Informationssicherheitsrisikobehandlung

Ist ein Risiko identifiziert und analysiert, stellt sich die Frage nach dem Umgang mit der Gefahr oder Bedrohung. Dafür stehen vier Alternativen zur Verfügung: Vermeidung, Akzeptanz, Verlagerung oder Reduzierung.

Die ISO/IEC 27001 verlangt in Abschnitt 6.1.3 einen Risikobehandlungsplan: Für jedes Risiko wird eine Option gewählt, die nötigen Maßnahmen werden festgelegt, mit den Referenzmaßnahmen aus Anhang A abgeglichen und in der Erklärung zur Anwendbarkeit (SoA) dokumentiert; Restrisiken genehmigen die Risikoeigentümer. Die Umsetzung des Plans steuert Abschnitt 8.3. Diesen Prozess setzen wir beim Aufbau eines ISMS nach ISO 27001 gemeinsam mit Ihnen auf.