Hallo Herr @Cotttin,
da die Risikoanalyse auch eines meiner Lieblingsthemen ist, steige ich gerne in die Diskussion ein 
Bei der angesprochenen Fragestellung handelt es sich gemäß BSI-Standard 200-3 Kapitel 4.1 um die Ermittlung von elementaren Gefährdungen als Ausgangspunkt für die Risikoanalyse, also nicht die Risikoanalyse selbst!
Die Ermittlung von elementaren Gefährdungen ist wie dort beschrieben nur für benutzerdefinierte Bausteine erforderlich:
„Für bestehende Bausteine wurde bereits vorab eine Risikoanalyse durchgeführt und damit wurden für diese Bausteine bereits die relevanten elementaren Gefährdungen ermittelt, die als Ausgangspunkt der Gefährdungsanalyse verwendet werden können.“
Für vom BSI im IT-Grundschutz-Kompendium veröffentlichte Bausteine ist dieser Schritt demnach nicht mehr erforderlich und eben kein Bestandteil der durchzuführenden Risikoanalyse!
Allein bei der Erstellung benutzerdefinierter Bausteine ist demnach die Ermittlung der elementaren Gefährdungen (sowie die Ermittlung eventueller zusätzlicher Gefährdungen) erforderlich.
Primäres Ziel sollte dabei sein, die relevanten Gefährdungen zu ermitteln und für die Risikoanalyse in den benutzerdefinierten Baustein zu übernehmen, wie auch im Standard gefordert:
„„Direkt relevant“bedeutet hier, dass die jeweilige Gefährdung auf das betrachtete Zielobjekt einwirken kann und deshalb im Rahmen der Risikoanalyse behandelt werden muss.“
Erst im zweiten Schritt würde ich persönlich die irrelevanten Gefährdungen hinterfragen und wo sinnvoll im Baustein selber dokumentieren, warum diese ausgeschlossen wurden. Der Einfachheit halber dokumentiere ich das ganz konkret in einem Dokument Ermittlung elementarer Gefährdungen und hänge es in verinice an den Baustein an. Ich würde diese Gefährdungen aber eben nicht mit in den Baustein aufnehmen und mir aufbürden dann in der Risikoanalyse doch wieder alle 47 elementaren Gefährdungen bewerten zu müssen!
Ich persönlich halte es in diesem Kontext auch nicht für sinnvoll, sprich einen Mehrwert für die Informationssicherheit bietend, wenn ich begründe, warum ich die Gefährdung Feuer als irrelevant für das Zielobjekt Betriebssystem bewerte. Die Beispiele im BSI-Standard 200-3 sind diesbezüglich in meinen Augen zum Teil unglücklich gewählt.
Der folgende Abschnitt aus dem Standard fasst den letztgenannten Punkt stichhaltig zusammen:
„„Nicht relevant“ heißt hier, dass die jeweilige Gefährdung nicht auf das betrachtete Zielobjekt ein wirken kann und deshalb für dieses Zielobjekt im Rahmen der Risikoanalyse nicht behandelt werden muss.“
Analog würde ich auch mit den Gefährdungen mit indirekter Wirkung verfahren, wobei ich den folgenden Abschnitt aus dem Standard heranziehe:
„„Indirekt relevant“ meint hier, dass die jeweilige Gefährdung zwar auf das betrachtete Zielobjekt einwirken kann, in ihrer potenziellen Wirkung aber nicht über andere (allgemeinere) Gefährdungen hinausgeht. In diesem Fall muss die jeweilige Gefährdung für dieses Zielobjekt nicht gesondert im Rahmen der Risikoanalyse behandelt werden.“
Zusammenfassend lässt sich sagen, dass die Ermittlung der elementaren Gefährdungen als der Risikoanalyse vorgeschalteter Aufgabe für einen benutzerdefinierten Baustein resultiert in:
-
Einem benutzerdefinierten Baustein mit relevanten elementaren und zusätzlichen Gefährdungen für die anschließende Risikoanalyse.
-
Einer (wo sinnvoll) stichhaltig begründeten Liste mit als irrelevant bewerteten elementaren Gefährdungen und elementaren Gefährdungen, deren Wirkung als indirekt betrachtet wird, die zur Dokumentation an den Baustein angehängt wird.
Beides kann ich in verinice perfekt, das heißt stichhaltig nachvollziehbar und mit geringstmöglichem Aufwand dokumentieren.
Ich hoffe meine Antwort trifft auf Ihre Zustimmung und freue mich ggfs. auf weitere Diskussion.
MfG mflue
um mein Lieblingsthema Risikoanalyse. Im Zuge unseres Audits kam nochmals die Diskussion hoch, wie Gefährdungen mit einer indirekten Wirkung bzw. nicht relevante Gefährdungen sinnvoll und übersichtlich dokumentiert werden können. So wie ich es sehe, ist dies aktuell in verinice nicht möglich. Ich meine tatsächlich das Thema hier auch schon mal gelesen zu haben, aber ich kann es im Moment nicht mehr finden.
