breakpilot-compliance/admin-compliance/lib/sdk/demo-data/risks.ts

/**
 * Demo Risks for AI Compliance SDK
 */

import { Risk, RiskMitigation } from '../types'

export const DEMO_RISKS: Risk[] = [
  {
    id: 'demo-risk-1',
    title: 'Unbefugter Zugriff auf personenbezogene Daten',
    description: 'Risiko des unbefugten Zugriffs auf Kundendaten durch externe Angreifer oder interne Mitarbeiter ohne entsprechende Berechtigung.',
    category: 'Datensicherheit',
    likelihood: 3,
    impact: 5,
    severity: 'CRITICAL',
    inherentRiskScore: 15,
    residualRiskScore: 6,
    status: 'MITIGATED',
    mitigation: [
      {
        id: 'demo-mit-1a',
        description: 'Implementierung von Multi-Faktor-Authentifizierung für alle Systemzugriffe',
        type: 'MITIGATE',
        status: 'COMPLETED',
        effectiveness: 40,
        controlId: 'demo-ctrl-1',
      },
      {
        id: 'demo-mit-1b',
        description: 'Rollenbasiertes Zugriffskonzept mit Least-Privilege-Prinzip',
        type: 'MITIGATE',
        status: 'COMPLETED',
        effectiveness: 30,
        controlId: 'demo-ctrl-2',
      },
    ],
    owner: 'CISO',
    relatedControls: ['demo-ctrl-1', 'demo-ctrl-2'],
    relatedRequirements: ['demo-req-1', 'demo-req-2'],
  },
  {
    id: 'demo-risk-2',
    title: 'KI-Bias bei automatisierten Entscheidungen',
    description: 'Das KI-System könnte systematische Verzerrungen aufweisen, die zu diskriminierenden Entscheidungen führen, insbesondere bei der Bewerbungsvorauswahl.',
    category: 'KI-Ethik',
    likelihood: 4,
    impact: 4,
    severity: 'HIGH',
    inherentRiskScore: 16,
    residualRiskScore: 8,
    status: 'MITIGATED',
    mitigation: [
      {
        id: 'demo-mit-2a',
        description: 'Regelmäßiges Bias-Monitoring mit Fairness-Metriken',
        type: 'MITIGATE',
        status: 'COMPLETED',
        effectiveness: 30,
        controlId: 'demo-ctrl-5',
      },
      {
        id: 'demo-mit-2b',
        description: 'Human-in-the-Loop bei kritischen Entscheidungen',
        type: 'MITIGATE',
        status: 'COMPLETED',
        effectiveness: 25,
        controlId: 'demo-ctrl-6',
      },
    ],
    owner: 'Data Science Lead',
    relatedControls: ['demo-ctrl-5', 'demo-ctrl-6'],
    relatedRequirements: ['demo-req-5', 'demo-req-6'],
  },
  {
    id: 'demo-risk-3',
    title: 'Datenverlust durch Systemausfall',
    description: 'Verlust von Kundendaten und KI-Modellen durch Hardware-Defekte, Softwarefehler oder Naturkatastrophen.',
    category: 'Verfügbarkeit',
    likelihood: 2,
    impact: 5,
    severity: 'HIGH',
    inherentRiskScore: 10,
    residualRiskScore: 3,
    status: 'MITIGATED',
    mitigation: [
      {
        id: 'demo-mit-3a',
        description: 'Tägliche inkrementelle und wöchentliche Vollbackups',
        type: 'MITIGATE',
        status: 'COMPLETED',
        effectiveness: 40,
        controlId: 'demo-ctrl-3',
      },
      {
        id: 'demo-mit-3b',
        description: 'Georedundante Datenspeicherung in zwei Rechenzentren',
        type: 'MITIGATE',
        status: 'COMPLETED',
        effectiveness: 35,
        controlId: 'demo-ctrl-4',
      },
    ],
    owner: 'IT-Leiter',
    relatedControls: ['demo-ctrl-3', 'demo-ctrl-4'],
    relatedRequirements: ['demo-req-3'],
  },
  {
    id: 'demo-risk-4',
    title: 'Unzureichende Transparenz bei KI-Entscheidungen',
    description: 'Betroffene verstehen nicht, wie KI-Entscheidungen zustande kommen, was zu Beschwerden und regulatorischen Problemen führen kann.',
    category: 'Transparenz',
    likelihood: 4,
    impact: 3,
    severity: 'MEDIUM',
    inherentRiskScore: 12,
    residualRiskScore: 4,
    status: 'MITIGATED',
    mitigation: [
      {
        id: 'demo-mit-4a',
        description: 'Explainable AI Komponenten für nachvollziehbare Entscheidungen',
        type: 'MITIGATE',
        status: 'COMPLETED',
        effectiveness: 40,
        controlId: 'demo-ctrl-7',
      },
      {
        id: 'demo-mit-4b',
        description: 'Verständliche Informationen für Betroffene gem. Art. 13-14 DSGVO',
