Was sind Sicherheitskennzahlen?
Sicherheitskennzahlen sind Messwerte, an denen die Leitung ablesen kann, ob beschlossene Sicherheitsmaßnahmen umgesetzt sind und wirken. ISO/IEC 27001 macht Messung und Bewertung in Abschnitt 9.1 zur Pflicht, schreibt aber keine bestimmten Kennzahlen vor. Leitlinien zur Erfüllung von Abschnitt 9.1 gibt ISO/IEC 27004:2016.
Eine Kennzahl taugt nur, wenn jemand bei einem bestimmten Wert anders handeln würde als bisher. Lässt sich niemand nennen, gehört sie nicht in den Bericht. Wie Kennzahlen in den Aufbau eines ISMS passen, beschreibt der Ratgeber ISMS einführen.
KPI, KRI und Metrik beantworten verschiedene Fragen
Metrik, KPI und KRI beantworten verschiedene Fragen: Die Metrik beschreibt einen Zustand, der KPI die Zielerreichung, der KRI ein steigendes Risiko.
| Begriff | Frage | Merkmal |
|---|---|---|
| Metrik | Was ist der Fall? | roher Messwert, etwa die Anzahl offener Feststellungen |
| KPI (Key Performance Indicator) | Erreichen wir unser Ziel? | Messwert mit Zielwert und Verantwortlichem |
| KRI (Key Risk Indicator) | Steigt unser Risiko? | Frühindikator, der eine Entwicklung anzeigt, bevor ein Schaden eintritt |
Ein KPI bewertet Leistung rückblickend, ein Key Risk Indicator zeigt eine Entwicklung an. Wer nur Leistung misst, erfährt von einem Problem erst, nachdem es eingetreten ist.
Welche Angaben braucht jede Sicherheitskennzahl?
Jede Sicherheitskennzahl braucht sechs Angaben, sonst lässt sich ihr Wert nicht deuten:
| Angabe | Leitfrage | Beispiel für „Zeit bis zur Behebung kritischer Schwachstellen“ |
|---|---|---|
| Bezugsgröße und Grundgesamtheit | Worauf bezieht sich der Wert? | alle kritischen Feststellungen aus Schwachstellenscans im Quartal |
| Zielwert oder Schwellenwert | Ab wann muss jemand handeln? | aus der eigenen Patch-Richtlinie abgeleitet |
| Datenquelle | Woher kommt die Zahl? | Ticketsystem, nicht manuelle Liste |
| Messtakt | In welchem Takt wird gemessen? | monatlich |
| Empfänger | Wer erhält den Wert? | IT-Leitung, Informationssicherheitsbeauftragter |
| Konsequenz | Was geschieht bei Abweichung? | Eskalation an den Systemverantwortlichen |
Das Beispiel ist frei gewählt und dient ausschließlich der Veranschaulichung. Ohne Grundgesamtheit ist ein Wert nicht interpretierbar: Zwölf offene Schwachstellen bedeuten bei zweihundert Systemen etwas anderes als bei acht.
Die Datenquelle entscheidet über die Lebensdauer einer Kennzahl. Eine Zahl, die jedes Quartal von Hand zusammengetragen wird, veraltet zwischen zwei Berichten und hängt an der Person, die sie erhebt.
Welche Beispiele für Sicherheitskennzahlen gibt es?
Beispiele für Sicherheitskennzahlen stammen aus drei Ebenen: Umsetzung, Prozessgüte und Wirkung.
