Cloudrisiken bewerten

Sobald das Governanceteam eingerichtet ist, besteht der nächste Schritt darin, alle erheblichen Risiken zu identifizieren und zu bewerten, die mit der Nutzung der Cloud Ihrer Organisation verbunden sind. Ein "Risiko" in diesem Zusammenhang ist ein potenzielles unerwünschtes Ergebnis, z. B. ein Sicherheitsverstoß, eine Complianceverletzung, ein Dienstausfall oder eine Kostenüberschreitung, die sich aus der Verwendung der Cloud ergeben könnten. Durch die Bewertung von Risiken erhält das Governanceteam die erforderlichen Informationen, um relevante Richtlinien im nächsten Schritt zu erstellen. Diese Risikobewertung sollte zunächst während des Governance-Setups durchgeführt und dann regelmäßig und wann immer wichtige Änderungen vorgenommen werden, z. B. neue Projekte, neue Bedrohungen, Audits und Vorfälle.

1. Identifizieren von Cloudrisiken

Beginnen Sie mit der Kompilierung einer umfassenden Liste der Risiken, denen die Organisation in der Cloud gegenübersteht. Konzentrieren Sie sich auf Risiken der allgemeinen Anwendbarkeit und nicht auf extrem Nischenszenarien. Sie können mit offensichtlichen Risiken mit hoher Priorität beginnen und die Liste im Laufe der Zeit erweitern.

1. Alle Cloudressourcen auflisten. Listen Sie alle Ihre Cloudressourcen auf, damit Sie die damit verbundenen Risiken umfassend identifizieren können. Sie können beispielsweise das Azure-Portal, Azure Resource Graph, PowerShell und Azure CLI verwenden, um alle Ressourcen in einem Abonnement anzuzeigen.

2. Entdecken Sie Cloudrisiken. Entwickeln Sie einen stabilen Risikokatalog, um Cloud-Governance-Richtlinien zu leiten. Um häufige Anpassungen zu vermeiden, konzentrieren Sie sich auf allgemeine Cloudrisiken, nicht auf Risiken, die für eine bestimmte Workload eindeutig sind. Beginnen Sie mit risiken mit hoher Priorität und entwickeln Sie im Laufe der Zeit eine umfassendere Liste. Allgemeine Risikokategorien sind die Einhaltung gesetzlicher Vorschriften, Sicherheit, Vorgänge, Kosten, Daten, Ressourcen und KI. Schließen Sie Risiken ein, die für Ihre Organisation einzigartig sind, z. B. Nicht-Microsoft-Software, Partner- oder Anbietersupport sowie interne Cloud-Kompetenzen.

3. Beziehen Sie wichtige Projektbeteiligte ein. Sammeln Sie Beiträge aus verschiedenen Organisationsrollen (IT, Sicherheit, Recht, Finanzen und Geschäftseinheiten), um alle potenziellen Risiken zu berücksichtigen. Mit diesem kollaborativen Ansatz wird eine ganzheitliche Ansicht der Risiken im Zusammenhang mit der Cloud sichergestellt.

4. Überprüfen Sie die Risiken. Engagieren Sie externe Experten, die über ein tiefes Verständnis der Cloud-Risikoidentifikation verfügen, um Ihre Risikoliste zu überprüfen und zu validieren. Diese Experten könnten Microsoft-Kontoteams oder spezialisierte Microsoft-Partner sein. Ihr Fachwissen hilft dabei, die Identifizierung aller potenziellen Risiken zu bestätigen und die Genauigkeit Ihrer Risikobewertung zu verbessern.

Azure-Erleichterung: Identifizieren von Cloudrisiken

Die folgende Anleitung soll Ihnen helfen, Cloudrisiken in Azure zu identifizieren. Es bietet einen Beispielstartpunkt für wichtige Kategorien von Cloud-Governance. Azure kann dazu beitragen, einen Teil des Prozesses zum Auffinden von Risiken zu automatisieren. Verwenden Sie Azure-Tools wie Azure Advisor, Microsoft Defender für Cloud, Azure-Richtlinie, Azure Service Health und Microsoft Purview.

• Identifizieren sie die Risiken für die Einhaltung gesetzlicher Vorschriften. Identifizieren Sie Risiken von Nichtcompliance mit rechtlichen und regulatorischen Rahmenbedingungen, die Clouddaten und -vorgänge betreffen. Kennen Sie die gesetzlichen Anforderungen Ihrer Branche. Verwenden Sie die Azure-Compliancedokumentation , um zu starten.

