Durchführung einer ISO 27001-Risikobewertung mit KI

Übersicht

Sie erfahren, wie Sie KI nutzen können, um eine umfassende ISO 27001-Risikobewertung durchzuführen – von der Identifizierung von Informationswerten bis zur Berechnung von Risikobewertungen und der Entwicklung von Behandlungsplänen, die direkt auf die Annex-A-Kontrollen abgestimmt sind.

Zielgruppe

Dieser Leitfaden richtet sich an:

• Sicherheitsfachkräfte, die ihre erste ISO 27001-Risikobewertung durchführen
• Risikomanager, die von anderen Frameworks zu ISO 27001 wechseln
• Berater, die Risikobewertungen für mehrere Kunden verwalten
• Organisationen, die mit der Komplexität traditioneller Risikobewertungen kämpfen

Voraussetzungen

Bevor Sie beginnen, stellen Sie sicher, dass Sie Folgendes haben:

• Den Leitfaden Erste Schritte mit der ISO 27001-Implementierung mithilfe von KI abgeschlossen
• Den Geltungsbereich des ISMS und die Risikomethode definiert
• Ihren ISO 27001-Arbeitsbereich in ISMS Copilot erstellt
• Wichtige Stakeholder und Risikoverantwortliche in den Abteilungen identifiziert
• Zugriff auf Systemdokumentation, Netzwerkdiagramme und Datenflusspläne

Bevor Sie beginnen

Planen Sie ausreichend Zeit für die Risikobewertung ein:

• Kleine Organisationen (20–50 Mitarbeiter): 2–3 Wochen
• Mittelgroße Organisationen (100–500 Mitarbeiter): 4–6 Wochen
• Große Organisationen (500+ Mitarbeiter): 8–12 Wochen

Verständnis der ISO 27001-Risikobewertungsanforderungen

Was die ISO 27001-Risikobewertung einzigartig macht

Im Gegensatz zu anderen Sicherheitsframeworks verlangt ISO 27001 einen risikobasierten Ansatz, bei dem:

• Kontrollen durch Risiken gerechtfertigt sind: Sie können nicht einfach alle 93 Annex-A-Kontrollen implementieren – jede muss identifizierte Risiken adressieren
• Risikobereitschaft treibt Entscheidungen: Ihre Organisation definiert, welches Risikoniveau akzeptabel ist
• Asset-zentrierter Fokus: Risiken werden auf der Grundlage von Bedrohungen für spezifische Informationswerte bewertet
• Kontinuierlicher Prozess: Die Risikobewertung muss regelmäßig wiederholt werden, nicht nur für die Zertifizierung

Die fünf Kernkomponenten

Schritt 1: Erstellen Sie Ihr Inventar der Informationswerte

Warum die Asset-Identifizierung zuerst kommt

Sie können keine Risiken bewerten, ohne zu wissen, was Sie schützen. ISO 27001 verlangt die Identifizierung und Dokumentation aller Informationswerte innerhalb des Geltungsbereichs Ihres ISMS, einschließlich:

• Informationswerte: Kundendaten, Mitarbeiterakten, geistiges Eigentum, Finanzdaten, Verträge
• Softwarewerte: Anwendungen, Datenbanken, Betriebssysteme, Sicherheitstools, Cloud-Dienste
• Physische Werte: Server, Arbeitsstationen, Netzwerkgeräte, Speichergeräte, mobile Geräte
• Dienste: Cloud-Infrastruktur, verwaltete Dienste, Internetkonnektivität, Drittanbieter-Plattformen
• Personen: Mitarbeiter, Auftragnehmer, Administratoren mit privilegiertem Zugriff

Nutzung von KI zur Beschleunigung der Asset-Erkennung

In Ihrem ISO 27001-Arbeitsbereich:

1. Generieren Sie Asset-Kategorien für Ihre Branche:

   "Erstellen Sie eine Vorlage für ein Inventar der Informationswerte für ein [Branche]-Unternehmen mit [Beschreibung]. Fügen Sie Kategorien für: Datenwerte, Anwendungssysteme, Infrastruktur, Drittanbieter-Dienste und Personal hinzu. Geben Sie für jede Kategorie relevante Beispiele an."