| Kennzahl | Ebene | Grundgesamtheit | Konsequenz bei Abweichung |
|---|---|---|---|
| Anteil der Systeme im zentralen Inventar | Umsetzung | alle bekannten produktiven Systeme | Aufnahme anstoßen, Beschaffungsweg prüfen |
| Abdeckungsgrad einer Härtungsvorgabe | Umsetzung | Systeme, für die die Vorgabe gilt | Ausnahme begründen oder Umsetzung terminieren |
| Zeit bis zur Behebung nach Schweregrad | Prozessgüte | Feststellungen des jeweiligen Schweregrads | Eskalation, Ursache im Prozess suchen |
| Anteil fristgerecht bearbeiteter Zugriffsanträge | Prozessgüte | alle eingegangenen Anträge | Kapazität oder Verfahren anpassen |
| Anteil der Notfalländerungen an allen Änderungen | Prozessgüte | alle Änderungen im Zeitraum | Planungsvorlauf und Freigabepraxis prüfen |
| Anteil selbst entdeckter statt extern gemeldeter Vorfälle | Wirkung | alle bestätigten Vorfälle | Erkennung ausbauen, Meldewege prüfen |
| Ergebnis von Wiederanlauftests | Wirkung | Systeme mit vereinbarter Wiederanlaufzeit | Befund beheben, Nachtest ansetzen |
Umsetzungskennzahlen sind leicht zu erheben, sagen aber nichts über Wirksamkeit. Wirkungskennzahlen zeigen, ob sich das Ergebnis verändert. Ein Bericht an die Leitung braucht deshalb wenige Kennzahlen aus jeder Ebene statt vieler aus der ersten.
Die Tabelle nennt bewusst keine Zielwerte. Leiten Sie Zielwerte aus den eigenen Vorgaben, Verträgen und Risiken ab und halten Sie den Ausgangswert daneben fest.
Kennzahlen, an denen Personen gemessen werden, verändern Verhalten
Eine Kennzahl, an der Personen gemessen werden, verändert deren Verhalten, auch dort, wo das nicht beabsichtigt ist. Wird die Zahl gemeldeter Vorfälle als Negativwert geführt, sinkt die Meldebereitschaft, nicht die Zahl der Vorfälle. Wird die Schließquote von Feststellungen gemessen, werden Feststellungen kleiner formuliert.
Zwei Gegenmittel sind möglich: Gegenkennzahlen machen die Nebenwirkung sichtbar, etwa gemeldete Vorfälle neben der Zeit bis zur Erkennung oder die Schließquote neben dem Anteil wieder geöffneter Feststellungen. Und die Leitung erklärt Meldungen ausdrücklich zum Zeichen funktionierender Wahrnehmung, nicht zum Zeichen von Versagen.
Aussagekraft entsteht erst in der Zeitreihe
Sicherheitskennzahlen gehören in einen festen Berichtstakt und in die Managementbewertung, wo die Leitung sie zusammen mit Auditergebnissen, Vorfällen und dem Stand der Risikobehandlung bewertet. Ein Einzelwert beschreibt einen Zustand; erst der Verlauf zeigt, ob das Managementsystem wirkt. Deshalb trägt eine kleine, stabile Auswahl, die über Jahre vergleichbar bleibt, weiter als eine Auswahl, die mit jeder Berichtsvorlage wechselt.
Wie sich technische Werte in die Sprache eines Gremiums übersetzen lassen, beschreibt der Beitrag Kennzahlen, die die Geschäftsführung versteht.
Woher die Zahlen in Rizzqo kommen
Rizzqo rechnet Sicherheitskennzahlen aus der laufenden Arbeit, statt sie für den Bericht zu erheben. Der Erfüllungsgrad eines Assets ergibt sich aus seinen abschließend beantworteten Anforderungen; Kategorie- und Regelwerksstände aggregieren darüber. Ein täglicher Snapshot hält die Werte fest, sodass ein Verlauf entsteht statt einer Momentaufnahme.
Neben der Abdeckung steht die Risikoseite in derselben Datenbasis: Rizzqo rechnet das Risiko aus Eintrittswahrscheinlichkeit in Prozent und Auswirkung in Euro über eine konfigurierbare Matrix. Eine Maßnahme reserviert ihre geplante Risikominderung als Aufgabe und wendet sie erst beim Abschluss an, sodass das Restrisiko den tatsächlichen Umsetzungsstand zeigt.