IT Risikoanalyse als Basis für die Abwehr von Cyber Risiken

IT/ Digital Risikometriken und Risikomassstäbe sind entscheidend

Objektive IT/ Digital Risikobeurteilung mit Varianz und Median

IT/ Digital Risiken sollten qualitativ möglichst gut beschrieben werden. Traditionelle Risikobewertungen beschreiben das Risiko mit Eintrittswahrscheinlichkeit und Schadeausmass. Die Eintrittswahrscheinlichkeit  ist ein "statistischer Häufigkeitswert der Vergangenheit" mit welchem bestenfalls die Vergangeheit und nur sehr schwer die heutigen und zukünftigen Risiken beurteilen kann. Mesit fehlen statistische Werte zu den Ereignissen, weshalb die Einschätzung der Eintrittswahrscheinlichkeit selbst zur grossen Unsicherheit und damit zum Risiko wird. Besser ist, wenn die IT/ Digital Risiken mit mehrere Risikoparametern und Risikometriken bzw. Risikomassstäbe beschrieben werden. Beispiele dazu sind:

• Schadenausmass quantitativ
• Schadenausmass qualitativ
• Ereignisdetektion
• Ereignisbewältigung
• IT/ Digital Risikoverantwortung/-zuordnung
• IT/ Digital Risikowahrnehmung
• Compliance
• Verlust Geschäftssteuerung

IT/ Digital Risiken sollten in jedem Fall objektiv und nicht nur subjektiv beurteilt werden. Dazu ist es sinnvoll zuerst im Rahmen einer Risikoselbsteinschätzung (ohne externe Beeinflussung) die zugeteilten Risiken für sich zu beurteilen und danach in einem Team Risk Assessement Workshop die individuellen Beurteilungsresultate abzugleichen zu einer objektiven Bewertung (Team Risk Assessment Workshop). Dabei spielen die Varianz und der Median eine entscheidende Rolle:

• Median: Der Median oder Zentralwert ist ein Mittelwert für Verteilungen in der Statistik. Der Median einer Auflistung von Zahlenwerten ist der Wert, welcher an der mittleren Stelle steht, wenn man die Werte der Grösse nach sortiert. Allgemein teilt ein Median einen Datensatz, eine Stichprobe oder eine Verteilung in zwei Hälften, so dass die Werte in der einen Hälfte kleiner gleich dem Medianwert sind, in der anderen grösser gleich.
• Varianz: Die Varianz ist ein Streuungsmass, welches die Verteilung von Werten um den Mittelwert kennzeichnet. Umso höher das Streumass, desto grösser sind die Abweichungen zum Mittelwert. Ist die Varianz zu gross, heisst dies, dass die Bewertungen für dieses Risiko stark auseinanderliegen, d.h. es gibt eine sehr unterschiedliche Bewertung des Risikos (Wahrnehmung und Empfinden des Risikos). Eine Auseinandersetzung mit dem IT/ Digital Risiko im Rahmen des Risikodialogs wird notwendig mit Klärung der Differenzen.