2. Laden Sie bestehende Dokumentation hoch: Wenn Sie Netzwerkdiagramme, Systemarchitekturdokumente oder Datenflusspläne haben, laden Sie diese hoch und fragen Sie:

   "Analysieren Sie dieses Architekturdiagramm und identifizieren Sie alle Informationswerte, die in unser Inventar der ISO 27001-Assets aufgenommen werden sollten. Schlagen Sie für jedes Asset einen Besitzer und eine Klassifizierungsebene vor."

3. Identifizieren Sie Asset-Besitzer:

   "Für jeden Asset-Typ in einer [Unternehmensbeschreibung], wer sollte der Asset-Besitzer sein? Definieren Sie Kriterien für die Zuweisung von Eigentümerschaft basierend auf Geschäftsbereich, technischer Verantwortung und Rechenschaftspflicht für die Sicherheit."

4. Erstellen Sie Klassifizierungskriterien:

   "Definieren Sie Klassifizierungsebenen für Informationen (Öffentlich, Intern, Vertraulich, Eingeschränkt) für ISO 27001. Geben Sie für jede Ebene an: Definition, Beispiele, Handhabungsanforderungen und Konsequenzen bei unbefugter Offenlegung."

Struktur des Asset-Inventars

Bitten Sie ISMS Copilot, eine umfassende Vorlage zu erstellen:

"Generieren Sie eine Tabellenstruktur für ein Asset-Inventar mit Spalten für: Asset-ID, Asset-Name, Asset-Typ, Beschreibung, Besitzer, Standort, Klassifizierung, Abhängigkeiten, Kritikalitätsbewertung. Fügen Sie 10 Beispiel-Einträge für eine SaaS-Plattform hinzu."

Erwartete Struktur:

Schritt 2: Identifizieren Sie Bedrohungen und Schwachstellen

Verständnis der Bedrohungslandschaft

Für jedes Asset müssen Sie realistische Bedrohungen und ausnutzbare Schwachstellen identifizieren. Häufige Bedrohungskategorien umfassen:

• Cyber-Bedrohungen: Malware, Ransomware, Phishing, DDoS-Angriffe, SQL-Injection
• Menschliches Versagen: Versehentliches Löschen, Fehlkonfiguration, unsachgemäße Zugriffsgewährung
• Insider-Bedrohungen: Böswillige Mitarbeiter, Missbrauch von Privilegien, Datendiebstahl
• Systemausfälle: Hardwareausfall, Softwarefehler, Netzwerkausfälle
• Drittanbieter-Risiken: Lieferantenverletzungen, Supply-Chain-Angriffe, Dienstunterbrechungen
• Physische Bedrohungen: Diebstahl, Naturkatastrophen, unbefugter Zugang zu Einrichtungen

Nutzung von KI für Bedrohungs- und Schwachstellenanalyse

1. Generieren Sie Bedrohungsszenarien nach Asset:

   "Für eine Kundendatenbank mit personenbezogenen Daten in einer cloudbasierten SaaS-Anwendung identifizieren Sie realistische Bedrohungen unter Berücksichtigung von: Cyber-Angriffen, Insider-Bedrohungen, Systemausfällen, Drittanbieter-Risiken und regulatorischer Compliance. Beschreiben Sie für jede Bedrohung das Szenario und die potenziellen Auswirkungen."

2. Identifizieren Sie technologiespezifische Schwachstellen:

   "Welche häufigen Schwachstellen gibt es in [Ihrem Technologie-Stack, z. B. 'AWS-gehostete PostgreSQL-Datenbanken mit Webanwendungs-Frontend']? Berücksichtigen Sie: Konfigurationsschwächen, Zugriffskontrolllücken, Verschlüsselungsprobleme und Herausforderungen im Patch-Management."

