Wanneer het aankomt op ISO27001 is het van vitaal belang dat u de effectiviteit van uw ISMS bijhoudt. Hoewel ISO27001 geen exacte KPI’s geeft of een overzicht van hoe u de effectiviteit van uw ISMS kunt bijhouden, is het belangrijk om de prestaties van uw beveiligingsmaatregelen regelmatig te evalueren.
Om het leven wat gemakkelijker te maken, hebben we een aantal voorbeelden van ISO 27001 KPI’s gedefinieerd, zoals beveiligingsincidenten, training van medewerkers en responstijd bij incidenten, om u te helpen uw informatiebeveiligingshouding te verbeteren.
Waarom compliance en waarom ISO27001 KPI’s?
Het aantal geldige ISO 27001-certificaten wereldwijd sprong van 36.000 in 2019 naar 58.000 in 2021.
Waarom?
Omdat datalekken en cyberaanvallen toenemen dankzij de evolutie van steeds complexere online systemen en meer illegale industrieën die handelen in gegevens.
Omwille van de complexiteit van online beveiliging is compliance met informatiebeveiliging van vitaal belang. Maar net als cyberbeveiliging is compliance een steeds veranderend, complex proces en hoewel het geweldig zou zijn om gecertificeerd te zijn en dan achterover te leunen en te ontspannen, is dat gewoon niet realistisch.
In de aanloop naar, tijdens en na de ISO 27001-certificering moet uw organisatie uw ISMS op de voet volgen en voortdurend de prestaties ervan bijhouden.
De beste manier om dit te doen is door ISO 27001 KPI’s te ontwikkelen die u kunt gebruiken om ervoor te zorgen dat u op koers blijft met uw beveiligingsmanagement.
De ISO 27001 norm schetst best practices voor informatiebeveiliging, en het bijhouden van KPI’s stelt organisaties in staat om gebieden voor verbetering te identificeren. ISO 27001 KPI’s zorgen voor een optimale werking van het ISMS.
In hun artikel “2020 ISO Survey of Management System Standards reveals 17% increase in certifications“, stelt de CQI dat er veel factoren zijn die “de wereld van werk veranderen, waaronder digitale transformatie en Kwaliteit 4.0, en de eisen van het bouwen aan een duurzame toekomst.”
Om deze transformatie bij te houden, is compliance een noodzakelijke pijler in elk bedrijf. En net als elke andere prestatiepijler moet compliance worden gevolgd met behulp van KPI’s.
Wat is een KPI?
Een Key Performance Indicator (KPI) is per definitie: “Een reeks kwantificeerbare metingen die worden gebruikt om de algemene prestaties van een bedrijf te meten” – Investopedia.
Hoe definieert u uw ISO 27001 KPI’s
Wanneer het aankomt op ISO 27001, moeten KPI’s worden gedefinieerd om ervoor te zorgen dat uw bedrijf voldoet aan de beveiligingsdoelstellingen.
Het gebruik van hoofdstuk 9 van ISO 27001 is een goed startpunt voor het definiëren van een set KPI’s. Hoofdstuk 9 vereist immers dat organisaties evalueren hoe hun ISMS presteert en hoe effectief het is.
Hoofdstuk 9 stelt: “De organisatie moet bepalen wat moet worden bewaakt en gemeten, met inbegrip van informatiebeveiligingsprocessen en -controles.”
Met behulp van deze instructie kun je vrij eenvoudig bepalen voor welke aspecten van je ISMS je KPI’s nodig hebt.
Als je dit eenmaal hebt bepaald, moet je (of liever, het management), om een KPI te kunnen volgen, een doelstelling toewijzen aan elk meetbaar doel.
Voorbeelden van ISO 27001 KPI’s
Laten we eens kijken naar enkele voorbeelden van ISO 27001 KPI’s.
1. Veiligheidsincidenten
Een goed voorbeeld van een KPI waaraan een doelstelling kan worden toegewezen en die vervolgens kan worden bijgehouden is ‘Beveiligingsincidenten’.
ISO definieert een beveiligingsincident als, “een ongewenste gebeurtenis die de vertrouwelijkheid, integriteit of beschikbaarheid van informatie in gevaar kan brengen”.
Uw senior management kan besluiten dat uw bedrijf een doel moet bereiken van minder dan 3 incidenten per maand. Of ze kunnen een relatieve doelstelling opstellen, bijvoorbeeld: ‘Verminder beveiligingsincidenten met 33% deze maand’.
Natuurlijk zullen de parameters van de KPI verschillen afhankelijk van je bedrijf en branche. Het mooie van het maken van je eigen KPI’s is dat het management ze kan aanpassen afhankelijk van wat er in de organisatie gebeurt. Dus als je groeit, kun je de parameters van je KPI’s aanscherpen; als je merkt dat je KPI’s te beperkend zijn, kun je ze versoepelen.
Zolang u voldoet aan uw ISMS-doelstellingen en trouw blijft aan uw ISO 27001-certificering, kunt u uw KPI’s zelf definiëren.
Volgens hun artikel ‘Cybersecurity Risk Management for Tech Companies’, stelt Security Scorecard voor om de volgende statistieken voor beveiligingsincidenten te gebruiken om uw KPI voor beveiligingsincidenten te definiëren:
- Mean Time to Detect
- Alarmtijd tot Triage
- Alarmtijd tot kwalificatie
- Mean Time to Acknowledge
- Mean Time to Investigate
- Mean Time to Resolve
- Mean Time to Contain
- Mean Time to Recover
- Kosten per incident
- Aantal incidenten per apparaat of host
- Mean Time Between Failures
2. Percentage beveiligingsincidenten opgelost binnen een bepaalde tijd
Beveiligingsincidenten bijhouden is één ding, maar ernaar streven ze binnen een bepaalde tijd op te lossen is van vitaal belang.
