Risk Treatment (Risikobehandlung)
Die Risk Treatment Decision (Risikobehandlung) ist der letzte Schritt der Threat Analysis and Risk Assessment (TARA) nach ISO/SAE 21434. Für jedes Bedrohungsszenario entscheidet man anhand seines Risikowerts, was mit dem Risiko passiert. Die Norm lässt vier Optionen zu, auch mehrere zugleich:
- Vermeiden: Die Risikoquelle fällt weg, oder die Aktivität beginnt gar nicht erst.
- Reduzieren: Maßnahmen senken das Risiko.
- Teilen: Das Risiko wird verlagert, etwa über Verträge oder eine Versicherung.
- Behalten: Man trägt das Risiko bewusst.
Jede Option hat Folgen
Mit der Entscheidung ist der Schritt nicht fertig. Sie legt fest, welches Arbeitsprodukt als Nächstes entsteht.
Wer ein Risiko reduziert, braucht dafür mindestens ein Cybersecurity Goal. Das Goal sagt, was geschützt werden muss, aber nicht, wie. Das Wie beschreibt das Cybersecurity Concept mit seinen Cybersecurity Controls.
Teilen verlangt immer einen Cybersecurity Claim. Weg ist das Risiko damit nicht, es liegt nur zum Teil woanders.
Beim Behalten unterscheidet die Norm genauer. Laut einer Anmerkung in Clause 15 werden Begründungen fürs Behalten und Teilen als Claims festgehalten. Die Anforderung in Clause 9 ist enger: Einen Claim braucht das Behalten nur, wenn es auf Annahmen aus der Analyse beruht.
Vermeiden ist die einzige Option, die das Item selbst ändert. Die Norm verweist dafür auf das Änderungsmanagement, und die TARA muss die Änderung nachziehen.
Keine Schwelle in der Norm
Die Norm sagt nicht, ab welchem Risikowert man reduzieren muss. Sie verlangt an anderer Stelle nur, dass keine unvertretbaren Risiken übrig bleiben, etwa im Schwachstellenmanagement und bei der Validierung. Wo diese Grenze liegt, legt die Organisation fest.
Annex H entscheidet für beide Beispielszenarien gleich: reduzieren. Beim Spoofing der Lichtanforderung mit “S: 5” überrascht das niemanden. Beim Denial of Service mit “O: 2” schon eher. Ein niedriger Risikowert heißt also nicht automatisch, dass man das Risiko behalten darf.
Risikobehandlung in der Praxis
Die Verifikation der Konzeptphase prüft, ob die Entscheidungen vollständig, korrekt und konsistent mit der Analyse sind und ob Goals und Claims zu den Entscheidungen passen. Geprüft werden also Beziehungen: Szenario zu Entscheidung, Entscheidung zu Goal oder Claim. In einer Tabelle sind das Querverweise, die jemand von Hand pflegt.
Und die Entscheidung kommt wieder auf den Tisch. Bei jeder Schwachstelle muss man laut Norm entweder das Risiko neu bewerten und behandeln, bis kein unvertretbares Risiko übrig ist, oder die Schwachstelle mit einem verfügbaren Patch beseitigen. Ein Risiko, das man bei 2 behalten hat, steht nach einem veröffentlichten Exploit vielleicht bei 3. Einen Überblick über alle Schritte gibt unser Artikel zur TARA.