3. Analysieren Sie branchenspezifische Bedrohungen:

   "Welche Informationssicherheitsbedrohungen sind für [Ihre Branche, z. B. 'Fintech-Unternehmen, die Zahlungsdaten verarbeiten'] am relevantesten? Berücksichtigen Sie regulatorische Risiken, Konkurrenzspionage und branchenspezifische Angriffsmuster."

4. Bewerten Sie Drittanbieter-Risiken:

   "Erstellen Sie eine Drittanbieter-Risikobewertung für unsere wichtigsten Lieferanten: [Liste der Lieferanten und Dienste]. Identifizieren Sie für jeden Risiken in Bezug auf: Datenzugriff, Dienstverfügbarkeit, Sicherheitsvorfälle und Compliance-Versagen."

Schritt 3: Berechnen Sie Risikobewertungen

Anwendung Ihrer Risikomethodik

Mit der Methodik, die Sie im Leitfaden Erste Schritte definiert haben, berechnen Sie nun Risikobewertungen für jedes Bedrohungs-Schwachstellen-Paar.

Die Standardformel:

Risikobewertung = Eintrittswahrscheinlichkeit × Auswirkung

Dabei werden beide Faktoren auf Ihrer definierten Skala bewertet (typischerweise 1–5 oder 1–10).

Definition der Eintrittswahrscheinlichkeit mit KI

Bitten Sie ISMS Copilot, die Wahrscheinlichkeit zu bewerten:

"Für die Bedrohung '[spezifische Bedrohung]', die die Schwachstelle '[spezifische Schwachstelle]' in unserem [Asset-Beschreibung] ausnutzt, bewerten Sie die Eintrittswahrscheinlichkeit auf einer Skala von 1–5 unter Berücksichtigung: unserer bestehenden Kontrollen (listen Sie sie auf), Fähigkeiten der Bedrohungsakteure, historischen Vorfällen in unserer Branche und unserer aktuellen Sicherheitslage."

Beispiel-Prompt:

"Für die Bedrohung 'Ransomware-Angriff per Phishing-E-Mail', die die Schwachstelle 'unzureichendes Sicherheitsbewusstsein der Mitarbeiter' in unserem 50-Personen-SaaS-Unternehmen ausnutzt, bewerten Sie die Eintrittswahrscheinlichkeit (1–5) unter Berücksichtigung: wir haben grundlegende E-Mail-Filterung, kein Sicherheitstraining und Mitarbeiter im Homeoffice. Der Gesundheitssektor hat einen Anstieg der Ransomware-Angriffe um 40 % verzeichnet."

Bewertung der Auswirkung mit KI

Bitten Sie ISMS Copilot, die Konsequenzen zu bewerten:

"Für das Risiko '[Bedrohung] für [Asset]' bewerten Sie die Auswirkung auf einer Skala von 1–5 unter Berücksichtigung: finanzieller Verlust (Umsatz, Strafen, Wiederherstellungskosten), Betriebsstörung (Ausfallzeit, Dienstbeeinträchtigung), regulatorische Konsequenzen (DSGVO-Strafen) und Reputationsschaden (Kundenvertrauen, Marktposition)."

Kategorisierung der Risikostufen

Generieren Sie Ihre Risikomatrix:

"Erstellen Sie eine 5x5-Risikomatrix für ISO 27001, bei der Eintrittswahrscheinlichkeit und Auswirkung beide auf einer Skala von 1–5 bewertet werden. Farbkodieren Sie die Zellen als: Niedrig (grün, Bewertungen 1–6), Mittel (gelb, Bewertungen 8–12), Hoch (orange, Bewertungen 15–20), Kritisch (rot, Bewertungen 25). Zeigen Sie, welche Risiken eine sofortige Behandlung erfordern und welche überwacht werden sollen."

