FMEA: eine effektive Analysemethode zur Risikominderung?

Definition der FMEA-Methode?

FMEA wurde erstmals in den 1940er Jahren von der US-Armee gegründet. Es wurde später, in den 1960er Jahren, von der amerikanischen Firma McDonnell Douglas theoretisiert. Die FMEA konzentriert sich auf die Liste der Komponenten eines Artikels, um Daten über dessen Ausfälle sowie über die Häufigkeit und die Folgen dieser Ausfälle zu sammeln. Es wurde von der NASA, der US-Rüstungsindustrie und von Autoherstellern wie Toyota, Ford, Nissan, Peugeot und BMW eingesetzt.

‍

Was ist FMEA?

FMEA steht für „Failure Mode and Effect Analysis“ (FMECA, „Failure Mode Effects and Criticality Analysis“, kann manchmal auch zur Kritikalitätsanalyse verwendet werden). Dieses Verfahren wird verwendet, um eine prädiktive Analyse der Zuverlässigkeit eines Systems zu erhalten. Es basiert auf:

• Identifizierung der potenziellen „Fehlermodi“ eines Produkts/Systems/Prozesses, deren Folgen sich wahrscheinlich auf dessen einwandfreie Funktion auswirken;
• Bewertung der Risiken, die mit dem Auftreten von Ausfällen verbunden sind, anhand eines Kritikalitätsindex;
• Konzipierung von Präventions- und Abhilfemaßnahmen, die entweder während der Planung des Systems oder während seines Betriebs durchzuführen sind.

Wie der HAZOP-Analyse, FMEA bietet vorteilhafterweise eine umfassende Funktionsanalyse als Teil eines umfassenden Qualitätsansatzes, der auf maximale Betriebssicherheit abzielt. Es wird auch von Task Forces durchgeführt, die unterschiedliche Fähigkeiten zusammenbringen.

FMEA lässt sich problemlos auf IT-Systeme anwenden als Teil der Risikomanagement von Cybersicherheitsverletzungen. Ihr Hauptziel besteht in der Tat darin, Sicherheits- oder Zuverlässigkeitsmängel eines Systems zu erkennen.

‍

Verschiedene Arten der Fehlermodus- und Auswirkungsanalyse

Die Theorie unterscheidet im Allgemeinen zwischen zwei Arten von FMEA:

• Design FMEA zielt darauf ab, die Zuverlässigkeit und Sicherheit eines Produkts vor seiner Konstruktion zu messen;
• Dieselbe Analyse wird, wenn sie auf Prozesse angewendet wird, als Prozess-FMEA bezeichnet. Es muss die Qualität des Produkts während seiner Herstellung sicherstellen.

Einige Analysten fügen zu diesen beiden traditionellen Arten von FMEA noch die Maschinen-FMEA hinzu, die sich auf die Produktionskette konzentriert, und die FMEA-MSR, deren Zweck darin besteht, Fehler zu analysieren, die bei der Verwendung des Produkts durch den Kunden aufgetreten sind.

Allgemeiner gesagt gilt FMEA für Systeme, in einigen Fällen auch für Informationssysteme.

‍

An wen richtet sich FMEA?

Im Allgemeinen erfüllt FMEA die Erwartungen von Unternehmen, die die Zuverlässigkeit, Wartbarkeit und Sicherheit eines Systems oder Produkts gewährleisten möchten. Es ist auch ein Prozess, der Ihr Unternehmen für Zertifizierungen qualifiziert und sicherstellt, dass bestimmte Dokumente eingehalten werden. Hier sind ein paar Anwendungsbereiche:

• Design-FMEA wird in der Fertigungsindustrie zur Erstellung von Konstruktionsplänen und Schaltplänen zum Zwecke der Erlangung von Patenten verwendet;
• Prozess-FMEA hilft bei der Kalibrierung der Qualitätskontrolle;
• Die FMEA für Maschinen ist nützlich, um Anleitungen zur Wartung von Produktionslinien zu erstellen;
• Die Analyse der mit Warenströmen verbundenen Risiken hilft bei der Erstellung von Bestandsverwaltungsplänen.

‍

Was sind die Vorteile der Fehlermodus- und Auswirkungsanalyse?

