An approach to continuous information security risk assessment focused on security measurements

Diese Dissertation schlägt ein Konzept für die wissensbasierte Integration von Sicherheitskennzahlen in ein umfangreiches Risikomodell vor, welches die kontinuierliche Anpassung von subjektiven Schätzungen durch empirisch gemessene Daten ermöglicht. Die Evaluierung des Konzeptes und Prototyps durch eine Abteilung des Abwehramtes zeigte, dass die Entscheidung zur Verwendung des umfangreichen IT-Grundschutz Frameworks die richtige war. Die neuartige Möglichkeit, Sicherheitskennzahlen zu modellieren und mit Risikofaktoren zu verknüpfen zeigte sich als besonders wertvoll, da Angriffsvektoren dargestellt und deren Korrelationen beurteilt werden können, welche Einblicke in die damit zusammenhängenden Risiken ermöglichen. Durch den hohen Detailgrad und die einfache Wartbarkeit der Gefährdungs- und Sicherheitsmaßnahmen-Kataloge können auch komplexe Modelle mit relativ geringem Aufwand auf dem neuesten Stand gehalten werden. Ein weiterer Vorteil besteht in der einfachen Integration mit Anforderungen des Österreichischen Informationssicherheitshandbuches, welches IT-Grundschutz stark referenziert. Die Verwendung eines rollenbasierten Ansatzes sowie die Möglichkeit, mehrere Ziel-Qualifizierungslevels und -Reifegrade für unterschiedliche Bereiche oder Unternehmenswerte zu managen, wird durch die Vorgehensweise konsequent unterstützt. Die Visualisierung der relativen Gefährdungspotentiale sowie die Bereitstellung von Sichten auf die kontinuierlichen Risiko- und Kennzahl-Trends erhöht die Verwertbarkeit der Ergebnisse. Durch die Einbindung von Sensoren kann auf situationsbezogene Daten kontinuierlich oder in einstellbaren Intervallen reagiert werden, wobei die Integration der IT-Grundschutz Kreuzreferenzen eine Schätzung der Gefährdungspotentiale unterstützt. Grafische Indikatoren und ein anpassbarer Wissensmanagement-Ansatz reduzieren den Aufwand, der üblicherweise benötigt werden würde, um die Relation zwischen Sicherheitskennzahlen und Risiken darzustellen, und stellt so eine handhabbare Methode zur Verfügung, um empirische Daten in ein subjektives Risikomodell zu integrieren.This thesis proposes a concept for the knowledge based integration of security measurements into a comprehensive risk assessment model that allows us to continuously adjust subjective estimations based on empirical measurement data. The evaluation of the concept and the prototype by a unit of the Federal Ministry of Defense has shown that basing the model on the German IT-Grundschutz framework was the right choice. The novel ability to model and relate security measures with respective risk factors has turned out to be a powerful instrument, enabling the assessment of attack vectors and their correlations and associated insights into organizational risks. As the threat and safeguard library is comprehensive and well maintained, keeping a detailed system current can be achieved with considerably less effort. Another benefit of this decision is that it is much easier to integrate with security requirements based on the Austrian Information Security Manual, which heavily references the German IT-Grundschutz framework. Following a role based approach is also becoming the standard in security modeling and measurement and is consequently supported by the approach, as is the ability to define multiple qualification and maturity targets for different scopes or assets. The visualization of relative exposure and the continuous overview of organizational risks and trends add to the usability of the approach. Being sensor-based, situation-related data can be updated either continuously or in defined intervals and the integration of the IT-Grundschutz cross-reference framework makes it possible to also estimate perceived threats. Graphical indicators and an adapted knowledge management approach help to reduce the effort usually associated with the definition of measure to risk relations and provide a practical and manageable way for the integration of empirical measurement data into an initially subjectively estimated risk assessment model