• Identifizieren sie Sicherheitsrisiken. Identifizieren Sie Bedrohungen und Sicherheitsrisiken, die die Vertraulichkeit, Integrität und Verfügbarkeit der Cloudumgebung gefährden. Verwenden Sie Azure, um Ihren Cloudsicherheitsstatus zu bewerten und Identitätsrisiken zu erkennen.

• Identifizieren sie Kostenrisiken. Identifizieren Sie Risiken im Zusammenhang mit den Kosten von Cloudressourcen. Kostenbezogene Risiken umfassen Überprovisionierung, Unterprovisionierung, Unternutzung und unerwartete Kosten durch Datenübertragungsgebühren oder Dienstskalierung. Verwenden Sie eine Kostenbewertung , um das Kostenrisiko zu identifizieren. Verwenden Sie Azure, um Kosten mit dem Azure-Preisrechner zu schätzen. Analysieren und Prognostizieren von Kosten für aktuelle Ressourcen. Identifizieren Sie unerwartete Änderungen bei Cloud-Kosten.

• Identifizieren sie Betriebsrisiken. Identifizieren Sie Risiken, die die Kontinuität von Cloudvorgängen gefährden, z. B. Ausfallzeiten und Datenverlust. Verwenden Sie Azure-Tools, um Risiken für Zuverlässigkeit und Leistung zu identifizieren.

• Identifizieren sie Datenrisiken. Identifizieren Sie Risiken im Zusammenhang mit der Datenverwaltung in der Cloud. Erwägen Sie die falsche Behandlung von Daten und Fehlern in der Datenlebenszyklusverwaltung. Verwenden Sie Azure-Tools, um Datenrisiken zu identifizieren und Risiken für vertrauliche Daten zu untersuchen.

• Identifizieren sie Ressourcenverwaltungsrisiken. Identifizieren Sie Risiken, die sich aus der Bereitstellung, Bereitstellung, Konfiguration und Verwaltung von Cloudressourcen ergeben. Identifizieren Sie Risiken für operative Exzellenz.

• Identifizieren Sie KI-Risiken. Regelmäßig rote Teamsprachenmodelle. Testen Sie KI-Systeme manuell und ergänzen Sie manuelle Tests mit automatisierten Risikoidentifikationstools für KI. Suchen Sie nach allgemeinen Fehlern bei der Interaktion zwischen Menschen und KI. Berücksichtigen Sie Risiken im Zusammenhang mit Verwendung, Zugriff und Ausgabe von KI-Systemen. Überprüfen Sie die Grundsätze der verantwortungsvollen KI und des verantwortungsvollen KI-Reifemodells.

2. Analysieren von Cloudrisiken

Weisen Sie jedem Risiko eine qualitative oder quantitative Rangfolge zu, damit Sie sie nach Schweregrad priorisieren können. Die Risikopriorisierung kombiniert Risikowahrscheinlichkeit und Risikowirkung. Bevorzugen Sie quantitative Risikoanalyse gegenüber qualitativ für genauere Risikopriorisierung. Um Cloudrisiken zu analysieren, befolgen Sie die folgenden Strategien:

Auswerten der Risikowahrscheinlichkeit

Schätzen Sie die quantitative oder qualitative Wahrscheinlichkeit jedes Risikos pro Jahr. Verwenden Sie einen Prozentbereich (0%-100%), um die jährliche, quantitative Risikowahrscheinlichkeit darzustellen. Niedrige, mittlere und hohe Bezeichnungen sind gängige Bezeichnungen für qualitative Risikowahrscheinlichkeit. Befolgen Sie die folgenden Empfehlungen, um die Risikowahrscheinlichkeit zu bewerten:

1. Verwenden Sie öffentliche Benchmarks. Verwenden Sie Daten aus Berichten, Studien oder Vereinbarungen auf Servicelevel, die allgemeine Risiken und deren Auftretensraten dokumentieren.

2. Analysieren sie historische Daten. Sehen Sie sich interne Vorfallberichte, Überwachungsprotokolle und andere Datensätze an, um zu ermitteln, wie oft ähnliche Risiken in der Vergangenheit aufgetreten sind.

3. Testen sie die Effektivität der Kontrolle. Um Risiken zu minimieren, bewerten Sie die Wirksamkeit der aktuellen Risikominderungskontrollen. Erwägen Sie die Überprüfung von Kontrolltestergebnissen, Prüfungsergebnissen und Leistungsmetriken.

