Der Risiko-Check IT

Der Risiko-Check IT Risiken systematisch identifizieren und bewerten Stuttgart, 26.02.2010 Seite 1 AXA Versicherung AG Inhalt 1. Risiken eines IT-Unternehmens und deren Versicherungslösungen 2. Der Risiko-Check IT als Hilfe zur Selbsteinschätzung 3. Unser Software-Tool als Einstieg in ein ganzheitliches Risikomanagement 4. Zusammenfassung Seite 2 1. Risiken eines IT-Unternehmens und deren Versicherungslösungen Ansprüche Dritter Eigenschäden Personenschaden Sachen (inkl. Daten) Sachschaden Vermögen Kostenschaden Seite 3 1. Risiken eines IT-Unternehmens und deren Versicherungslösungen Ansprüche Dritter Haftpflichtversicherung (gesetzl. Haftung!) Personen- und BetriebshaftpflichtV / Sachschäden inkl. BerufshaftpflichtV daraus folgender Kostenschäden Kostenschäden Produkte: ProdH-V VermögensschadenH-V Seite 4 1. Risiken eines IT-Unternehmens und deren Versicherungslösungen Beispiele (Haftpflicht) - Lösungen Programmierung einer Maschine führt zu Betriebshaftpflicht (Sachschaden) – einem Sachschaden (Anlagencrash) Achtung! Ggf. Bearbeitungsschaden! Verlust fremder Daten (Löschung, Betriebshaftpflicht (Sachschaden) Verfügbarkeit, Integrität etc.) oder VermögensschadenH-V! (häufigster Schaden!) Betriebsunterbrechung beim Kunden Aufgrund Schaden an fremden (z. B. Serverausfall) Sachen: Betriebshaftpflicht Ansonsten: VermögensschadenH-V (reiner Vermögensschaden) Kostenschaden durch fehlerhafte Software VermögensschadenH-V (z. B. falsche oder fehlende Abrechnungen) (reiner Vermögensschaden) Seite 5 1. Risiken eines IT-Unternehmens und deren Versicherungslösungen Eigenschäden Sachversicherungen 1. Sachen Sachen Sachinhalts-V (Gebäude, Inventar, eigene Daten) Elektronik-V bei Bedarf: Gebäude-V 2. Vermögen Betriebs- Betriebsunterbrechungs-V unterbrechung (BU) (Achtung! Unterschiede je nach Ursache: Feuer, Elektronik etc.) Seite 6 1. Risiken eines IT-Unternehmens und deren Versicherungslösungen Beispiele (Sach) - Lösungen Server beschädigt durch Überspannung, Sachinhalts-V / Elektronik-V! Leitungswasser, Rauchgase o. ä. Datenverlust ggf. nur über Elektronik-V gedeckt Betriebsunterbrechung z. B. durch Ausfall Betriebsunterbrechungs-V (BU-V) des eigenen Rechenzentrums aufgrund (auf ausreichende Versicherungssumme eines Sachschadens achten!) Datenverlust ohne vorausgehendem Spezielle Deckungsbausteine zur Sachschaden (z. B. durch Viren oder Elektronik-V und BU-V Fehlbedienung) Achtung! Meist Ausschluss für sowie darauf folgende Malware und DoS-Attacken Betriebsunterbrechung Seite 7 1. Risiken eines IT-Unternehmens und deren Versicherungslösungen Sonderthemen Rechtsverteidigungs- Rechtsschutz-V kosten (ggf. Strafrechtsschutz) in Haftpflicht-V integriert! Rechtsverletzungen VermögensschadenH-V (z. B. Datenschutz, Achtung! mögliche Ausschlüsse Urheberrecht) beachten Vertrauensschaden Vertrauensschaden-V (z. B. Veruntreuung durch Mitarbeiter) Seite 8 1. Risiken eines IT-Unternehmens und deren Versicherungslösungen Praxisbeispiel Im Extranet eines großen