Der KPI für ‘Anzahl der für die Informationssicherheit verantwortlichen Mitarbeiter’ sollte definiert werden durch:
Wenn es um ISO27001 geht, ist es wichtig, dass Sie die Wirksamkeit Ihres ISMS im Auge behalten. Obwohl ISO27001 keine genauen KPIs vorgibt oder einen Überblick darüber gibt, wie die Wirksamkeit Ihres ISMS zu verfolgen ist, ist es wichtig, die Leistung Ihrer Sicherheitsmaßnahmen regelmäßig zu bewerten.
Um Ihnen das Leben ein wenig zu erleichtern, haben wir einige Beispiele für ISO 27001-KPIs definiert, wie z. B. Sicherheitsvorfälle, Mitarbeiterschulungen und Reaktionszeiten auf Vorfälle, die Ihnen dabei helfen, Ihre Informationssicherheit zu verbessern.
Warum Compliance und warum ISO27001 KPIs?
Die Zahl der weltweit gültigen ISO 27001-Zertifikate ist von 36.000 im Jahr 2019 auf 58.000 im Jahr 2021 gestiegen.
Warum?
Weil Datenschutzverletzungen und Cyberangriffe dank der Entwicklung von immer komplexeren Online-Systemen und immer mehr illegalen Industrien, die mit Daten handeln, immer mehr zunehmen
Aufgrund der Komplexität der Online-Sicherheit ist die Einhaltung von Vorschriften zur Informationssicherheit unerlässlich. Aber genau wie die Cybersicherheit ist auch die Einhaltung der Vorschriften ein sich ständig ändernder, komplexer Prozess, und obwohl es toll wäre, sich zertifizieren zu lassen und sich dann entspannt zurückzulehnen, ist das einfach nicht realistisch.
Im Vorfeld, während und nach der ISO 27001-Zertifizierung muss Ihre Organisation ihr ISMS im Auge behalten und dessen Leistung ständig überwachen
Die beste Möglichkeit, dies zu tun, besteht darin, ISO 27001-KPIs zu entwickeln, die Sie verwenden können, um sicherzustellen, dass Sie mit Ihrem Sicherheitsmanagement auf dem richtigen Weg bleiben.
Die Norm ISO 27001 beschreibt bewährte Verfahren für die Informationssicherheit, und die Verfolgung von KPIs ermöglicht es Organisationen, verbesserungsbedürftige Bereiche zu ermitteln. ISO 27001 KPIs gewährleisten eine optimale Funktionalität des ISMS.
In ihrem Artikel “2020 ISO Survey of Management System Standards reveals 17% increase in certifications” stellt die CQI fest, dass es viele Faktoren gibt, die “die Welt der Arbeit verändern, einschließlich Digitale Transformation und Qualität 4.0, sowie die Anforderungen des Aufbaus einer nachhaltigen Zukunft.”
Um mit diesem Wandel Schritt halten zu können, ist die Einhaltung der Vorschriften eine notwendige Säule in jedem Unternehmen. Und wie jede andere Leistungssäule sollte die Einhaltung der Vorschriften mit Hilfe von KPIs verfolgt werden.
Was ist ein KPI?
Der Definition nach ist ein Key Performance Indicator (KPI) “eine Reihe quantifizierbarer Messungen, die zur Beurteilung der Gesamtleistung eines Unternehmens verwendet werden” – Investopedia.
Wie Sie Ihre ISO 27001 KPIs definieren
Wenn es um die ISO 27001 geht, sollten KPIs definiert werden, um sicherzustellen, dass Ihr Unternehmen seine Sicherheitsziele erreicht.
Ein guter Ausgangspunkt für die Festlegung einer Reihe von KPIs ist Kapitel 9 der ISO 27001. Schließlich verlangt Kapitel 9, dass Organisationen bewerten, wie ihr ISMS funktioniert und wie wirksam es ist.
Kapitel 9 besagt: “Die Organisation muss festlegen, was überwacht und gemessen werden muss, einschließlich der Prozesse und Kontrollen der Informationssicherheit.”
Anhand dieser Anweisung können Sie ganz einfach entscheiden, für welche Aspekte Ihres ISMS KPIs erforderlich sein werden.
