Hallo,
auf Prozessebene möchte ich die Begründungen für den festgestellten Schutzbedarf für die verschiedenen Schadenskategorien je Schutzziel erfassen. Der Abschnitt der Wirkungsanalyse in jedem Prozessfenster ist aktuell der einzige Bereich, in dem ich die Begründungen hinterlegen könnte?
Das Feld Erläuterungen erscheint mir recht knapp (dargestellt), um sechs Schadenskategorien aufzuführen und die Begründungen zu ergänzen, warum man zu dem Schutzklassenergebnis gekommen ist.
Hallo @tbock ,
der Abschnitt Wirkungsanalyse ist in der Tat der Bereich zur Dokumentation des Schutzbedarfs.
Ich lese aus dem BSI-Standard 200-2 nicht heraus, dass man für jeden Prozess (und jedes Zielobjekt) jedes der Schadensszenarien begründen muss und würde dies auch nicht empfehlen. Die Schadensszenarien sollten beachtet werden, sie in jedem Fall separat zu betrachten und zu dokumentieren würde einen unverhältnismäßigen Aufwand bedeuten. Ich belege dies mit dem folgenden Auszug aus dem BSI Standard, in dem in keiner der Begründungen für den Schutzbedarf auch nur eines der Schadensszenarien erwähnt wird:
Das setzt sich bei allen weiteren Beispielen im Standard übrigens so fort.
Ich empfehle deshalb unter Berücksichtigung der Schadensszenarien die Dokumentation des jeweils „höchsten“ oder besser entscheidenden Grundes für die Schutzbedarfsfeststellung.
VG mflue
Support
Status
Shop
