Aktuelle BremSec-Forum-Veranstaltung beschäftigte sich mit Risikoerkennung und -management
Wie von den Teilnehmern des letzten BremSec Forum im Januar gewünscht, wurde am 9. Mai das Thema "Risikoerkennung und -management: Theorie und praktische Umsetzung" diskutiert. Hierzu waren zum einen die Hochschule für Öffentliche Verwaltung und zum anderen das Ingenieurbüro für Informationssicherheit Frenz eingeladen worden, um über das Thema zu referieren. Die DECOIT GmbH war als steter Teilnehmer und IFIT-Mitglied vor Ort, um an der Diskussion teilzunehmen.
Den Anfang machte die Hochschule für Öffentliche Verwaltung Bremen, die den neuen Studiengang "Risiko- und Sicherheitsmanagement" vorstellte. Die Hochschule bildet hauptsächlich Beamte für den Öffentlichen Dienst aus. Dabei steht die Unternehmens- und Konzernsicherheit im Fokus. Das Thema Risikoerkennung bietet u.a. auch Bezüge zu Rechtswissenschaften, Kriminalwissenschaft und Methodenwissen, welches an der Hochschule auch gelehrt wird. Die Planung und Weiterentwicklung des Studiengangs wird mit der Praxis weiter vorangetrieben. Zusätzlich wird regelmäßig eine Risiko- und Sicherheitsmanagement-Veranstaltung geplant und durchgeführt.
Mit dem Ingenieurbüro für Informationssicherheit Frenz berichtete einer der ersten Absolventen der Hochschule über die Praxis. Das Unternehmen, welches erst seit 2009 besteht, besitzt diverse Zertifizierungen im Sicherheitsumfeld. Als Hauptfelder konnten genannt werden Informationssicherheit, Veranstaltungssicherheit und maritime Sicherheit. Alle Aspekte berühren dabei das Risikomanagement. Dieses bildet auch die Grundlage für ein umfassendes Sicherheitskonzepts, welches eine zuverlässige Grundlage für Konzepte und Planungen darstellt. Vorhandene Best-Practise-Methoden werden untersucht und ggf. verwendet.
Das Risikomanagement kann dabei in verschiedene Schritte unterteilt werden: Risikoidentifizierung, Risikoanalyse, Risikobewertung und Risikobewältigung. Beispiel-Checklisten sind vorhanden, wie z.B. KRITIS vom BSI, und werden in den Projekten genutzt. Auch das Expertenwissen von außen wird ggf. einbezogen, da man die Genauigkeit der Risikoanalyse damit verstärken kann. Mit der Eintrittswahrscheinlichkeit kann dann das Schadensausmaß für Unternehmen ungefähr berechnet werden. Dabei lässt sich das Restrisiko nicht komplett eliminieren; man kann dieses nur maximal abschwächen.
Bei den Empfehlungen sollte die Angemessenheit der Maßnahmen mit beachtet werden. Auch eine kontinuierliche Neubewertung sollte durchgeführt werden. Das Risikomanagement soll hauptsächlich helfen Schäden zu vermeiden. Technische Maßnahmen werden hierbei aber weniger überprüft und beurteilt; es stehen mehr die Sicherheitsstandards im Vordergrund. Bei der Bewertung der technischen Maßnahmen (z.B. die korrekte Konfiguration einer Firewall) könnte aber als externer Experte die DECOIT GmbH mit ihrer enormen Kompetenz behilflich sein. So lassen sich beide Ansätze miteinander geschickt kombinieren.
