Impact Rating (Schadensbewertung)
Das Impact Rating (Schadensbewertung) legt nach ISO/SAE 21434 fest, wie schwer der Schaden eines Schadensszenarios wiegt. Es ist die eine Hälfte des Risikos, die andere liefert die Attack Feasibility.
Vier Kategorien, vier Stufen
Bewertet wird je Impact-Kategorie: Safety, Financial, Operational und Privacy, kurz S/F/O/P. Jede Kategorie bekommt eine von vier Stufen: negligible, moderate, major oder severe. Ein Schadensszenario kann mehrere Kategorien zugleich treffen; eine Gewichtung zwischen ihnen gibt die Norm nicht vor.
Die vier Kategorien sind gesetzt, aber keine Obergrenze. Weitere sind erlaubt, etwa für regulatorische Folgen oder Reputationsschaden. Auch eigene Skalen darf eine Organisation verwenden, solange sie sich auf die Skalen der Norm abbilden lassen. Was als major zählt und was als severe, legt man einmal fest und hält sich dann daran.
Die Norm erlaubt eine Abkürzung: Ist der Schaden in einer Kategorie offensichtlich schwerer als alles, was in einer anderen passieren kann, muss man die andere nicht weiter analysieren. Das Beispiel der Norm: Safety steht auf severe, also braucht Financial keine eigene Analyse.
Wessen Schaden zählt
Bewertet wird aus Sicht der Verkehrsteilnehmer, in der Norm Road User genannt. Annex H führt etwa ein Schadensszenario, in dem Fahrer entgegenkommender Fahrzeuge geblendet werden. Diese Leute haben das Auto nie gekauft. Sie sind trotzdem der Maßstab.
Weitere Stakeholder wie Hersteller, Flottenbetreiber oder Zulieferer verlangt die Norm nicht, sie verbietet sie aber auch nicht. Wer sie mitbewertet, sollte den Kreis der Stakeholder für die ganze Organisation festlegen. Sonst messen zwei TARAs mit zwei Maßstäben, und ihre Ergebnisse lassen sich nicht mehr vergleichen.
Bei Safety redet die HARA mit
Safety-Bewertungen werden aus der ISO 26262-3 abgeleitet. Die Norm bildet die Safety-Kriterien in Tabelle F.1 auf ihre vier Stufen ab, und eine vorhandene Bewertung aus der HARA darf man wiederverwenden. Deshalb schreibt Annex H bei der Frontalkollision “Severe (S3)”. Für Financial, Operational und Privacy bietet Annex F eigene Tabellen an.
Vom Rating zum Risiko
Da jede Kategorie ein eigenes Rating bekommt, führen zwei Wege zum Risiko. Entweder bestimmt man je Impact Rating einen eigenen Risikowert. Das erlaubt die Norm, und Annex H schreibt deshalb “S: 5” statt einfach “5”. Oder man fasst alle Ratings zu einem Impact Level (IL) zusammen, üblicherweise über das Maximum. In itemis SECURE entsteht der IL so, gruppiert nach Kategorie und Stakeholder. Erst dieser Wert trifft in der Risikomatrix auf die Feasibility und ergibt den Risikowert.
Warum das Impact Rating der subjektivste Schritt der TARA ist und was dagegen hilft, beschreibt unser Artikel zu Asset Identification und Impact Rating.