Sobald Sie dies festgelegt haben, sollten Sie (oder besser gesagt die Geschäftsleitung) jedem messbaren Ziel ein Ziel zuweisen, um einen KPI zu verfolgen.
Beispiele für KPIs nach ISO 27001
Lassen Sie uns einen Blick auf einige Beispiele für ISO 27001 KPIs werfen.
1. Sicherheitsvorfälle
Ein gutes Beispiel für einen KPI, dem ein Ziel zugewiesen und der dann verfolgt werden kann, ist “Sicherheitsvorfälle”
ISO definiert einen Sicherheitsvorfall als “ein unerwünschtes Ereignis, das die Vertraulichkeit, Integrität oder Verfügbarkeit von Informationen gefährden könnte”.
Ihre Geschäftsleitung könnte beschließen, dass Ihr Unternehmen ein Ziel von weniger als 3 Vorfällen pro Monat erreichen sollte. Oder sie könnten ein relatives Ziel aufstellen, z.B. “Reduzierung der Sicherheitsvorfälle um 33% in diesem Monat”.
Natürlich werden die Parameter des KPIs je nach Unternehmen und Branche unterschiedlich sein. Das Tolle an der Erstellung eigener KPIs ist, dass das Management sie je nach den Entwicklungen im Unternehmen anpassen kann. Wenn Sie also wachsen, können Sie die Parameter Ihrer KPIs verschärfen; wenn Sie feststellen, dass Ihre KPIs zu restriktiv sind, können Sie sie lockern.
Solange Sie Ihre ISMS-Ziele erfüllen und Ihrer ISO 27001-Zertifizierung treu bleiben, können Sie Ihre KPIs selbst festlegen.
Nach dem Artikel ‘Cybersecurity Risk Management for Tech Companies’ schlägt Security Scorecard vor, die folgenden Metriken für Sicherheitsvorfälle zu verwenden, um Ihre KPI für Sicherheitsvorfälle zu definieren:
- Mittlere Zeit bis zur Erkennung
- Alarmzeit bis Triage
- Alarmzeit bis zur Qualifizierung
- Mittlere Zeit bis zur Quittierung
- Mittlere Zeit bis zur Untersuchung
- Mittlere Zeit bis zur Klärung
- Mittlere Zeit bis zum Einschluss
- Mittlere Zeit bis zur Wiederherstellung
- Kosten pro Vorfall
- Anzahl der Vorfälle pro Gerät oder Host
- Mittlere Zeit zwischen Ausfällen
2. Prozentsatz der innerhalb einer Zielzeit behobenen Sicherheitsvorfälle
Sicherheitsvorfälle im Auge zu behalten ist eine Sache, aber das Ziel, sie innerhalb einer bestimmten Zeit zu beheben, ist entscheidend.
Dieser KPI misst die Effektivität des Incident-Management-Prozesses einer Organisation bei der rechtzeitigen Reaktion auf und Lösung von Sicherheitsvorfällen.
Die Lösungszeit pro Vorfall ist abhängig von:
- Der Schweregrad des Vorfalls.
- Die Risikomanagementstrategie der Organisation.
- Die Ressourcen und Fähigkeiten der Organisation.
Bei der Erstellung von Zielen für diesen KPI sind die folgenden Werte für eine Standardorganisation angemessen:
- Beseitigen Sie ernsthafte Sicherheitsvorfälle innerhalb von 24 Stunden.
- Beseitigen Sie weniger schwerwiegende Sicherheitsvorfälle innerhalb von 72 Stunden.
Um festzustellen, wie effektiv die Strategie zur Lösung von Vorfällen ist, müssen Sie nach der Festlegung der Ziellösungszeiten feststellen:
- Die Anzahl der identifizierten Schwachstellen
- Der Prozentsatz der Schwachstellen, die innerhalb einer vorgegebenen Zeitspanne behoben wurden
Mit Hilfe dieser Kennzahl können Sie die potenziellen Auswirkungen auf den Betrieb Ihres Unternehmens und damit auch auf seinen Ruf minimieren. Außerdem liefert er der Geschäftsleitung wertvolle Informationen, um die Wirksamkeit des ISMS Ihres Unternehmens zu bewerten und fundierte Entscheidungen über die Ressourcenzuweisung und Initiativen zur Prozessverbesserung zu treffen.
