1 Hugo Straumann, CT-SSM 17. Juni 2002 Security Risk Radar Hugo Straumann Methode Pilot Positionierung

Corporate Technology Für Dienstzwecke 2 Hugo Straumann, CT-SSM 17. Juni 2002 Schadensverhütende Massnahmen Schadenslimitierende Massnahmen Analyse Bewertung Massnahmen Umsetzung Prozess Reaktionszeit Zielerreichung Objekt Wir Schadenspotenzial Security risk model

Corporate Technology Für Dienstzwecke 3 Hugo Straumann, CT-SSM 17. Juni 2002 Fragen nach Risikokategorie und Objekttyp

Corporate Technology Für Dienstzwecke 4 Hugo Straumann, CT-SSM 17. Juni 2002 Wirtschaftlicher Wert Budget und Leistungserbringung Technisch Organi- sationell Rechtlich und Geistig Werte des Objekts in Prozent des Gesamten

Corporate Technology Für Dienstzwecke 5 Hugo Straumann, CT-SSM 17. Juni 2002 Performance Kennzahlen Einfluss Kunden Partner Umwelt Ressourcen Mitarbeiter Verfügbarkeit Ausfallstatistik Schnittstellen Energie Information Zielerreichung (Chancen, Risiken) Eintretens- wahrscheinlichkeit

Corporate Technology Für Dienstzwecke 6 Hugo Straumann, CT-SSM 17. Juni 2002 Reaktionsfähigkeit Verhältnis der Aktionszeit zu der Reaktionszeit Kritizität Geschäftstyp Risikogradient (Auswirkungsbeschleunigung) Aktionsgeschwindigkeit Detektionsgeschwindigkeit Selbstverschuldungsgrad Betroffenheit (Ausbreitung) Reaktionsmöglichkeit Kommunikation Eingriffsmöglichkeit (Hilflosigkeit, Abhängigkeit) Contingency Planning, Notfallplanung Erreichbarkeit, Kompetenz und Fähigkeit Bewusstsein

Corporate Technology Für Dienstzwecke 7 Hugo Straumann, CT-SSM 17. Juni 2002 Ziel definiert, Anweisungen, Vorgaben Polycis definiert Prozesse der Organisation festgelegt Objekt definiert, Schnittstellen Ziele bekannt, vereinbart Policies umgesetzt Verantwortlichkeit (befähigt) Freigaben Neuinstallationen, Change Management Risikoanalysen in den Prozessen Bewusstsein fördern Kennzahlen Reporting definiert Ziel definiert Ziel vereinbart Freigabe Kennzahlen Prozess Umsetzungsgrad der Sicherheitsprozesse

Corporate Technology Für Dienstzwecke 8 Hugo Straumann, CT-SSM 17. Juni 2002 Umfang und Vollständigkeit der umgesetzten Massnahmen Zielerreichung und Risiken bekannt Kennen Sicherheitsprozess gelebt Umsetzungsgrad Ausbildung Stand der Prozesse Allgemein geforderte Massnahmen umgesetzt Audit Massnahmen zur Schadenbegrenzung Konzept Bereitschaft Massnahmen

Corporate Technology Für Dienstzwecke 9 Hugo Straumann, CT-SSM 17. Juni 2002 Schadenpotenzial Wert in Prozent des Gesamten Maximal mögliche Auswirkung auf: Verfügbarkeit Ausfallkosten Personen leibliche Schäden Image - Vertraulichkeit und Authentizität - Integrität - Vertrauensverlust Andere Kosten - Schadenersatz - Ressourcen - Umwelt

Corporate Technology Für Dienstzwecke 10 Hugo Straumann, CT-SSM 17. Juni 2002

Corporate Technology Für Dienstzwecke 11 Hugo Straumann, CT-SSM 17. Juni 2002

Corporate Technology Für Dienstzwecke 12 Hugo Straumann, CT-SSM 17. Juni 2002

Corporate Technology Für Dienstzwecke 13 Hugo Straumann, CT-SSM 17. Juni 2002

Corporate Technology Für Dienstzwecke 14 Hugo Straumann, CT-SSM 17. Juni 2002 Security Risk Radar

Corporate Technology Für Dienstzwecke 15 Hugo Straumann, CT-SSM 17. Juni 2002 Sicherheitsbalance Wert Zielerreichung Reaktions- fähigkeit Prozess Massnahmen Schadenpotenzial Kennzahlen Sicherheitsvorfälle Betriebsunterbrüche Unfälle Kosten aus Schaden wegen Sicherheitsmängel Sicherheitskosten zur Risikoverminderung

Corporate Technology Für Dienstzwecke 16 Hugo Straumann, CT-SSM 17. Juni 2002 Das Optimum der Sicherheitskosten Vorfälle Verhütung

Corporate Technology Für Dienstzwecke 17 Hugo Straumann, CT-SSM 17. Juni 2002 Strategische Sicherheitsrisiken identifizieren Frühzeitiges Erkennen potentiell auftretender Sicherheitsrisiken über verschiedene Gruppengesellschaften Schnelles und direktes Feedback über den Sicherheitsstand in den Gruppengesellschaften Rascher Überblick durch die Bildung von Risikokennzahlen, übergreifendes Controlling, Benchmarking Freiwilliger Einsatz Aufwand pro Risikoeinschätzung Stunden

Corporate Technology Für Dienstzwecke 18 Hugo Straumann, CT-SSM 17. Juni 2002 Area of further interest Time for risk analysis System or network complexity Established risk analysis methods Risk radar Business risks Consortium risks mgmt Complex system risks

Corporate Technology Für Dienstzwecke 19 Hugo Straumann, CT-SSM 17. Juni 2002 Danke für die Aufmerksamkeit und kühle Sommertage