Inhärentes Risiko

Was das inhärente Risiko ist

Das inhärente Risiko ist die rohe Gefährdung einer Tätigkeit oder eines Assets, bewertet so, als gäbe es keine Maßnahmen. Es liefert eine Ausgangsbasis, an der die Wirkung von Maßnahmen gemessen werden kann. Der Vergleich von inhärentem Risiko und Restrisiko zeigt, wie stark ein Maßnahmenpaket die Gefährdung tatsächlich verringert, was Investitionen in diese Maßnahmen begründet. Im deutschen Sprachgebrauch ist dafür auch der Begriff Bruttorisiko üblich, für den Restwert Nettorisiko.

So wird es bewertet

Eintrittswahrscheinlichkeit und Auswirkung werden für das Szenario eingeschätzt, wobei die vorhandenen Schutzmaßnahmen gedanklich entfernt werden: Was richtet eine Phishing-Kampagne an, wenn es weder Filter noch Awareness-Schulung noch Multi-Faktor-Authentisierung gäbe? Das Ergebnis ist ein Punkt in der Risikomatrix. Dasselbe Szenario wird anschließend ein zweites Mal mit den Maßnahmen bewertet; der Abstand zwischen beiden Punkten ist die Wirkung, die den Maßnahmen zugeschrieben wird.

Wo es hilft und wo es täuscht

• Es macht den Wert von Maßnahmen sichtbar: Eine Maßnahme, die ein Risiko von sehr hoch auf gering bringt, ist ihren Preis wert, eine ohne Effekt ist ein Kandidat für den Abbau.
• Es zeigt die Abhängigkeit von einer einzelnen Maßnahme: Ein großer Abstand zwischen inhärentem Risiko und Restrisiko, der an einer einzigen Vorkehrung hängt, ist selbst ein Klumpenrisiko.
• Es ist hypothetisch. Eine Welt ohne jede Maßnahme zu bewerten fällt schwer, und weder ISO/IEC 27001 noch ISO 31000 verlangen es. Viele Organisationen bewerten nur das aktuelle Risiko und halten fest, auf welche Maßnahmen die Bewertung sich stützt.

Welcher Weg auch gewählt wird: Das Risikoregister sollte angeben, welchen es verwendet, damit zwei Bewertungen desselben Szenarios vergleichbar bleiben.