3. Anteil der durch Anti-Malware-Software geschützten Systeme
Wenn es um abgefangene Infektionen geht, hängt die Zahl von der Wirksamkeit Ihrer Malware ab. Die Zahl der abgefangenen Infektionen kann also steigen, weil Sie über eine bessere Malware verfügen, und nicht unbedingt, weil es mehr Infektionen als üblich gibt.
Ihr KPI bei der Bestimmung der Effektivität Ihrer Malware-Software sollte daher davon abhängen, wie viel Prozent der Systeme geschützt sind und wie viele:
- Anti-Viren-Tools installiert und aktiviert.
- Aktuelle Anti-Malware-Signaturen.
- Spezifische Anti-Malware-Tools oder -Funktionen installiert und aktiv.
Um diesen KPI zu messen, ermitteln Sie die Anzahl der Systeme, die einen Anti-Malware-Schutz benötigen, und die Anzahl der Systeme, bei denen dieser Schutz vorhanden ist. Sie können dann den Prozentsatz der durch Anti-Malware-Software geschützten Systeme berechnen, indem Sie die Anzahl der Systeme mit Anti-Malware-Schutz durch die Gesamtzahl der zu schützenden Systeme dividieren
4. Anzahl der für die Informationssicherheit zuständigen Mitarbeiter
In Abschnitt 5.3 geht es darum, dass das Management sicherstellt, dass Rollen, Verantwortlichkeiten und Befugnisse klar sind, wenn es darum geht, ein Team zu ernennen, das für das ISMS verantwortlich ist.
Einige Organisationen können auf vorhandenes Personal zurückgreifen und brauchen keine neuen Mitarbeiter einzustellen, während andere externe Auftragnehmer oder neue Mitarbeiter hinzuziehen müssen.
Es ist wichtig, dass Ihre Organisation sicherstellt, dass es eine Person gibt, die die Gesamtverantwortung trägt und dass bestimmte Rollen besetzt sind. Denken Sie jedoch daran, dass eine Person mehr als eine Rolle abdecken kann.
Die Verantwortung für das ISMS sollte von oben nach unten verlagert werden, wobei die Geschäftsleitung die Führung übernehmen sollte, und eine Führungskraft könnte durchaus die Rolle eines Chief Information Security Officer übernehmen.
In einer größeren Organisation muss dies jedoch möglicherweise eine Vollzeitstelle sein.
Der KPI für ‘Anzahl der für die Informationssicherheit verantwortlichen Mitarbeiter’ sollte definiert werden durch:
- Sind genügend Mitarbeiter vorhanden, um sich auf die wichtigsten Teile des ISMS zu konzentrieren?
- Gibt es eine Person, die die Gesamtverantwortung trägt?
- Wurden die Rollen an die relevanten Parteien kommuniziert?
In der Regel sind die folgenden Rollen notwendig, um sicherzustellen, dass das ISMS definiert und aufrechterhalten wird:
- Sicherheitsführerschaft
- Sicherheitsrisikomanagement
- Interne Revision
- Kontrolle der Eigentümer
- Prozentsatz der durchgeführten Überprüfungen zur Sicherstellung der Einhaltung der Firewall-Richtlinie
Firewalls sind eine Schlüsselkomponente Ihres ISMS und werden eingesetzt, um Netzwerke und Systeme vor unbefugtem Zugriff zu schützen. Die Einhaltung der Firewall-Richtlinien ist für die Aufrechterhaltung der Wirksamkeit des ISMS und den Schutz sensibler Informationen von entscheidender Bedeutung.
Berücksichtigen Sie bei der Definition der Ziele dieses KPIs:
- Überwachung des Prozentsatzes der durchgeführten Überprüfungen, um sicherzustellen, dass die Firewalls gemäß den Richtlinien und Verfahren Ihrer Organisation konfiguriert sind.
- Sicherstellen, dass die Zugriffskontrollen korrekt konfiguriert sind, die Regeln auf dem neuesten Stand sind und alle Änderungen genehmigt und dokumentiert sind.
Um die Effektivität der Einhaltung Ihrer Firewall-Richtlinien genau zu messen, müssen Sie auch Folgendes berücksichtigen:
- Die Qualität der Checks.
