Risikomanagement in der Informationssicherheit (RIS)

Bei Informationssicherheit geht es immer um Risiken - man muss sie identifizieren, bewerten, behandeln und mitigieren, um die Sicherheit im Unternehmen steuern zu können. Es kommt also ganz schön auf die dabei verwendeten Vorgehensmodelle an - diese lernst Du in diesem Modul kennen.

Inhalte

• Risikobegriff: was ist Risiko? Sichtweisen aus Versicherung, Finanzen, Engineering und IT-Sicherheit
• Grunddimensionen des Risikos: Asset, Bedrohung, Schwachstelle, Auswirkung, Eintrittswahrscheinlichkeit
• Risiko-Frameworks im Überblick: ISO 31000, ISO/IEC 27005, NIST SP 800-30/-37/-39, COSO ERM, FAIR, OCTAVE
• Qualitative Bewertungsverfahren: Risk-Matrix, Heat Maps, Delphi, strukturierte Schätzverfahren
• Quantitative Bewertungsverfahren: ALE/SLE, Monte-Carlo-Simulation, FAIR-Quantifizierung, Umgang mit Unsicherheit
• Bedrohungsmodellierung: STRIDE, PASTA, Attack Trees
• Asset-Management und Schutzbedarfsfeststellung
• Risikoidentifikation und -analyse in der Praxis
• Risikobewertung und Priorisierung
• Risikobehandlung: Vermeiden, Reduzieren, Übertragen, Akzeptieren – Auswahl und Begründung
• Risikokommunikation, Stakeholder-Management und Reporting
• Risikoüberwachung und Key Risk Indicators (KRIs)
• Cyber-Risiken in der Praxis: Fallbeispiele, Patterns, Lessons Learned

Lernziele/Kompetenzen

Die Studierenden sind in der Lage,

• den Risikobegriff aus unterschiedlichen disziplinären Perspektiven sicher zu erläutern;
• die wichtigsten Risiko-Frameworks (insb. ISO 31000, ISO/IEC 27005, NIST RMF, FAIR) einzuordnen und ihre Stärken und Grenzen zu vergleichen;
• qualitative und quantitative Risikobewertungsmethoden situationsgerecht auszuwählen und anzuwenden;
• Bedrohungsmodelle für IT-Systeme zu erstellen;
• Risiken zu identifizieren, zu bewerten und konsensfähige Empfehlungen abzuleiten;
• Annahmen und Unsicherheiten transparent zu machen und ihre Grenzen zu kommunizieren;
• Risiko-Ergebnisse vor einem heterogenen Stakeholder-Publikum verständlich zu präsentieren;
• Risikobehandlungsstrategien fundiert auszuwählen und gegenüber Stakeholdern zu begründen;
• mit kritischen Rückfragen umzugehen und ihre Bewertung anzupassen, wenn neue Evidenz auftritt,
• ein vollständiges Risk-Assessment für ein gegebenes Fallszenario eigenständig durchzuführen.

Literatur

• J. Freund and J. Jones, Measuring and Managing Information Risk: A FAIR Approach. Oxford, U.K.: Butterworth-Heinemann, 2014, ISBN: 978-0-12-420231-3.
• D. W. Hubbard and R. Seiersen, How to Measure Anything in Cybersecurity Risk, 2nd ed. Hoboken, NJ, USA: John Wiley & Sons, 2023, ISBN: 978-1-119-89230-4, doi: 10.1002/9781119892335.
• F. Romeike, Risikomanagement. Wiesbaden, Germany: Springer Gabler, 2018, ISBN: 978-3-658-13951-3, doi: 10.1007/978-3-658-13952-0.

Dozentinnen / Dozenten

• Sebastian Krüsmann

Empfohlene Vorkenntnisse 

• Grundlagen der IT-Sicherheit sowie ein Verständnis grundlegender betrieblicher Zusammenhänge sind hilfreich.

Daten zum Modul

Semester	6/7
Unterrichtssprache	Deutsch
Häufigkeit	Wintersemester
Kreditpunkte (CP)	5
Modulverantwortlich	Prof. Dr. Sachar Paulus
Dauer	1 Semester
Studienleistung	Keine
Prüfungsvorleistung	Keine
Prüfungsleistung	Continuous Assessment (CA)

Semesterwochenstunden (SWS) 

Vorlesung	1 SWS
Übung	2 SWS
Projekt	1 SWS
Summe	4 SWS

Arbeitsaufwand (Workload) 

Vorlesung	15 h
Selbststudium	45 h
Aufgaben	60 h
Projekt	30 h
Summe	150 h