Ermitteln der Risikoauswirkungen

Schätzen Sie die quantitativen oder qualitativen Auswirkungen des Risikos auf die Organisation. Ein geldpolitischer Betrag ist eine gängige Methode, um quantitative Risikowirkungen darzustellen. Niedrige, mittlere und hohe Bezeichnungen sind gängige Bezeichnungen für qualitative Risikowirkungen. Befolgen Sie die folgenden Empfehlungen, um die Auswirkungen von Risiken zu ermitteln:

1. Führen Sie Finanzanalysen durch. Schätzen Sie den potenziellen finanziellen Verlust eines Risikos, indem Sie Faktoren wie die Kosten für Ausfallzeiten, Rechtliche Gebühren, Geldbußen und die Kosten der Korrekturmaßnahmen betrachten.

2. Führen Sie eine Bewertung der zuverlässigkeitswirksamen Auswirkungen durch. Verwenden Sie Umfragen, Marktforschungen oder historische Daten zu ähnlichen Vorfällen, um die potenziellen Auswirkungen auf den Ruf der Organisation zu schätzen.

3. Führen Sie Betriebsunterbrechungsanalysen durch. Bewerten Sie den Umfang der Betriebsunterbrechungen, indem Sie Ausfallzeiten, Produktivitätsverluste und die Kosten alternativer Vereinbarungen schätzen.

4. Bewerten sie rechtliche Auswirkungen. Schätzen Sie potenzielle Rechtskosten, Geldbußen und Strafen im Zusammenhang mit Nichtcompliance oder Verstößen.

Risikopriorität berechnen

Weisen Sie jedem Risiko eine Risikopriorität zu. Die Risikopriorität ist die Wichtigkeit, die Sie einem Risiko zuweisen, damit Sie wissen, ob Das Risiko mit hoher, mittlerer oder niedriger Dringlichkeit behandelt werden soll. Die Risikowirkung ist wichtiger als die Risikowahrscheinlichkeit, da ein risikoreiches Risiko dauerhafte Folgen haben kann. Das Governanceteam muss eine konsistente Methodik in der gesamten Organisation verwenden, um Risiken zu priorisieren. Befolgen Sie die folgenden Empfehlungen, um die Risikopriorität zu berechnen:

1. Verwenden Sie eine Risikomatrix für qualitative Bewertungen. Erstellen Sie eine Matrix, um jedem Risiko eine qualitative Risikopriorität zuzuweisen. Eine Achse der Matrix stellt die Risikowahrscheinlichkeit (hoch, mittel, niedrig) und die andere Risikowirkung (hoch, mittel, niedrig) dar. Die folgende Tabelle enthält eine Beispielrisikomatrix:

   	Geringe Auswirkung	Mittlere Wirkung	Hohe Wirkung
   Niedrige Wahrscheinlichkeit	Sehr niedrig	Mäßig niedrig	Mäßig hoch
   Mittlere Wahrscheinlichkeit	Low	Mittelstufe	High
   Hohe Wahrscheinlichkeit	Mittelstufe	High	Sehr hoch

2. Verwenden Sie Formeln für quantitative Bewertungen. Verwenden Sie die folgende Berechnung als Basisplan: Risikopriorität = Risikowahrscheinlichkeit x Risikowirkung. Passen Sie die Gewichtung der Variablen nach Bedarf an, um die Ergebnisse der Risikopriorität anzupassen. So könnten Sie z. B. mehr Gewicht auf die Risikowirkungen mit dieser Formel legen: Risikopriorität = Risikowahrscheinlichkeit x (Risikowirkung x 1,5).

Zuweisen einer Risikostufe

Kategorisieren Sie jedes Risiko in eine von drei Ebenen: Hauptrisiken (Stufe 1), Subriss (Stufe 2) und Risikotreiber (Stufe 3). Mit Risikostufen können Sie eine geeignete Risikomanagementstrategie planen und zukünftige Herausforderungen antizipieren. Risiken der Ebene 1 gefährden die Organisation oder Technologie. Risiken der Stufe 2 fallen unter das Risiko der Stufe 1. Risiken der Ebene 3 sind Trends, die potenziell zu einem oder mehreren Risiken der Ebene 1 oder Stufe 2 führen könnten. Betrachten Sie beispielsweise die Nichteinhaltung von Datenschutzgesetzen (Ebene 1), unsachgemäße Cloud-Speicherkonfigurationen (Ebene 2) und die zunehmende Komplexität gesetzlicher Anforderungen (Ebene 3).