- Die Ergebnisse der Kontrollen.
- Die aufgrund der Ergebnisse getroffenen Maßnahmen.
Um sicherzustellen, dass Ihre KPIs nützlich und genau sind, ist es wichtig, dass Sie:
- Einführen klarer Richtlinien und Verfahren für die Konfiguration und Verwaltung von Firewalls;
- Sicherstellen, dass die Kontrollen von qualifiziertem und geschultem Personal durchgeführt werden;
- Dokumentieren Sie die Ergebnisse und getroffenen Maßnahmen;
- Nutzen Sie die Ergebnisse der Überprüfungen, um Ihre Firewall-Richtlinien und -Verfahren kontinuierlich zu verbessern;
5. Anzahl der festgestellten Verbesserungen
Dieser KPI misst die Fähigkeit Ihrer Organisation, verbesserungswürdige Bereiche in den Informationssicherheitsprozessen zu identifizieren und Maßnahmen zu ergreifen, um diese zu beheben.
Verbesserungen können im Rahmen von ISMS-Aktivitäten wie Sicherheitsbesprechungen oder regelmäßigen internen Audits des ISMS Ihrer Organisation festgestellt werden, die Ihnen dabei helfen, die Übereinstimmung mit den Anforderungen der Norm ISO 27001 zu bewerten
Bei diesen Aktivitäten wird Ihr Team Bereiche identifizieren, in denen das ISMS verbessert werden kann, z. B. bei Richtlinien, Verfahren oder Kontrollen.
Wenn diese Bereiche identifiziert sind, muss Ihre Organisation:
- Verfolgen Sie die Anzahl der identifizierten Verbesserungen.
- Priorisieren Sie die Verbesserungen auf der Grundlage ihrer potenziellen Auswirkungen auf die Informationssicherheitslage der Organisation.
- Ergreifen Sie Maßnahmen, um diese Verbesserungen anzugehen, sei es durch Änderungen von Richtlinien, Verfahren oder Kontrollen oder durch die Einführung neuer Technologien oder Schulungsprogramme.
Indem Sie die Anzahl der identifizierten Verbesserungen überwachen und deren Umsetzung verfolgen, können Sie die Wirksamkeit Ihres ISMS verbessern und das Risiko von Sicherheitsvorfällen minimieren.
Dieser KPI liefert auch wertvolle Informationen für Ihre Geschäftsleitung, um die Wirksamkeit des Informationssicherheitsprogramms Ihres Unternehmens zu bewerten und fundierte Entscheidungen über die Ressourcenzuweisung und Initiativen zur Prozessverbesserung zu treffen.
Indem Sie regelmäßig verbesserungswürdige Bereiche identifizieren und angehen, können Sie eine starke Informationssicherheitslage aufrechterhalten. Außerdem können Sie die Vertraulichkeit, Integrität und Verfügbarkeit Ihrer sensiblen Daten aufrechterhalten.
6. Anzahl der festgestellten Nichtkonformitäten
Um mehr darüber zu erfahren, was eine Nichtkonformität ist, lesen Sie unseren Artikel 10 Beispiele für kleinere und größere Nichtkonformitäten nach ISO 27001.
Nichtkonformitäten können durch interne Audits, externe Audits oder andere Überprüfungen des ISMS festgestellt werden
Die Verfolgung der Anzahl der festgestellten Nichtkonformitäten kann wertvolle Erkenntnisse über die Wirksamkeit der ISMS-Implementierung liefern. Eine hohe Anzahl von Nichtkonformitäten kann darauf hindeuten, dass das ISMS nicht effektiv umgesetzt wird, dass es Lücken in den Informationssicherheitspraktiken Ihres Unternehmens gibt oder dass es an Verständnis für die Anforderungen der ISO 27001 mangelt.
Es ist jedoch wichtig zu beachten, dass die Anzahl der Nichtkonformitäten allein nicht unbedingt ein Indikator für die Wirksamkeit des ISMS ist. Sie müssen Folgendes berücksichtigen:
- Die Wiederholung von Nichtkonformitäten zwischen Audits;
- Der Schweregrad jeder Nichtkonformität;
- Die Auswirkung jeder Nichtkonformität;
- Die Maßnahmen, die zu ihrer Behebung ergriffen wurden.