        type: 'MITIGATE',
        status: 'COMPLETED',
        effectiveness: 30,
        controlId: 'demo-ctrl-8',
      },
    ],
    owner: 'DSB',
    relatedControls: ['demo-ctrl-7', 'demo-ctrl-8'],
    relatedRequirements: ['demo-req-4'],
  },
  {
    id: 'demo-risk-5',
    title: 'Unerlaubte Profilbildung',
    description: 'Durch die Zusammenführung verschiedener Datenquellen könnte eine unzulässige umfassende Profilbildung von Personen entstehen.',
    category: 'Datenschutz',
    likelihood: 3,
    impact: 4,
    severity: 'HIGH',
    inherentRiskScore: 12,
    residualRiskScore: 6,
    status: 'MITIGATED',
    mitigation: [
      {
        id: 'demo-mit-5a',
        description: 'Strenge Zweckbindung der Datenverarbeitung',
        type: 'MITIGATE',
        status: 'COMPLETED',
        effectiveness: 25,
        controlId: 'demo-ctrl-9',
      },
      {
        id: 'demo-mit-5b',
        description: 'Datensparsamkeit durch Aggregation und Anonymisierung',
        type: 'MITIGATE',
        status: 'COMPLETED',
        effectiveness: 30,
        controlId: 'demo-ctrl-10',
      },
    ],
    owner: 'DSB',
    relatedControls: ['demo-ctrl-9', 'demo-ctrl-10'],
    relatedRequirements: ['demo-req-7', 'demo-req-8'],
  },
  {
    id: 'demo-risk-6',
    title: 'Mangelnde Modell-Robustheit',
    description: 'KI-Modelle könnten durch Adversarial Attacks oder veränderte Inputdaten manipuliert werden und falsche Ergebnisse liefern.',
    category: 'KI-Sicherheit',
    likelihood: 2,
    impact: 4,
    severity: 'MEDIUM',
    inherentRiskScore: 8,
    residualRiskScore: 4,
    status: 'MITIGATED',
    mitigation: [
      {
        id: 'demo-mit-6a',
        description: 'Input-Validierung und Anomalie-Erkennung',
        type: 'MITIGATE',
        status: 'COMPLETED',
        effectiveness: 30,
        controlId: 'demo-ctrl-11',
      },
      {
        id: 'demo-mit-6b',
        description: 'Regelmäßige Modell-Retraining und Performance-Monitoring',
        type: 'MITIGATE',
        status: 'IN_PROGRESS',
        effectiveness: 20,
        controlId: 'demo-ctrl-12',
      },
    ],
    owner: 'Data Science Lead',
    relatedControls: ['demo-ctrl-11', 'demo-ctrl-12'],
    relatedRequirements: ['demo-req-9'],
  },
  {
    id: 'demo-risk-7',
    title: 'Verstoß gegen Aufbewahrungsfristen',
    description: 'Daten werden länger als zulässig gespeichert oder zu früh gelöscht, was zu Compliance-Verstößen führt.',
    category: 'Datenschutz',
    likelihood: 3,
    impact: 3,
    severity: 'MEDIUM',
    inherentRiskScore: 9,
    residualRiskScore: 3,
    status: 'MITIGATED',
    mitigation: [
      {
        id: 'demo-mit-7a',
        description: 'Automatisierte Löschroutinen mit Retention-Policy-Enforcement',
        type: 'MITIGATE',
        status: 'COMPLETED',
        effectiveness: 40,
        controlId: 'demo-ctrl-13',
      },
      {
        id: 'demo-mit-7b',
        description: 'Quartalsmäßige Überprüfung der Löschprotokolle',
        type: 'MITIGATE',
        status: 'COMPLETED',
        effectiveness: 25,
        controlId: 'demo-ctrl-14',
      },
    ],
    owner: 'DSB',
    relatedControls: ['demo-ctrl-13', 'demo-ctrl-14'],
    relatedRequirements: ['demo-req-10'],
  },
  {
    id: 'demo-risk-8',
    title: 'Fehlende Nachvollziehbarkeit im Audit',
    description: 'Bei Prüfungen können Verarbeitungsvorgänge nicht lückenlos nachvollzogen werden.',
    category: 'Compliance',
    likelihood: 2,
    impact: 3,
    severity: 'MEDIUM',
    inherentRiskScore: 6,
    residualRiskScore: 2,
    status: 'MITIGATED',
    mitigation: [
      {
        id: 'demo-mit-8a',
        description: 'Umfassendes Audit-Logging aller Verarbeitungsvorgänge',
        type: 'MITIGATE',
        status: 'COMPLETED',
        effectiveness: 50,
        controlId: 'demo-ctrl-15',
      },
    ],
    owner: 'IT-Leiter',
    relatedControls: ['demo-ctrl-15'],
    relatedRequirements: ['demo-req-11'],
  },
]

export function getDemoRisks(): Risk[] {
  return DEMO_RISKS
}