Ohne Daten keine Wahrscheinlichkeit

đ Was beobachte ich?
“Wir können keine Wahrscheinlichkeiten angeben - uns fehlen die statistischen Daten.” Diesen Satz höre ich in fast jedem Risk-Assessment-Workshop. Die Folge: Risiken werden gar nicht bewertet oder mit bedeutungslosen Kategorien wie “mittel” versehen.
đŻ Was soll eigentlich erreicht werden?
Eine fundierte EinschÀtzung, wie plausibel der Eintritt eines Risikos ist.
â ïž Warum funktioniert das nicht?
Wer auf objektive Statistiken wartet, wartet bei singulĂ€ren Risiken fĂŒr immer. Die nĂ€chste Ransomware-Attacke auf genau diese Organisation ist kein wiederholbares Zufallsexperiment. Objektive HĂ€ufigkeiten helfen hier nicht weiter. Also passiert nichts - oder jemand schĂ€tzt ohne Methode.
đĄ Was funktioniert besser?
Subjektive Wahrscheinlichkeiten. Sie messen nicht eine Eigenschaft des Ereignisses, sondern die Gewissheit der betrachtenden Person ĂŒber den Eintritt. Das ist kein BauchgefĂŒhl: Auch subjektive Wahrscheinlichkeiten folgen denselben mathematischen Regeln wie objektive. Sie machen EinschĂ€tzungen transparent, nachvollziehbar und diskutierbar.
đđ
- Douglas Hubbard - Calibrated Estimation in Cyber Risk (FAIR Institute) https://www.fairinstitute.org/blog/cyber-risk-calibrated-estimation-learn-from-douglas-hubbard-faircon22
- Hubbard/Seiersen - How to Measure Anything in Cybersecurity Risk, 2nd Ed. https://www.wiley.com/en-us/How+to+Measure+Anything+in+Cybersecurity+Risk,+2nd+Edition-p-9781119892304
- Terje Aven - Foundations of Risk Analysis https://www.mindtherisk.com/literature/87-foundations-of-risk-analysis-a-knowledge-and-decision-oriented-perspective-by-terje-aven
- SRA Core Subjects of Risk Analysis https://www.sra.org/wp-content/uploads/2020/04/SRA-Core-Subjects-R2.pdf
- FAIR Institute - What is FAIR? https://www.fairinstitute.org/what-is-fair