Versicherers werden einem Großmakler interne Kundendaten eines anderen Maklers zugespielt. Ursache: Programmierfehler eines externen Dienstleisters (= Versicherungsnehmer VN) (Potentieller) Schaden Versicherungsmöglichkeit a) Datenlöschung der falsch zugespielten a) VermögensschadenH-V Daten (Protokollierung, Zertifikat) b) VermögensschadenH-V b) Betrügerische Nutzung der Daten und (Vertrauensschaden für den Versicherer) dadurch Schadenersatzansprüche c) VermögensschadenH-V c) Verstoß gegen Datenschutzgesetz d) Erfüllungsschaden, keine Deckung! d) Korrektur der Programmierung e) Ggf. als Betriebsunterbrechung e) Imageschaden des Versicherers anzusehen VermögensschadenH-V f) Kundenverlust des Dienstleisters (VN) f) Nicht versicherbar Seite 9 2. Der Risiko-Check IT als Hilfe zur Selbsteinschätzung Download: www.axa.de/it-check Seite 10 2. Der Risiko-Check IT als Hilfe zur Selbsteinschätzung Grundschutzkatalog BSI als Orientierung In der neusten Ergänzungslieferung wurden die Anregungen des AXA Risiko-Checks IT vom BSI aufgenommen! – Hilfsmittel: www.bsi.bund.de/cln_183/ContentBSI/grundschutz/kataloge/hilfmi/checklisten/ch ecklisten.html Seite 11 2. Der Risiko-Check IT als Hilfe zur Selbsteinschätzung Aufbau: Potentielles Risiko (systematische Abfrage) Mögliche Schadenhöhe (Selbsteinschätzung) Derzeitige Deckung (Erkennung von Deckungslücken) Hinweis auf Versicherungsmöglichkeit/Einordnung Seite 12 3. Unser Software-Tool als Einstieg in ein ganzheitliches Risikomanagement 1. Vom RM-Prozess zum Risikoanalyse-Tool 2. Anwendung des Risikoanalyse-Tools 3. Nutzen für den Anwender Seite 13 Kernelement des Risikomanagements Schritt 1: Schritt 2: Identifikation Bewertung kontinuierlicher Risikomanagement-Prozess Schritt 4: Überwachung Schritt 3: Maßnahmen Seite 14 Grundidee des Risikoanalyse-Tool Schritt 2: Schritt 1: Bewertung Identifikation kontinuierlicher RM-Prozess Schritt 4: Überwachung Schritt 3: Maßnahmen Umsetzung der 4 Schritte des RM-Prozess in ein Software-Tool Unabhängige Insellösung: Eigenständige Erfassung der Risiken eines Unternehmensbereich Einbettung in das unternehmensweite RM: Einfache Übertragung der Ergebnisse Seite 15 Schritt 1: Identifikation Schritt 2: Bewertung Anwendung des Risikoanalyse-Tool: 1. Risikoidentifikation kontinuierlicher RM-Prozess Schritt 4: Überwachung Schritt 3: Maßnahmen Methodische Unterstützung bei der Risikoidentifikation durch branchenspezifisch angepasste Risikomatrix und Checkliste Systematische Erfassung aller für das Unternehmen relevanten Risiken Seite 16 Schritt 1: Identifikation Schritt 2: Bewertung Anwendung des Risikoanalyse-Tool: 2. Risikobewertung kontinuierlicher RM-Prozess Schritt 4: Überwachung Schritt 3: Maßnahmen Bewertung der Risiken nach Relevanz oder mit Hilfe von Szenarien Unterteilung aller Risiken in Relevanzstufen von unbedeutend bis bestandsgefährdend Ermittlung von Schadenszenarien nach Höhe und Wahrscheinlichkeit Seite 17 Schritt 1: Identifikation Schritt 2: Bewertung Anwendung des Risikoanalyse-Tool: 3.