Quantitative Risikoberechnung und warum der klassische Basisansatz SLE/ALE im Bereich Informationssicherheit nicht ausreichend ist um auch den tatsächlichen Geschäftsschaden zu berechnen.
<<Teaser - Voller Beitrag demnächst! >>
Das klassische Berechnungsmodell (SLE - Single Loss Expectancy und ALE-Ansatz - Annualized Loss Expectancy) für quantitative Risikoberechnung ist sicherlich vielen bekannt. In diesem Beitrag erläutere ich, warum ich denke, dass der ALE-Ansatz nicht ausreichend ist um den tatsächlichen Schaden bei z.b. einem Cyberangriff quantitativ zu berechnen.
Die aktuelle Formel berechnet lediglich als würde beim Diebstahl eines Servers nur der Buchwert des Servers verloren gehen. In der modernen Cybersecurity-Welt macht der direkte Hardware- oder Lizenzwert (Asset Value) oft nur einen Bruchteil des Gesamtschadens aus.
Anbei zur Erinnerung die klassisch verwendete Formel und die dazu gehörigen Parameter:
Berechnung SLE (Single Loss Expectancy):
-
Asset Value (AV): Der finanzielle Gesamtwert des zu schützenden Vermögenswerts (inkl. Wiederbeschaffung, Datenwert, Ausfallkosten).
-
Exposure Factor (EF): Der Prozentsatz des Wertverlusts, den ein bestimmtes Risiko am Asset verursacht (0 bis 100 %).
-
Single Loss Expectancy (SLE): Der finanzielle Schaden, der bei einem einzelnen Schadensereignis entsteht:
SLE = AV x EF
Berechnung ALE (Annualized Loss Expectancy):
-
Annual Rate of Occurrence (ARO): Die geschätzte Häufigkeit, mit der das Ereignis innerhalb eines Jahres eintritt (z. B. 0,5 bei einmal alle zwei Jahre).
-
Annualized Loss Expectancy (ALE): Der durchschnittliche finanzielle Verlust pro Jahr durch dieses spezifische Risiko:
AL= SLE x ARO
In Kürze (schaut demnächst vorbei):
Wir schauen uns an wie wir die Formeln für SLE und ALE erweitern, indem wir direkte (Kosten wie Forensik, Incident Response, Backups etc.) und indirekte (Umsatz Ausfallzeiten, Regulatorische Kosten. Haftung etc.) Faktoren mit einberechnen.