Thema der Woche

30. März 2007

Risikomanagement für KMUs

Eine neue Arbeitshilfe für das Risiko-Assessment und -Management kleiner und mittlerer Unternehmen (KMUs) hat die [externer Link] European Network and Information Security Agency (ENISA) veröffentlicht. Die 84-seitige PDF-Broschüre "Information Package for SMEs" liefert Entscheidungshilfen zur Auswahl und Implementierung eines geeigneten Risikomanagements und beschreibt einen vierphasigen vereinfachten Self-Asessment-Ansatz, der speziell auf KMU-Belange zugeschnitten ist und mit zwei Praxisbeispielen ausführlich erläutert wird.

Um das Ziel eines einfachen, aber dennoch umfassenden Blicks auf Risiko-Erfassung und -Management (RM) zu erreichen, ist das Dokument modular aufgebaut: verschiedene Kapitel sprechen verschiedene Rollen im RM-Prozess an. Die ENISA will dabei Nichtexperten weitestgehend vor der Komplexität allumfassender Risiko-Management-Verfahren bewahren und nur ein Minimum an Sicherheits-Materie vermitteln, um ein akzeptables Risiko-Niveau zu erreichen. Zielgruppe sind hierbei vor allem kleinere Organisationen mit begrenztem Security-Budget.

Als Beispiel für die Anwendung des vorgestellten Verfahrens dient erstens ein Unternehmen aus dem medizinischen Sektor, das Ärzten Online-Dienste bereitstellt und somit in seiner Datenbank kritische und schutzbedürftige Daten bereithält; dieses Beispielunternehmen ist in drei Abteilungen mit insgesamt rund 100 Mitarbeitern gegliedert. Als zweiter exemplarischer Anwender wird eine Kanzlei beschrieben, die aus fünf Anwälten und einem Sekretariat besteht und IT-Systeme im Wesentlichen für Ablage und Kommunikation nutzt.

Die neue Broschüre ist per Download von den Risk-Management/Risk-Assessment-Seiten der ENISA kostenlos erhältlich, die auch über andere RM-Verfahren und -Tools informiert.