Eine kleine Anzahl kritischer Abweichungen kann besorgniserregender sein als eine größere Anzahl geringfügiger Abweichungen.
Sie sollten sich auch nicht nur darauf konzentrieren, die Anzahl der festgestellten Nichtkonformitäten zu reduzieren. Nutzen Sie diesen KPI stattdessen als Instrument zur kontinuierlichen Verbesserung Ihres ISMS und Ihrer Informationssicherheitspraktiken.
Das bedeutet, dass Sie Folgendes tun müssen:
- Regelmäßige Überprüfung und Aktualisierung der Richtlinien und Verfahren;
- Gründliche Risikobewertungen durchführen;
- Einführung wirksamer Sicherheitskontrollen;
7. Schnelligkeit der Verbesserungsmaßnahmen nach Managementprüfungen
Der Zweck von Management-Reviews ist es, die Leistung des ISMS zu bewerten, verbesserungswürdige Bereiche zu identifizieren und sicherzustellen, dass das System mit den Zielen der Organisation übereinstimmt. Die Managementbewertung kann auch Aufschluss darüber geben, inwieweit sich die oberste Führungsebene für die Informationssicherheitspraktiken der Organisation einsetzt und engagiert
Management-Reviews sollten mindestens jährlich durchgeführt werden, oder häufiger, wenn es die Risikomanagementstrategie erfordert.
Wenn Sie verfolgen, wie schnell nach einer Managementbewertung Verbesserungen vorgenommen werden, können Sie sicherstellen, dass Ihr Unternehmen die Anforderungen der ISO 27001-Norm erfüllt.
Dieser KPI wird von den folgenden Faktoren beeinflusst:
- Die Qualität der Managementbewertungen.
- Die Geschwindigkeit, mit der die Ergebnisse der Überprüfung zur Kenntnis genommen und umgesetzt werden.
- Die aufgrund der Ergebnisse der Überprüfungen ergriffenen Maßnahmen.
Um sicherzustellen, dass die Managementbewertungen effektiv sind, können Sie Folgendes tun:
- Stellen Sie klare Ziele auf.
- Klare Kriterien aufstellen.
- Stellen Sie sicher, dass die entsprechenden Interessengruppen einbezogen werden.
- Zuweisung von Zeitplänen für Verbesserungen.
- Dokumentieren Sie die Ergebnisse und ergriffenen Maßnahmen.
8. Wie Verbesserungen aus Informationssicherheits-Risikobewertungen (ISRAs) angegangen werden
Ohne Informationssicherheitsrisikobewertungen ist ein ISMS nicht viel wert. Sicherheitsrisikobewertungen identifizieren potenzielle Risiken für Ihre Informationsbestände und legen geeignete Kontrollen fest, um diese Risiken zu mindern.
Als Teil Ihrer Ziele für diesen KPI sollten Sie:
- Einführung klarer Methoden und Kriterien zur Risikobewertung;
- Beteiligte in den Prozess der Risikobewertung einbeziehen;
- Dokumentieren Sie die Ergebnisse und die getroffenen Maßnahmen.
Die Nachverfolgung, wie Verbesserungen aus Risikobewertungen umgesetzt werden, kann Ihnen helfen:
- Stellen Sie sicher, dass Ihr Unternehmen schnell und effektiv auf potenzielle Risiken für Ihre Informationsbestände reagiert.
- Identifizieren Sie Trends in der Effektivität der Risikobewertung.
- Ermittlung von Risikotrends, wie z. B. eine Zunahme der Anzahl oder des Schweregrads der identifizierten Risiken im Laufe der Zeit.
- Identifizieren Sie Bereiche, die zusätzliche Aufmerksamkeit und Ressourcen benötigen.
