Reaktion auf Cybersicherheit-Risiken

Die Reaktionen auf positive und negative Risiken sind sehr unterschiedlich. Bei negativen Risiken ergreifen Sie Maßnahmen, um die Auswirkungen auf das Ergebnis zu minimieren, aber bei positiven Risiken ergreifen Sie Maßnahmen, um die Auswirkungen auf das Ergebnis zu maximieren. Die folgende Tabelle zeigt mögliche Reaktionen auf positive und negative Risiken.

Risikotyp	Antwort	Definition
Positives Risiko	Ausnutzung	Maximierung der Wahrscheinlichkeit, dass das Risiko eintritt, um seine positiven Auswirkungen zu realisieren.
	Freigeben	Übertragung eines Teils des Eigentums an oder der Verantwortung für das Risiko auf eine andere Partei. Dies ist derselbe Ansatz wie bei einem negativen Risiko, und es wird versucht, den potenziellen Verlust oder Gewinn zu kontrollieren.
	Verbessern	Erhöhung der Bedingungen, die das Risiko schaffen, um die Chance zu maximieren.
	Ignore	Ignorierung der Möglichkeit des Risikos und keine Maßnahmen ergreifen. Diese Reaktion ist üblich, wenn die Wahrscheinlichkeit eines Risikos sehr gering ist oder wenn die Vorteile eines potenziellen positiven Ergebnisses minimal sind.
Negatives Risiko	Abschwächen	Minimiert die Wahrscheinlichkeit oder Wahrscheinlichkeit des Eintretens des Risikos.
	Übertragung	Verlagerung der Verantwortung oder Haftung für das Risiko auf eine andere Partei, z. B. durch den Abschluss einer Versicherungspolice, um das Risiko auf eine Versicherungsgesellschaft zu übertragen.
	Vermeiden	Beseitigung der Bedingungen, die das Risiko darstellen.
	Accept	Erkennung der Existenz des Risikos an, jedoch werden keine Maßnahmen ergriffen.

Bei negativen Risiken vermeiden, übertragen, mindern oder akzeptieren Organisationen das Risiko auf der Grundlage ihrer Risikobereitschaft und Risikobereitschaft. Sie versuchen, das Eintreten des Risikos zu verhindern, und wenn doch, versuchen sie, seine Auswirkungen auf die Gesamtmission zu minimieren.

Die positiven Reaktionen auf Risiken lassen sich am besten anhand von Beispielen veranschaulichen:

• Ausnutzen – Ein Sicherheitsbeauftragter erfährt, dass ein gut qualifizierter Sicherheitsexperte vor Kurzem beschlossen hat, eine neue Anstellung zu suchen, und arrangiert einen großzügigen Unterzeichnungsbonus, um den potenziellen Mitarbeiter in sein Team zu locken.

• Teilen – Der Leiter einer Geschäftseinheit möchte die Sicherheit durch den Einsatz eines Produkts zur Verwaltung privilegierter Zugriffe verbessern, verfügt jedoch nicht über ein ausreichendes Budget, um die Tools und Services im laufenden Haushaltsjahr zu erwerben. Der Leiter arbeitet mit einem Leiter aus einer anderen Geschäftseinheit zusammen, der das Tool als Pilotprojekt erwerben und implementieren und später die Installation erweitern wird, um beide Geschäftsbereiche zu unterstützen.

• Verbessern – Ein Mitarbeiter hat eine Möglichkeit erkannt, einen bestehenden Geschäftsprozess zu automatisieren, um Cybersicherheitsbedrohungen zu reduzieren. Dies erfordert jedoch Investitionen in Zeit und Ausrüstung. Angesichts der positiven Vorteile eines solchen Prozesses genehmigt der Manager Überstunden, um die Kapazitäten auszubauen, und verwendet vorhandene Hard- und Softwareressourcen, die den Fortgang des Projekts ermöglichen, für neue Zwecke.

• Ignorieren – Ein Finanzmanager erfährt, dass ein Mitarbeiter der Vertriebsabteilung eine neue Anwendung entwickelt hat, die eine mühsame und manuelle Aufgabe automatisiert. Die Anwendung wurde kürzlich nur für die Verwendung in der Verkaufsabteilung autorisiert. Der Finanzmanager erhält ohne ausdrückliche Genehmigung eine Kopie der neuen Anwendung, um sich in seiner Abteilung einen ähnlichen Vorteil zu verschaffen.