. „Security Testing to Evaluate and Improve the Level of Security Risks“. Conectrónica Magazine. Nr. 134. Februar 2010.
– Norman, TL „Risk Analysis and Security Countermeasure Selection“. CRC Press. 2009.
– Kelsey, T. „Social Networking Spaces: From Facebook to Twitter and Everything in Between“. Apress. 2010.
– Zittrain, J. „The Future of the Internet and How to Stop It“. Yale University Press. 2009.
– Solove, DJ „Understanding Privacy“. Harvard University Press. 2010.
– Wacks, R. „Privacy: A Very Short Introduction“. Oxford University Press. 2010.
– Nissenbaum, H. „Privacy in Context: Technology, Policy and the Integrity of Social Life“. Stanford Law Books. 2009.
– Schneier, B. „Secrets and Lies: Digital Security in a Networked World“. Wiley. 2004.
– O’Harrow, R. „No Place to Hide“. Free Press. 2006.
– Solove, DJ „The Digital Person: Technology and Privacy in the Information Age“. NYU Press. 2006.
– Solove, DJ und Schwartz, P. „Information Privacy Law“. Aspen Publishers, Inc. 2008.
– Solove, DJ und Schwartz, P. „Privacy and the Media“. Aspen Publishers, Inc. 2008.
– Schwartz, P. und Solove, DJ „Information Privacy: Statutes and Regulations“. Aspen Publishers, Inc. 2008.
– Benkler, Y. „The Wealth of Networks: How Social Production Transforms Markets and Freedom.“ Yale University. 2007.
– Mather, T., Kmaraswamy, S. und Latif, S. „Cloud Security and Privacy: An Enterprise Perspective on Risks and Compliance“. O’Reilly Media. 2009.
– Solove, D. J. und Schwartz, P. „Privacy, Information and Technology“. Aspen Publishers, Inc. 2008.

Autor:

Prof. Dr. Javier Areitio Bertolín – E-Mail: Diese E-Mail-Adresse ist vor Spambots geschützt. Sie benötigen aktiviertes JavaScript, um sie anzuzeigen.
Professor an der Fakultät für Ingenieurwissenschaften.
Leiter der Forschungsgruppe Netzwerke und Systeme. Universität Deusto.

Weitere Informationen oder ein Angebot