Typische Schwellenwerte:

• Kritisch (20–25): Sofortige Behandlung erforderlich, Eskalation an die Geschäftsführung
• Hoch (15–19): Behandlungsplan innerhalb von 30 Tagen
• Mittel (8–14): Behandlungsplan innerhalb von 90 Tagen oder Akzeptanz mit Begründung
• Niedrig (1–7): Akzeptieren oder überwachen, Entscheidung dokumentieren

Schritt 4: Entwickeln Sie Risikobehandlungspläne

Die vier Behandlungsoptionen

Für jedes Risiko verlangt ISO 27001 die Auswahl einer von vier Behandlungsoptionen:

1. Minderung: Implementieren von Kontrollen zur Reduzierung der Eintrittswahrscheinlichkeit oder Auswirkung (am häufigsten)
2. Vermeidung: Beseitigung der Aktivität, die das Risiko verursacht
3. Übertragung: Risikoteilung durch Versicherung oder Outsourcing
4. Akzeptanz: Anerkennung und Überwachung (erfordert Genehmigung der Geschäftsführung)

Nutzung von KI zur Gestaltung von Behandlungsstrategien

1. Generieren Sie Minderungsoptionen:

   "Für das Risiko '[Risikobeschreibung]' mit der Bewertung [X] schlagen Sie ISO 27001 Annex-A-Kontrollen vor, die dieses Risiko wirksam mindern würden. Erklären Sie für jede Kontrolle: wie sie die Eintrittswahrscheinlichkeit oder Auswirkung reduziert, den Implementierungsansatz, die geschätzten Kosten/Aufwand und das erwartete Restrisiko."

2. Bewerten Sie die Kosteneffizienz von Kontrollen:

   "Vergleichen Sie Behandlungsoptionen für '[Risiko]': Option A – Implementierung von MFA und SIEM (50.000 €), Option B – verbessertes Mitarbeitertraining (10.000 €), Option C – Cyber-Versicherung (20.000 € jährlich). Empfehlen Sie den kosteneffektivsten Ansatz unter Berücksichtigung unserer Risikobereitschaft und Budgetbeschränkungen."

3. Erstellen Sie Behandlungspläne:

   "Generieren Sie eine Vorlage für einen Risikobehandlungsplan für ISO 27001 mit Spalten für: Risiko-ID, Risikobeschreibung, aktuelle Bewertung, Behandlungsoption, ausgewählte Kontrollen, Implementierungsverantwortlicher, Zieldatum, erwartetes Restrisiko, Genehmigungsstatus. Fügen Sie 5 Beispiel-Einträge hinzu."

Schritt 5: Ordnen Sie Risiken den Annex-A-Kontrollen zu

Warum die Kontrollzuordnung wichtig ist

Ihre Erklärung zur Anwendbarkeit (SoA) muss nachweisen, dass die ausgewählten Kontrollen durch identifizierte Risiken gerechtfertigt sind. Dies schafft die Prüfungsspur:

Asset → Bedrohung → Schwachstelle → Risiko → Behandlung → Kontrolle(n)

Nutzung von KI für die Kontrollzuordnung

Für jedes hohe oder kritische Risiko:

"Welche ISO 27001:2022 Annex-A-Kontrollen adressieren das Risiko '[Risikobeschreibung]'? Erklären Sie für jede relevante Kontrolle: das spezifische Kontrollziel, wie sie das Risiko mindert, Implementierungsanforderungen und welche Nachweise benötigt werden, um die Compliance nachzuweisen."

Beispiel:

Risiko: Unbefugter Zugriff auf die Kundendatenbank (Bewertung: 20 – Kritisch)

Die KI-Antwort wird Kontrollen wie folgt zuordnen:

• A.5.15 Zugriffskontrolle: Implementierung von rollenbasiertem Zugriff mit geringsten Privilegien
• A.5.16 Identitätsmanagement: Zentrale Authentifizierung und Benutzerbereitstellung
• A.5.17 Authentifizierungsinformationen: Starke Passwortrichtlinien und MFA
• A.8.2 Privilegierte Zugriffsrechte: Eingeschränkter Admin-Zugriff mit Überwachung
• A.8.5 Sichere Authentifizierung: Multi-Faktor-Authentifizierung für alle Datenbankzugriffe

Erstellen Sie Ihre Kontrollauswahlmatrix

"Generieren Sie eine Kontrollauswahlmatrix, die zeigt, welche Annex-A-Kontrollen welche Risiken adressieren. Strukturieren Sie sie wie folgt: Risiko-ID, Risikobeschreibung, Risikobewertung, ausgewählte Kontrollen (mit Kontrollnummern), Begründung. Zeigen Sie die Beziehungen für unsere Top-10-Risiken."

