Begriffe im Risikomanagement
Bedrohung + Schwachstelle = Gefährdung
Bedrohung (englisch „threat“)
Sie ist eine Klasse potenzieller Ereignisse, durch deren Eintreten ein Schaden ausgelöst werden kann.
Eine Bedrohung wird erst durch das Vorhandensein einer oder mehrerer entsprechender Schwachstellen (englisch „vulnerabilities“), etwa einer fehlenden Absicherung, zur Gefährdung
Beispiele Bedrohungen: technisches Versagen, höhere Gewalt, menschlisches Irrtum, Au0en und Innentäter
Schwachstelle (englisch „vulnerability“)
Eine Schwäche eines Informationswertes oder einer Sicherheitsmaßnahme, die von einer Bedrohung ausgenutzt werden kann
Gefährdung (englisch „hazard, applied threat“)
Eine Gefährdung besteht demnach im Falle der Anwesenheit einer Bedrohung bei gleichzeitigem Vorhandensein einer oder mehrerer Schwachstellen.
Die allgemeine Definition der ISO 27001 beschreibt Bedrohungen wie folgt: "eine mögliche Ursache eines unerwünschten Vorfalls, der zu Schaden für ein System oder eine Organisation führen kann.“
Social Engineering: Dabei werden menschliche Eigenschaften, wie z. B. Hilfsbereitschaft, Vertrauen, Angst oder Respekt vor Autoritäten, ausgenutzt. Das Ziel ist die Personen zu manipulieren.
Häufig dient Social Engineering dem Eindringen in ein fremdes Computersystem, um vertrauliche Daten einzusehen.
Schadeneintrittswahrscheinlichkeit x Schadensauswirkung = Risiko
Eintreten eines Bedrohungsereignisses + offene ausnutzbare Schwachstelle = Informationssicherheitsvorfall
Informationssicherheitsvorfall + Schaden tritt ein = Schadensfall
Vorfall (englisch „incident“)
Das tatsächliche Eintreten eines Bedrohungsereignisses unter Ausnutzung der Schwachstelle
Schadensfall (englisch „accident“)
Ist das Resultat, wenn der Vorfall einen (messbaren) Schaden verursacht.