Mobile-Menu

Definition Was ist Residual Risk?

Von TheRacoon 2 min Lesedauer

Anbieter zum Thema

ECHO eG
mibeca GmbH – Mike Bergmann Akademie

In Zeiten der immer stärkeren Vernetzung sind sichere IT-Systeme essenziell, um sensible Daten und Prozesse zu schützen und Prozesse am Laufen zu halten. Grundlage dafür sind Maßnahmen zur Risikoreduzierung. Ein Restrisiko, das sogenannte Residual Risk, besteht aber in jedem Fall.

Grundlagenwissen zum IT-Business(Bild: © adiruch na chiangmai - Fotolia.com)
Grundlagenwissen zum IT-Business
(Bild: © adiruch na chiangmai - Fotolia.com)

Im Rahmen der IT-Sicherheit sprechen wir von verschiedenen Risikobegriffen. Beim Residual Risk handelt es sich um das sogenannte Restrisiko. Also das Restrisiko, das nach dem Ergreifen von Maßnahmen noch übrigbleibt und gar nicht oder nur zu unverhältnismäßig großem Aufwand eliminiert werden kann.

Risiken lassen sich gerade im Bereich der IT-Sicherheit durch die Entwicklung von Technologien und den Faktor Mensch nicht vollständig ausschließen. Dieses Restrisiko muss eine Organisation akzeptieren und selbst tragen. Die Festlegung des tragbaren Residual Risk obliegt jeder Organisation selbst.

Einordnung des Residual Risk in das IT-Sicherheitsmanagement

Das Risikomanagement in der IT-Sicherheit besteht aus 5 Stufen, an dessen Ende das Residual Risk steht. Je nach Organisation kann jede Stufe unterschiedlich stark ausgeprägt und gewichtet werden.

  • 1. Risikovermeidung: Präventives Vermeiden von Risiken, denen ausgewichen werden kann. z.B. die korrekte Konzeption von IT-Systemen.
  • 2. Risikoverminderung: Hierbei geht es um die Risikosenkung durch die Einführung von Schutzmaßnahmen. z.B. Sicherheitsupdates durchführen, passende Sicherheitssoftware beschaffen, Beschränken von Zugängen und Rechten, um den Faktor Mensch als Einflussfaktor zu reduzieren. Bei der Risikovermeidung und der Risikoüberwälzung handelt es sich um Maßnahmen, die vor dem Eintritt des Schadensfalls liegen. Die folgenden Stufen betreffen die Schadensbegrenzung nach dem Eintritt eines Ereignisses.
  • 3. Risikobegrenzung: Unter den Punkt der Risikobegrenzung fallen alle Maßnahmen, die beim Eintreten des Schadensfalls das Risiko vermindern. Ein typisches Beispiel ist das Anlegen von regelmäßigen Backups im Rahmen von Backup-Strategien.
  • 4. Risikoabwälzung: Diese umfasst das vertragliche teilweise oder vollständige Übertragen eines Risikos auf einen Dritten. Im IT-Umfeld ist dies klassischerweise der Abschluss entsprechender Versicherungen.

Was beim Residual Risk unbedingt zu beachten ist

Übrig bleibt nach dem Abzug des Risikos in den vorhergegangenen Schritten schließlich nur noch das Residual Risk. Grundsätzlich gilt: Die Anpassung und Evaluierung des Residuals ist ein kontinuierlicher Prozess im Zuge des Risikomanagements. Wichtig ist dies, um die IT-Sicherheitsmaßnahmen auf ihren Erfolg hin zu überprüfen. Zu beachten ist ebenfalls das Einbeziehen neuer Risiken, Technologien und gesetzlicher Vorgaben. Ohne die ständige Überprüfung und Anpassung würde das Residual Risk unbemerkt steigen und die im Zuge des Risikomanagements festgelegte Risikotoleranz überschritten wird.

(ID:49889170)

Wissen, was läuft

Täglich die wichtigsten Infos aus dem ITK-Markt

Mit Klick auf „Newsletter abonnieren“ erkläre ich mich mit der Verarbeitung und Nutzung meiner Daten gemäß Einwilligungserklärung (bitte aufklappen für Details) einverstanden und akzeptiere die Nutzungsbedingungen. Weitere Informationen finde ich in unserer Datenschutzerklärung. Die Einwilligungserklärung bezieht sich u. a. auf die Zusendung von redaktionellen Newslettern per E-Mail und auf den Datenabgleich zu Marketingzwecken mit ausgewählten Werbepartnern (z. B. LinkedIn, Google, Meta).

Aufklappen für Details zu Ihrer Einwilligung

Weiterführende Inhalte

Jobs