Ist das Risiko verschwunden, nachdem Sie eine Kontrolle umgesetzt haben?
Kurzantwort
Nein. Kontrollen senken Risiken, beseitigen sie aber selten. NIST definiert Restrisiko als den Teil des Risikos, der nach Anwendung von Sicherheitsmaßnahmen verbleibt. Dieser Rest muss bewertet, im Risikoregister festgehalten und vom Risikoeigner formal akzeptiert oder weiter reduziert werden. Ein Risiko als erledigt zu markieren, nur weil eine Kontrolle existiert, verdeckt Kontrollversagen, Lücken und neue Bedrohungen.
Neue GRC-Analysten markieren ein Risiko oft als erledigt, sobald eine Maßnahme ausgeliefert ist. Das Register sollte sorgfältiger sein.
Die Definition
Das NIST-Glossar definiert unter anderem mit Verweis auf NIST SP 800-30 Rev. 1 das Restrisiko als den Teil des Risikos, der nach Anwendung von Sicherheitsmaßnahmen verbleibt. NISTIR 8286 formuliert es als das Risiko, das bleibt, nachdem Risikoreaktionen dokumentiert und umgesetzt wurden.
Was Sie damit tun
- Neu bewerten: Eintrittswahrscheinlichkeit und Auswirkung unter der Annahme, dass die Kontrolle wie geplant wirkt.
- Festhalten: den Restwert neben dem inhärenten Wert im Risikoregister.
- Entscheiden: Der verantwortliche Eigner akzeptiert es formal, oder Sie behandeln weiter (mehr Kontrollen, Transfer, Vermeidung).
- Überprüfen: regelmäßig, denn Kontrollen verfallen und Bedrohungen ändern sich.
Warum die Distraktoren scheitern
Das Risiko sinkt nicht auf null, nur weil eine Kontrolle existiert, und die Kontrollart (technisch, Richtlinie, Prozess) ist dafür nicht ausschlaggebend. Eine Verdopplung ist eine unbelegte Übertreibung: Eine gut gestaltete Kontrolle senkt das Risiko.
Was Interviewer hören wollen
Ein klares „Nein, es bleibt ein Restrisiko" – verbunden mit der Gewohnheit, es zu dokumentieren und von einem Eigner akzeptieren zu lassen.
Wahrscheinliche Anschlussfragen
- Wie unterscheiden sich inhärentes Risiko und Restrisiko, und wann bewerten Sie welches?
- Wer darf ein Restrisiko akzeptieren, und was gehört in die Dokumentation?
- Wie testen Sie, ob eine Kontrolle das Risiko wirklich wie angenommen senkt?