Bestimmen der Risikomanagementstrategie

Identifizieren Sie für jedes Risiko geeignete Risikobehandlungsoptionen, z. B. Vermeiden, Verringern, Übertragen oder Akzeptieren des Risikos. Geben Sie eine Erläuterung der Auswahl an. Wenn Sie zum Beispiel ein Risiko akzeptieren, da die Kosten für die Minderung zu teuer sind, sollten Sie diese Begründung für zukünftige Bezugnahme dokumentieren.

Risiko-Verantwortliche zuweisen

Legen Sie für jedes Risiko einen primären Risikobesitzer fest. Der Risikobesitzer hat die Verantwortung, jedes Risiko zu verwalten. Diese Person koordiniert die Risikomanagementstrategie in allen beteiligten Teams und ist der erste Ansprechpartner für die Risikoeskalation.

3. Dokumentieren von Cloudrisiken

Dokumentieren Sie jedes Risiko und die Details der Risikoanalyse. Erstellen Sie eine Liste der Risiken (Risikoregister), die alle Informationen enthält, die Sie benötigen, um Risiken zu identifizieren, zu kategorisieren, zu priorisieren und zu verwalten. Entwickeln Sie eine standardisierte Sprache für die Risikodokumentation, damit jeder die Cloudrisiken leicht verstehen kann. Berücksichtigen Sie die Einbeziehung dieser Elemente:

Weitere Informationen finden Sie im Beispiel für eine Risikoliste.

4. Kommunizieren von Cloudrisiken

Klares Vermitteln identifizierter Cloudrisiken für den Leitenden Sponsor und das Management auf Geschäftsleitungsebene. Ziel ist es, sicherzustellen, dass die Organisation Cloudrisiken priorisiert. Stellen Sie regelmäßige Updates zum Cloud-Risikomanagement bereit und kommunizieren Sie, wenn Sie zusätzliche Ressourcen benötigen, um Risiken zu verwalten. Fördern Sie eine Kultur, in der die Verwaltung von Cloud-Risikomanagement und Governance Teil des täglichen Betriebs ist.

5. Überprüfen von Cloudrisiken

Überprüfen Sie die aktuelle Cloudrisikoliste, um sicherzustellen, dass sie gültig und korrekt ist. Rezensionen sollten regelmäßig und auch als Reaktion auf bestimmte Ereignisse erfolgen. Verwalten Sie, aktualisieren Sie oder entfernen Sie Risiken bei Bedarf. Befolgen Sie die folgenden Empfehlungen, um Cloudrisiken zu überprüfen:

• Planen Sie regelmäßige Bewertungen. Legen Sie einen wiederkehrenden Zeitplan fest, um Cloudrisiken zu überprüfen und zu bewerten, z. B. vierteljährlich, jährlich oder jährlich. Suchen Sie eine Überprüfungshäufigkeit, die die Verfügbarkeit von Mitarbeitern am besten unterstützt, die Rate der Änderungen der Cloudumgebung und die organisatorische Risikotoleranz.

• Führen Sie ereignisbasierte Überprüfungen durch. Überprüfen Sie die Risiken als Reaktion auf bestimmte Ereignisse, z. B. die fehlgeschlagene Verhinderung eines Risikos. Erwägen Sie das Überprüfen von Risiken, wenn Sie neue Technologien einführen, Geschäftsprozesse ändern und neue Sicherheitsbedrohungen entdecken. Erwägen Sie außerdem, zu überprüfen, wann Sich die Technologie, die Einhaltung gesetzlicher Vorschriften und die Toleranz des Organisationsrisikos ändern.

• Überprüfen Sie Cloud-Governance-Richtlinien. Behalten Sie Cloudgovernancerichtlinien bei, oder entfernen Sie sie, um neue Risiken, vorhandene Risiken oder veraltete Risiken zu beheben. Überprüfen Sie nach Bedarf die Erklärung zur Cloudgovernance-Richtlinie und die Durchsetzungsstrategie für Cloud-Governance. Wenn Sie ein Risiko entfernen, bewerten Sie, ob die damit verbundenen Cloudgovernancerichtlinien weiterhin relevant sind. Wenden Sie sich an die Beteiligten, um die Cloud-Governance-Richtlinien zu entfernen oder die Richtlinien zu aktualisieren, um sie einem neuen Risiko zuzuordnen.

Beispielrisikoliste

Die folgende Tabelle ist eine Beispielrisikoliste, die auch als Risikoregister bezeichnet wird. Passen Sie das Beispiel an die spezifischen Anforderungen und den Kontext der Azure-Cloudumgebung Ihrer Organisation an.

Nächster Schritt