Statt „Schwere 3, Wahrscheinlichkeit 4“: erwarteter Jahresverlust in Euro
Niemand kennt die Häufigkeit eines Ransomware-Vorfalls auf zwei Stellen. Aber jeder Verantwortliche kann sagen: seltener als alle 20 Jahre wird es nicht sein, alle fünf Jahre ist realistisch, häufiger als einmal im Jahr wäre eine Überraschung. Genau diese drei Aussagen nimmt das Modul, dazu drei Werte für den Schaden je Ereignis, und rechnet mit der Unsicherheit statt sie wegzurunden: Eine Monte-Carlo-Simulation spielt 10.000 Jahre durch und liefert die Verteilung des Jahresverlusts. Am Ende steht nicht „Schwere 3, Wahrscheinlichkeit 4“, sondern: erwarteter Jahresverlust 210.000 Euro, in neun von zehn Jahren unter 650.000 Euro, im schlimmsten simulierten Jahr 2,3 Millionen. Das ist die Sprache, in der über Budget, Versicherung und Risikoappetit entschieden wird.
Jede Quantifizierung hat einen festen Seed aus Risiko und Stufe. Ein Bericht von gestern lässt sich exakt wiederholen, auf jeder Instanz. Wer sehen will, wie stark die Zahlen am Zufall hängen, rechnet mit anderem Seed neu; bei 10.000 Iterationen bewegt sich der ALE um etwa ein Prozent.
Das Speichern einer Quantifizierung verändert die Risikoanalyse nie. „Schwere ableiten“ ist ein eigener Schritt mit eigenem Recht und schreibt den P90 des Einzelschadens in die finanzielle Schadensdimension, nicht den ALE, denn die Matrix multipliziert selbst mit der Wahrscheinlichkeit.
Ist und Ziel ergeben den Vorher-Nachher-Vergleich; die Wirkung der zugeordneten Maßnahmen wird multiplikativ verknüpft und als Vorschlag in die Zielstufe gelegt. Der ROSI rechnet mit Jahreskosten plus Einmalkosten über die Abschreibungsjahre, nicht mit einer Zahl aus dem Bauch.
Ein Risiko, das die Geschäftsführung in ihrer eigenen Währung lesen kann, mit einer Rechnung, die ein Prüfer wiederholen kann.
Vereinbaren Sie eine unverbindliche Demo – wir zeigen Ihnen das Modul an Ihren eigenen Anwendungsfällen.