9. Anteil der durch das ISMS unterstützten Geschäftsinitiativen
Eine der wichtigsten Anforderungen von ISO 27001 ist es, sicherzustellen, dass Ihr ISMS mit den Geschäftszielen, Initiativen und Strategien Ihrer Organisation übereinstimmt und diese unterstützt. Der Prozentsatz der durch das ISMS unterstützten Geschäftsinitiativen ist ein KPI, der die Wirksamkeit dieser Ausrichtung misst
Um diesen KPI zu messen, sollten Sie Ihre Projektmanagementsysteme überprüfen oder sich mit Projektmanagern beraten, um:
- Bestimmen Sie die Anzahl der laufenden Geschäftsinitiativen oder Projekte;
- Bestimmen Sie die Anzahl dieser Initiativen oder Projekte, die durch das ISMS unterstützt werden;
- Identifizieren Sie alle laufenden Geschäftsinitiativen, Projekte und Programme, die Unterstützung im Bereich der Informationssicherheit benötigen.
Um den Prozentsatz der Geschäftsinitiativen zu überwachen, die durch das ISMS für ISO 27001 unterstützt werden, sollten Sie:
- Bewerten Sie den Grad der Unterstützung durch das ISMS für jede Geschäftsinitiative.
- Berechnen Sie den Prozentsatz der Geschäftsinitiativen, die durch das ISMS unterstützt werden.
- Einrichten eines Berichtsprozesses zur Überwachung des KPI im Laufe der Zeit. Dieser Berichtsprozess sollte regelmäßige Aktualisierungen der Anzahl der durch das ISMS unterstützten Initiativen und des Prozentsatzes der unterstützten Initiativen beinhalten.
- Analyse der Ergebnisse, um Trends und verbesserungswürdige Bereiche zu ermitteln.
- Auf der Grundlage der Analyseergebnisse Korrekturmaßnahmen ergreifen, um das Niveau der Unterstützung von Geschäftsinitiativen durch das ISMS zu verbessern. Dies kann die Anpassung von Informationssicherheitskontrollen oder die Aufstockung der dem ISMS gewidmeten Ressourcen beinhalten.
10. Kapazitätsmanagement
Es ist wichtig, den Kapazitätsbedarf eines Kunden mit den verfügbaren Ressourcen (sowohl im Betrieb als auch in der Planung) in Einklang zu bringen.
Nach mITSM trägt “Information Capacity Management zu einem integrierten Service Management Ansatz bei, indem es die folgenden Aktivitäten durchführt:
- Identifizierung und Definition der internen und externen Kapazitätsanforderungen
- Planung von Kapazitätsverfahren
- Entwicklung des Kapazitätsplans
- Erstellen eines Kapazitätskapitels in der SLA und Servicebeschreibung
- Verwaltung der Umsetzung von Kapazitätsmaßnahmen
- Anwendungsdimensionierung
- Auswertung der Kapazitätsverfahren und Kapazitätsmaßnahmen (einschließlich Analyse von Kapazitätsspitzen)
- Kapazitätsberichterstattung
- Kapazitätsverbesserung
- Pflege einer Kapazitätsdatenbank (CDB)
Anhand dieser Aktivitäten können Sie einen KPI für das Kapazitätsmanagement erstellen, der sich leicht überwachen lässt.
Um das Kapazitätsmanagement als KPI für ISO 27001 zu überwachen, sollten Sie die Leistung mit den festgelegten Zielen vergleichen, indem Sie:
- Regelmäßig Daten über die Ressourcennutzung sammeln.
- Abweichungen von den Zielen verfolgen.
- Untersuchung aller auftretenden Probleme.
ISO 27001 KPIs: der Schlüssel zu großartiger Sicherheitsleistung
Nach einer 2022 von Encore veröffentlichten Studie gaben 54 % der befragten CISOs an, dass ihr Vorstand keine ausreichenden Mittel für die Informationssicherheit bereitstellt. Gleichzeitig stiegen die durchschnittlichen Kosten für Datenschutzverletzungen weltweit auf 4,35 Millionen Dollar an.
Es ist daher klar, dass es angesichts der zunehmenden Cyber-Bedrohungen unerlässlich ist, Compliance-Standards zu implementieren, die Ihre Informationssicherheitssysteme validieren.
Die Verwendung von ISO 27001 KPIs, um die Effektivität Ihres ISMS zu verfolgen, wird Ihnen helfen, Ihren Vorstand davon zu überzeugen, dass die ISO 27001-Zertifizierung nicht nur wichtig, sondern auch quantifizierbar, qualifizierbar und absolut notwendig ist.
