Skip to main content
Ein Risiko durchläuft von der Bewertung bis zur Überwachung drei Phasenwechsel. Jeder hat eine Vorbedingung. Wir gehen die Kette an einem Beispiel durch und nennen je Wechsel, was ihn blockiert.

​
Ausgangslage

Die Docusnap Sports GmbH betreibt ihre Warenwirtschaft auf einem SAP-System. Das Backup liegt im selben Netz. Ransomware auf dem Applikationsserver erreicht auch das Backup. Der Schutzbedarf der Systeme ist gesetzt — siehe Schutzbedarf setzen.

​
1. Bedrohung und Schwachstelle bereitstellen

Ein Risiko braucht mindestens eine Bedrohung und eine Schwachstelle. Beide sind eigene, wiederverwendbare Einträge.
1

Bedrohung importieren

Unter ISMS › Risikomanagement › Bedrohungen öffnet Importieren den Bedrohungskatalog. Wir suchen „Ransomware” und übernehmen den Treffer. Importierte Einträge zeigen ihre Herkunft in der Spalte Quelle.
2

Schwachstelle anlegen

Unter Schwachstellen legen wir über Schwachstelle den Eintrag „Backup nicht netzgetrennt” an, mit Kategorie und Beschreibung. Für Schwachstellen gibt es keinen Katalog.

​
2. Risiko anlegen und bewerten

Risiko öffnet den Assistenten. Bezeichnung Ransomware-Befall SAP-Datenbank; im Schritt Assets die drei Systeme der Warenwirtschaft; in den folgenden Schritten die Bedrohung und die Schwachstelle. Alle Schritte: Risiken bewerten. Im Schritt Bewertung setzen wir beide Bewertungen: Ist-Bewertung Möglich × Katastrophal, Ziel-Bewertung Unwahrscheinlich × Erheblich. Strategie Reduzieren. Im Feld Verantwortlicher tragen wir eine Person ein.
Mit allen vier Bewertungswerten entsteht das Risiko in der Phase Bewertung. Fehlt ein Wert, steht es in Identifiziert. Der Schritt Zusammenfassung nennt die Phase.

​
3. Maßnahme verknüpfen

Wir öffnen das Risiko, Tab Maßnahmen. Maßnahme öffnet einen Dialog: eine bestehende Maßnahme verknüpfen oder eine neue anlegen. Wir legen Offline-Backup der SAP-Datenbank an: Turnus Wiederkehrend, Intervall 3, Einheit Monate.
Nur eine wiederkehrende Maßnahme hat den Tab Nachweise. Bei Einmalig fehlt er. Siehe Wiederkehrende Maßnahmen nachweisen.

​
4. Phasenwechsel durchführen

Der Lebenszyklus steht im Tab Bewertung. Jeder Wechsel verlangt eine Begründung im Feld Begründung für den Phasenwechsel. Ist eine Vorbedingung nicht erfüllt, wird der Wechsel nicht ausgeführt. Der Hinweis nennt den Grund; bei fehlender Maßnahme bietet er den Sprung in den Tab Maßnahmen an.
Risikomatrix und Behandlungsstrategie sind nur in der Phase Bewertung bearbeitbar. Ändern Sie die Bewertung, bevor Sie die Phase verlassen. Sonst führt der Weg zurück über einen weiteren Phasenwechsel mit Begründung.

​
5. In der Überwachung arbeiten

In der Überwachung zeigt der Tab Bewertung den Stand der Überprüfung: überfällig, in den nächsten 28 Tagen fällig oder nicht fällig. Überprüfung abschließen schreibt einen Eintrag in den Tab Überprüfung mit Geprüft am, Geprüft von und Ergebnis. Der Ergebnistext ist Pflicht.
Wird in der Überwachung das Überprüfungsdatum entfernt, setzt Docusnap365 die Phase beim Speichern auf Bewertung zurück und meldet das vorher.

​
6. Nach der Prüfung neu einordnen

Aus der Überwachung führen zwei Wege in die Bewertung:
Überprüfung + neu bewerten kann nicht rückgängig gemacht werden. Vor dem Ausführen erscheint eine Rückfrage. Für eine Neueinordnung ohne Verlust der Bewertung nehmen Sie den Phasenwechsel.

​
Weiterführend

Nachweise der Maßnahme: Wiederkehrende Maßnahmen nachweisen. Dieselbe Maßnahme für ein Regelwerksziel: Ziele bewerten.