Wozu Kennzahlen dienen
Eine Kennzahl hat genau einen Zweck: eine Entscheidung vorzubereiten. Alles, was diesen Zweck nicht erfüllt, ist Berichtsvolumen. Der Test ist einfach: Wenn sich niemand nennen lässt, der bei einem bestimmten Wert etwas anderes täte als bisher, gehört die Kennzahl nicht in den Bericht.
ISO/IEC 27001 fordert in Abschnitt 9.1, festzulegen, was überwacht und gemessen wird, mit welchen Verfahren, wann und durch wen, und wann die Ergebnisse bewertet werden. Die Norm schreibt keine Kennzahlen vor. Sie verlangt, dass die Auswahl begründet und der Prozess dahinter geregelt ist.
KPI, KRI und einfache Metrik
| Begriff | Frage | Beispielcharakter |
|---|---|---|
| Metrik | Was ist der Fall? | roher Messwert, etwa die Anzahl offener Feststellungen |
| KPI (Key Performance Indicator) | Erreichen wir unser Ziel? | Messwert mit Zielwert und Verantwortlichem |
| KRI (Key Risk Indicator) | Steigt unser Risiko? | Frühindikator, der auf eine Entwicklung hinweist, bevor der Schaden eintritt |
Die Unterscheidung ist nicht akademisch. Ein KPI bewertet Leistung rückblickend, ein KRI zeigt eine Entwicklung an. Wer nur Leistung misst, erfährt vom Problem, nachdem es eingetreten ist.
Was eine brauchbare Kennzahl ausmacht
Zu jeder Kennzahl gehören sechs Angaben: die Bezugsgröße samt Grundgesamtheit, der Zielwert oder Schwellenwert, die Datenquelle, der Messtakt, der Empfänger und die Konsequenz bei Über- oder Unterschreitung. Fehlt die Grundgesamtheit, ist der Wert nicht interpretierbar: Zwölf offene Schwachstellen bedeuten bei zweihundert Systemen etwas anderes als bei acht.
Ebenso wichtig ist die Datenquelle. Eine Kennzahl, die manuell zusammengetragen wird, überlebt selten drei Quartale.
Ebenen: Umsetzung, Prozess, Wirkung
- Umsetzungsgrad: Wie weit sind beschlossene Maßnahmen umgesetzt? Etwa der Anteil der Systeme im zentralen Inventar oder der Abdeckungsgrad einer Härtungsvorgabe. Leicht zu erheben, sagt aber nichts über Wirksamkeit.
- Prozessgüte: Arbeiten die Prozesse wie vorgesehen? Etwa Zeit bis zur Behebung nach Schweregrad, Anteil fristgerecht bearbeiteter Zugriffsanträge, Anteil der Notfalländerungen an allen Änderungen.
- Wirkung: Verändert sich das Ergebnis? Etwa Anzahl und Schwere von Sicherheitsvorfällen, Anteil selbst entdeckter statt extern gemeldeter Vorfälle, Ergebnis von Wiederanlauftests.
Die dritte Ebene ist die aussagekräftigste und die am seltensten berichtete. Für den Bericht an die Leitung sollten aus jeder Ebene wenige Kennzahlen kommen, nicht aus der ersten viele.
Fehlanreize
Jede Kennzahl, an der Personen gemessen werden, verändert deren Verhalten – auch dort, wo das nicht beabsichtigt ist. Wird die Zahl gemeldeter Vorfälle als Negativwert geführt, sinkt die Meldebereitschaft, nicht die Vorfallszahl. Wird die Schließquote von Feststellungen gemessen, werden Feststellungen kleiner formuliert.
Gegenmittel sind Gegenkennzahlen, die die Nebenwirkung sichtbar machen, und eine klare Sprachregelung: Meldungen sind ein Zeichen funktionierender Wahrnehmung, nicht ein Zeichen von Versagen.
Berichtsweg
Kennzahlen gehören in einen festen Takt und in die Managementbewertung, wo sie zusammen mit Auditergebnissen, Vorfällen und dem Stand der Maßnahmen bewertet werden. Aussagekraft entsteht erst in der Zeitreihe: Ein Einzelwert beschreibt einen Zustand, erst der Verlauf zeigt, ob das Managementsystem wirkt.
Woher die Zahlen in Rizzqo kommen
Die meisten Sicherheitskennzahlen scheitern an ihrer Herkunft: Sie werden für den Bericht erhoben und altern zwischen zwei Sitzungen. In Rizzqo entstehen sie als Nebenprodukt der Ausführung. Der Erfüllungsgrad eines Assets ergibt sich aus seinen abschließend beantworteten Anforderungen, Kategorie- und Regelwerksstände aggregieren darüber, und ein täglicher Snapshot friert die Werte ein, sodass ein Verlauf entsteht statt einer Momentaufnahme.
Neben der Abdeckung steht die Risikoseite in derselben Datenbasis: Exposition in Euro, Bewegung über die Zeit, Verteilung der Behandlungsentscheidungen und Zuordnung der Verantwortung. Weil beides aus denselben Objekten gerechnet wird, kann ein Managementbericht nicht von der operativen Lage abweichen; es gibt keine zweite Quelle, die er zitieren könnte.