Schritt 6: Dokumentieren Sie Ihre Risikobewertung

Erforderliche Dokumentation

ISO 27001-Prüfer werden Folgendes anfordern:

• Risikobewertungsmethodik: Wie Sie Risiken identifizieren und bewerten
• Asset-Inventar: Alle Informationswerte im Geltungsbereich
• Risikoregister: Vollständige Liste der identifizierten Risiken mit Bewertungen
• Risikobehandlungsplan: Wie jedes Risiko adressiert wird
• Kontrollzuordnung: Welche Kontrollen welche Risiken mindern
• Genehmigungen zur Risikoakzeptanz: Unterzeichnete Genehmigungen für akzeptierte Risiken

Nutzung von KI zur Erstellung umfassender Dokumentation

1. Generieren Sie eine Executive Summary:

   "Erstellen Sie eine Executive Summary unserer ISO 27001-Risikobewertung für die Präsentation vor der Geschäftsführung. Enthalten Sie: Gesamtzahl der bewerteten Assets, Anzahl der identifizierten Risiken nach Kategorie, Verteilung der Risikobewertungen, wichtige Erkenntnisse, empfohlene Prioritätsmaßnahmen und Budgetanforderungen. Zielgruppe: nicht-technische Führungskräfte."

2. Dokumentieren Sie die Methodik:

   "Schreiben Sie ein umfassendes Dokument zur Risikobewertungsmethodik für ISO 27001, einschließlich: Geltungsbereich und Ziele, Prozess zur Asset-Identifizierung, Ansatz zur Bedrohungs- und Schwachstellenanalyse, Skalen für Eintrittswahrscheinlichkeit und Auswirkung mit Beispielen, Risikoberechnungsformel, Kriterien für die Risikoakzeptanz, Rollen und Verantwortlichkeiten sowie Häufigkeit der Bewertung. Format für die Einreichung zur Prüfung."

3. Erstellen Sie prüffähige Berichte:

   "Generieren Sie eine Struktur für einen Risikobewertungsbericht, der den Anforderungen der ISO 27001-Klausel 6.1.2 entspricht. Enthalten Sie Abschnitte für: Methodik, Zusammenfassung des Asset-Inventars, identifizierte Risiken nach Kategorie, Entscheidungen zur Risikobehandlung, Begründung der Kontrollauswahl und Genehmigungsunterschriften."

Schritt 7: Validieren Sie mit Stakeholdern

Warum die Stakeholder-Überprüfung entscheidend ist

Die Risikobewertung ist keine Einzelaktivität. ISO 27001 verlangt Input von Risikoverantwortlichen, Asset-Besitzern und der Geschäftsführung, um sicherzustellen, dass:

• Risikobewertungen die operative Realität widerspiegeln
• Behandlungsentscheidungen mit den Geschäftsprioritäten übereinstimmen
• Ressourcenverpflichtungen realistisch sind
• Die Risikoakzeptanz die entsprechende Autorität hat

Durchführung von KI-gestützten Überprüfungssitzungen

Bereiten Sie Überprüfungsmaterialien vor:

"Erstellen Sie eine Präsentation für eine Überprüfungssitzung der Risikobewertung mit Abteilungsleitern. Enthalten Sie: Überblick über die Methodik, Zusammenfassung der Risiken in ihrer Abteilung, vorgeschlagene Behandlungspläne, erforderliche Maßnahmen ihres Teams und Budgetauswirkungen. Ziel: 30-minütige Präsentation."

