Wenn Sie möchten, können Sie mit den nachfolgenden Fragen Ihre Kenntnisse zur Risikoanalyse gemäß BSI-Standard 200-3 überprüfen. Die Auflösungen zu den Fragen finden Sie auf der nächsten Seite. Es können mehrere Antwortmöglichkeiten zutreffend sein.

Frage 1:

Wer trägt die Verantwortung für die bei einer Risikoanalyse getroffenen Entscheidungen zu einem IT-System?

1. der Administrator des IT-Systems
2. die Leitung der Institution
3. der Informationssicherheitsbeauftragte
4. das IS-Management-Team

Frage 2:

Welche Gefährdungen werden bei der Erstellung der Gefährdungsübersicht im ersten Schritt betrachtet?

1. die im Anhang von BSI-Standard 200-3 enthaltenen Risikokataloge
2. die relevanten elementaren Gefährdungen aus dem IT-Grundschutz-Kompendium
3. die im Anhang der Norm ISO 27005 angeführten Gefährdungen
4. die in den Abschnitten zur Gefährdungslage eines Bausteins angeführten spezifischen Gefährdungen

Frage 3:

Was bewerten Sie bei der Risikoeinschätzung?

1. die Häufigkeit des Eintretens einer Gefährdung
2. das mit einer Gefährdung verbundene Schadensausmaß
3. welche Schutzziele von einer Gefährdung betroffen sind
4. die Wirksamkeit der geplanten und umgesetzten Maßnahmen gegen eine Gefährdung

Frage 4:

Wodurch verlagern Sie ein Risiko?

1. durch den Abschluss einer Versicherung
2. durch Outsourcing des risikobehafteten Geschäftsprozesses an einen externen Dienstleister
3. durch Umstrukturierung des risikobehafteten Geschäftsprozesses
4. durch die Entscheidung, risikomindernde Maßnahmen erst dann umzusetzen, wenn die hierzu erforderlichen Finanzmittel bereitstehen

Frage 5:

Aus welchen Gründen kann es gerechtfertigt sein, auch ein hohes Risiko zu akzeptieren?

1. Der Aufwand für mögliche Schutzmaßnahmen ist unangemessen hoch.
2. Vergleichbare Institutionen akzeptieren das Risiko ebenfalls.
3. Es gibt keine wirksamen Schutzmaßnahmen gegen das Risiko.
4. Es ist bislang noch zu keinem nennenswerten Sicherheitsvorfall aufgrund der dem Risiko zugrunde liegenden Gefährdung gekommen.

Frage 6:

Wann ist die Risikoakzeptanz grundsätzlich unzulässig?

1. bei der Nichterfüllung von Basis-Anforderungen
2. beim Vorhandensein von elementaren Gefährdungen
3. bei sehr hohem Schutzbedarf
4. bei Nichterfüllung von Standard-Anforderungen