Das Hauptziel der FMEA ist die Entwicklung von Präventiv- oder Korrekturmaßnahmen. Dies ist ein Ansatz, der auf Abzügen basiert. Es systematisiert die Fehlerarten beim Betrieb eines Produkts oder Systems, indem die Ursachen und Auswirkungen dieser Störungen analysiert werden. Es hilft, die potenziellen Risiken, die mit einem System verbunden sind, zu reduzieren — zum Beispiel Cyberrisiken im Zusammenhang mit Ihren Informationssystemen.

Unternehmen, die FMEA verwenden, um ihre Computersicherheit zu gewährleisten, sind bestrebt, ihr Informationssystem kontinuierlich zu verbessern, um das Auftreten von Ausfällen zu begrenzen. Sie untersuchen die Folgen von Cybersicherheitsausfällen, indem sie Tests durchführen. Anschließend bewerten sie die verschiedenen von ihnen identifizierten Cyberrisiken, indem sie deren Häufigkeit, Schweregrad und Erkennbarkeit untersuchen. Deshalb funktioniert es gut mit Methoden zur Kartierung von Cyberrisiken.

‍

‍

Wie bezieht sich FMEA auf Cybersicherheit?

Bei Anwendung auf Onlinesicherheit, FMEA kann in verschiedene Phasen unterteilt werden: Vorbereitung, Analyse und Nachbereitung. Dieser nicht präskriptive Ansatz gibt der Task Force einen gewissen Handlungsspielraum. Aus diesem Grund führt dieser Ansatz auch zu eher subjektiven Ergebnissen, die für das Risikomanagement nützlicher sind als für deren Vorbeugung. Tatsächlich handelt es sich bei der FMEA um eine Methode, die auf einer qualitativen Bewertung durch „Experten“ basiert. Sie verwendet sowohl Ordinalskalen als auch Nominalskalen, um die Häufigkeit und Schwere von Ausfällen abzuschätzen. Aus diesem Grund ist es in vielen Fällen schwierig, die Analyse erneut durchzuführen und dieselben Ergebnisse zu erzielen.

Vorbereitung des Umfangs der Fehleranalyse

Die ersten Schritte der FMEA beinhalten die Vorbereitung der Grundlagen für die Analyse:

1/Zusammenstellung der Task Force mit 5 bis 10 multidisziplinären Expertenprofilen

Diese Gruppe muss insbesondere aus einem Manager bestehen, beispielsweise dem Direktor für Informationssysteme, der in der Lage ist, Entscheidungen zu treffen und die vorgeschlagenen Maßnahmen einzuleiten. Zu ihr gehören Entwickler, aber auch Teilnehmer aus anderen Abteilungen, die wahrscheinlich von Cybersicherheitsverletzungen betroffen sind: Kommunikation, Qualität, Wartung, Lieferanten, Kunden usw.

2/Einführung von FMEA

Die Task Force trifft sich, um die Cybersicherheitsfragen im Zusammenhang mit der Durchführung der FMEA zu definieren. Es beschreibt die Ziele der Methode, die verfügbaren Dokumentationsressourcen und die verschiedenen Akteure der Analyse. Dieser Schritt bietet auch die Gelegenheit, eine Methode zur Bewertung der unten aufgeführten Risikokritikalitätsindizes sowie der für die Task Force als unzulässig erachteten Kritikalitätsschwelle festzulegen. Wie bei anderen qualitativen Ansätzen werden auch hier die Skalen festgelegt, die sich am schwierigsten und schwierigsten von einer Analyse auf eine andere übertragen lassen.

Analyse von Cyberrisiken und ihrer Kritikalität

Sobald die Aktion der Task Force eingerichtet ist, ist es an der Zeit, die Risiken zu analysieren:

3/Analyse der Ausfallursachen und ihrer Auswirkungen

Die Task Force identifiziert vergangene und potenzielle Cybersicherheitsverletzungen, indem sie das Computersystem schematisiert. Diese Grafik kann die Form einer Baumstruktur annehmen. Sie wird verwendet, um die Risiken entsprechend dem vom Unternehmen festgelegten Genauigkeitsgrad detailliert darzustellen. Die Logik der Analyse sollte auf die Identifizierung der Fehlerursachen ausgerichtet sein, die sich auf den voraussichtlichen Betrieb des Informationssystems beziehen:

• Für jeden identifizierten Fehlermodus muss nach möglichen Ursachen gesucht werden;
• Die wichtigsten Auswirkungen der einzelnen Ursache/Ausfälle auf IT-Anwender sollten ebenfalls untersucht werden.
• Letztlich muss die Task Force die wahrscheinlichsten Erkennungssignale für jede Ursache/Fehler-Kombination identifizieren.

