Risk Value (Risikowert)
Der Risk Value (Risikowert) ist das Ergebnis der Risikobestimmung nach ISO/SAE 21434. Jedes Bedrohungsszenario bekommt einen eigenen. Er ergibt sich aus dem Impact der zugehörigen Schadensszenarien und der Attack Feasibility der zugehörigen Angriffspfade. Er liegt zwischen 1 und 5; die 1 steht für minimales Risiko. In itemis SECURE heißt dieselbe Größe Risk Level (RL).
Matrix oder Formel
Wie aus den beiden Größen eine Zahl wird, lässt die Norm offen. Sie nennt Risikomatrizen und Risikoformeln als Beispiele, und Annex H zeigt beides. Die Beispielmatrix sieht so aus:
| Impact \ Feasibility | Very low | Low | Medium | High |
|---|---|---|---|---|
| Severe | 2 | 3 | 4 | 5 |
| Major | 1 | 2 | 3 | 4 |
| Moderate | 1 | 2 | 2 | 3 |
| Negligible | 1 | 1 | 1 | 1 |
Als Formel schlägt Annex H R = 1 + I × F vor, mit Zahlenwerten von 0 bis 2 für Impact und Feasibility. Für die beiden Szenarien im Beispiel kommt dasselbe heraus wie mit der Matrix. Mehr behauptet die Norm auch nicht. In anderen Feldern weichen die Ergebnisse ab: Severe bei very low ergibt nach der Formel 1, in der Matrix 2.
Was in der Matrix steckt
In der Zeile negligible steht überall eine 1. Wo der Schaden vernachlässigbar ist, ändert die Angriffsseite nichts mehr. In der Zeile severe fällt der Wert nie unter 2. Ein schwerer Schaden landet also nie beim Minimum, egal wie aufwendig der Angriff ist. Und in der Zeile moderate stehen bei low und bei medium jeweils eine 2. Eine Maßnahme, die einen Pfad von medium auf low drückt, ändert dort nichts am Risikowert.
Deshalb sollte die Organisation die Matrix einmal festlegen, statt sie jedem Projekt zu überlassen. Wer sie pro TARA anpasst, bekommt Risikowerte, die gleich aussehen, aber Verschiedenes bedeuten.
Mehrere Pfade, mehrere Schäden
Hat ein Szenario mehrere Angriffspfade, darf man ihre Ratings zusammenfassen, im Beispiel der Norm über das Maximum. Hängt es an mehreren Schadensszenarien oder Impact-Kategorien, darf es je Impact Rating einen eigenen Risikowert bekommen. Annex H schreibt deshalb “S: 5” für das Spoofing der Lichtanforderung: Der leichteste Pfad führt über Mobilfunk und ist high, der Schaden in der Kategorie Safety ist severe.
Was danach kommt
Der Risikowert ist die Grundlage der Risikobehandlung. Die Norm nennt keine Schwelle, ab der ein Risiko reduziert werden muss. Die Zahl liefert ein Argument. Entscheiden muss man trotzdem selbst. Wie Impact und Feasibility entstehen, beschreiben unsere Artikel zu Asset Identification und Impact Rating und zu Bedrohungsszenarien und Angriffspfaden.