Generieren Sie Diskussionsfragen:

"Erstellen Sie eine Liste von Fragen, die Sie Abteilungsleitern bei der Validierung von Risikobewertungen stellen sollten: Vollständigkeit der Assets, Realismus der Bedrohungen, Machbarkeit der Kontrollen, Verfügbarkeit von Ressourcen und Genauigkeit der geschäftlichen Auswirkungen."

Schritt 8: Planen Sie das laufende Risikomanagement

Anforderungen an die kontinuierliche Risikobewertung

ISO 27001-Klausel 6.1.3 verlangt eine Neubewertung der Risiken, wenn:

• Wesentliche Änderungen eintreten (neue Systeme, Geschäftsprozesse, Bedrohungen)
• Sicherheitsvorfälle erkannt werden
• Die Wirksamkeit von Kontrollen sich ändert
• In geplanten Intervallen (typischerweise jährlich oder während der Managementbewertung)

Einrichtung der Überwachung mit KI

1. Erstellen Sie Auslöser für die Neubewertung:

   "Definieren Sie spezifische Auslöser, die eine Neubewertung von Informationssicherheitsrisiken gemäß ISO 27001 erfordern. Enthalten Sie: technologische Änderungen, Geschäftserweiterungen, regulatorische Aktualisierungen, Sicherheitsvorfälle, Kontrollausfälle und M&A-Aktivitäten. Geben Sie für jeden Auslöser an, wer die Neubewertung initiiert und den Zeitrahmen."

2. Gestalten Sie Überwachungsprozesse:

   "Erstellen Sie einen vierteljährlichen Risikoüberprüfungsprozess für ISO 27001, einschließlich: zu verfolgender Metriken, wichtiger Risikoindikatoren, Tagesordnung für Überprüfungssitzungen, Berichtsvorlagen und Kriterien für die Eskalation von Risiken, die sich erhöht haben."

3. Erstellen Sie Workflows für die Neubewertung:

   "Entwerfen Sie einen Workflow für die Aktualisierung der ISO 27001-Risikobewertung, wenn [spezifische Änderung eintritt, z. B. 'Einführung eines neuen Cloud-Dienstes']. Enthalten Sie: wer die Bewertung durchführt, welche Assets/Risiken überprüft werden, Genehmigungsanforderungen und Dokumentationsaktualisierungen."

Häufige Fallstricke und wie KI hilft, sie zu vermeiden

Nächste Schritte auf Ihrer Implementierungsreise

Sie haben nun die Grundlage für die Risikobewertung abgeschlossen:

• ✓ Informationswerte identifiziert und klassifiziert
• ✓ Bedrohungen und Schwachstellen analysiert
• ✓ Risikobewertungen mit konsistenter Methodik berechnet
• ✓ Behandlungspläne entwickelt und Kontrollen zugeordnet
• ✓ Dokumentation für die Prüfung vorbereitet

Setzen Sie Ihre Reise mit dem nächsten Leitfaden fort: Erstellung von ISO 27001-Richtlinien und -Verfahren mit KI (demnächst verfügbar)

Im nächsten Leitfaden erfahren Sie, wie Sie:

• Prüfungsfähige Sicherheitsrichtlinien generieren
• Operative Verfahren für Annex-A-Kontrollen erstellen
• Ihre Erklärung zur Anwendbarkeit (SoA) aufbauen
• Vorlagen an Ihre Organisation anpassen
• Richtlinienkonsistenz im gesamten ISMS sicherstellen

Hilfe erhalten

Für laufende Unterstützung bei der Risikobewertung:

• Stellen Sie spezifische Fragen: Nutzen Sie Ihren Arbeitsbereich für detaillierte Anleitungen zu einzelnen Risiken
• Laden Sie bestehende Bewertungen hoch: Erhalten Sie eine Gap-Analyse Ihrer aktuellen Risikodokumentation
• Überprüfen Sie die Methodik: Lesen Sie Verantwortungsvolle KI-Nutzungspraktiken für die Risikobewertung
• Lernen Sie Arbeitsbereichsfunktionen: Optimieren Sie Ihre Arbeitsbereichsorganisation für komplexe Bewertungen