4/Risikobewertung festgestellter Fehler.

Schweregrad, Häufigkeit des Auftretens und Erkennungsindizes werden verwendet, um die Kritikalität von Risiken zu bestimmen:

Kritikalität (C) = Vorkommen (O) × Schweregrad (S) × Erkennung (D).

Kritikalität wird oft auch als RPN bezeichnet, was für Risk Priority Number steht.

Jedes Unternehmen erstellt sein eigenes Ratingraster. Eine einfache Methode besteht darin, jedem Kriterium eine Indexnummer von 1 bis 4 zuzuweisen:

• Kriterium D misst die Fähigkeit zur Fehlererkennung: 1 für elementare, 2 für einfache, 3 für durchschnittliche und 4 für empfindliche Störungen;
• Das O gibt die Wahrscheinlichkeit des Auftretens des Fehlers an, vom niedrigsten zum höchsten.
• Kriterium S bewertet die Schwere der Auswirkungen des Fehlers auf die IT von geringfügig bis schwerwiegend.
• Je höher die Kritikalität C ist, desto schwerwiegender ist der Fehlermodus. Bei einer Bewertung von Indizes von 1 bis 4 stellt C ein ernstes Risiko ab Index 25 dar.

Wenn die Kritikalitätsschwelle für Cyberrisiken erreicht ist, muss die Task Force Korrekturmaßnahmen ergreifen.

Dieses Bewertungsraster basiert jedoch auf subjektiven Wahrnehmungen der Mitglieder der Task Force. In einem anderen Unternehmen würde es also nicht wirklich gut abschneiden. In der Tat ist FMEA eher ein qualitativer als ein quantitativer Cybersicherheitsansatz. Da sie auf nominalen oder ordinalen Skalen basieren, handelt es sich bei den Ergebnissen um Schätzungen, die nicht systematisch verifiziert werden können und nicht von einer mathematischen Wahrscheinlichkeit abhängen.

Für einen quantitativen und projektiven Ansatz ist die VaR-Methode (Value at Risk) besser geeignet. Sie besteht darin, zunächst die Höhe der zu erwartenden finanziellen Verluste im Falle eines Cyberangriffund verknüpft diese Zahlen dann mit der Wahrscheinlichkeit des Auftretens eines Cyberrisikos in einem bestimmten Zeitraum.

‍

Planung von Abhilfemaßnahmen und Sicherstellung der Folgemaßnahmen

Abhilfemaßnahmen gehen mit einer regelmäßigen Überwachung der Änderungen der Kritikalität von Cyberrisiken einher:

5/Durch Korrekturmaßnahmen muss die Kritikalität der Fehler verringert werden. Im Rahmen einer strategische Analyse von Cyberrisiken, dies kann die Schulung von Mitarbeitern, die Inanspruchnahme eines Firewall- oder Antiviren-Anbieters oder die Änderung interner Vorschriften zur Cybersicherheit beinhalten.

6/Die Task Force listet die kritischen Risiken auf, die regelmäßig überwacht und getestet werden sollten. Jede Abhilfemaßnahme erfordert außerdem eine verantwortliche Person, die für die Umsetzung des Aktionsplans und die regelmäßige Bewertung der Fehlerursachen, Auswirkungen und Kritikalität der Risiken verantwortlich ist.

Korrekturmaßnahmen sollten ebenfalls durchgesetzt werden, bis alle Kritikalitätsindizes unter den festgelegten Schwellenwerten liegen. Die Kritikalität sollte daher regelmäßig neu berechnet werden, wobei die neuen Werte für Auftreten, Schweregrad und Erkennung verwendet werden. Idealerweise sollten alle Indizes mit hohem Schweregrad auch mit den Indizes für niedrige Häufigkeit und Erkennung kombiniert werden.

‍