Deze KPI meet de effectiviteit van het incident management proces van een organisatie bij het tijdig reageren op en oplossen van beveiligingsincidenten.
De oplostijd per incident is afhankelijk van:
- De ernst van het incident.
- De risicomanagementstrategie van de organisatie.
- De middelen en mogelijkheden van de organisatie.
Bij het opstellen van doelstellingen voor deze KPI zijn de volgende metingen redelijk voor een standaardorganisatie:
- Resolve serious security incidents within 24 hours.
- Los minder ernstige beveiligingsincidenten binnen 72 uur op.
Om te bepalen hoe effectief de strategie voor het oplossen van incidenten is nadat de beoogde oplostijden zijn vastgesteld, moet u vaststellen:
- Het aantal geïdentificeerde kwetsbaarheden
- Het percentage kwetsbaarheden dat binnen een bepaalde tijd is verholpen
Met behulp van deze KPI kunt u de potentiële impact op de activiteiten van uw bedrijf en daarmee op de reputatie minimaliseren. Het biedt ook waardevolle informatie voor het management om de effectiviteit van het ISMS van uw organisatie te evalueren en weloverwogen beslissingen te nemen over de toewijzing van middelen en initiatieven voor procesverbetering.
3. Percentage systemen beschermd door anti-malware software
Als het gaat om gevangen infecties, varieert het aantal afhankelijk van de effectiviteit van uw malware. Het aantal gevangen infecties kan dus toenemen omdat je superieure malware hebt en niet noodzakelijk omdat er meer infecties zijn dan normaal.
Uw KPI bij het bepalen van de effectiviteit van uw malwareprogramma’s moet daarom afhangen van het percentage systemen dat is beschermd en dat:
- antivirustools geïnstalleerd en ingeschakeld.
- up-to-date anti-malware handtekeningen.
- specifieke anti-malware tools of functies geïnstalleerd en actief.
Om deze KPI te meten, bepaal je het aantal systemen dat anti-malware bescherming nodig heeft en het aantal systemen dat deze bescherming heeft. Je kunt dan het percentage systemen berekenen dat wordt beschermd door anti-malware software door het aantal systemen met anti-malware bescherming te delen door het totale aantal systemen dat bescherming nodig heeft.
4. Aantal medewerkers verantwoordelijk voor informatiebeveiliging
Clausule 5.3 gaat over het management dat ervoor zorgt dat rollen, verantwoordelijkheden en bevoegdheden duidelijk zijn als het gaat om het aanstellen van een team dat verantwoordelijk is voor het ISMS.
Sommige organisaties kunnen gebruik maken van bestaand personeel en hoeven geen nieuwe medewerkers aan te stellen, terwijl andere organisaties externe aannemers of nieuwe medewerkers moeten aantrekken.
Het is belangrijk dat je organisatie ervoor zorgt dat er één algemeen verantwoordelijke is en dat bepaalde rollen worden ingevuld. Vergeet echter niet dat één persoon meer dan één rol kan vervullen.
De verantwoordelijkheid voor ISMS moet van bovenaf worden opgelegd, waarbij het management het voortouw neemt. In feite kan een senior leidinggevende heel goed de rol van bijvoorbeeld Chief Information Security Officer op zich nemen.
In een grotere organisatie kan dit echter een fulltime baan worden.
De KPI voor ‘Aantal werknemers verantwoordelijk voor informatiebeveiliging’ moet worden gedefinieerd door:
- Zijn er genoeg medewerkers om zich te richten op de belangrijkste onderdelen van het ISMS?
- Is er één persoon die algemeen verantwoordelijk is?
- Zijn de rollen gecommuniceerd naar relevante partijen?
Over het algemeen zijn de volgende rollen noodzakelijk om ervoor te zorgen dat het ISMS wordt gedefinieerd en onderhouden:
- Veiligheidsleiderschap
- Risicobeheer beveiliging
- Interne audit
- Controleurs
- Percentage controles uitgevoerd om naleving van firewallbeleid te garanderen
Firewalls zijn een belangrijk onderdeel van uw ISMS en worden gebruikt om netwerken en systemen te beschermen tegen ongeautoriseerde toegang. Ervoor zorgen dat het firewallbeleid wordt nageleefd is cruciaal voor het handhaven van de effectiviteit van het ISMS en het beschermen van gevoelige informatie.
Bedenk bij het definiëren van de doelstellingen van deze KPI:
- Het percentage controles bijhouden dat wordt uitgevoerd om ervoor te zorgen dat firewalls zijn geconfigureerd volgens het beleid en de procedures van uw organisatie.
- Ervoor zorgen dat toegangscontroles correct zijn geconfigureerd, regels up-to-date zijn en alle wijzigingen zijn goedgekeurd en gedocumenteerd.
Om de effectiviteit van de naleving van uw firewallbeleid nauwkeurig te meten, moet u ook rekening houden met:
- De kwaliteit van de controles.
- De uitkomsten van de controles.
- De acties die zijn ondernomen naar aanleiding van de uitkomsten.
Om ervoor te zorgen dat uw KPI’s nuttig en nauwkeurig zijn, is het van vitaal belang dat u:
- Een duidelijk beleid en duidelijke procedures opstelt voor het configureren en beheren van firewalls;
- Zorg ervoor dat de controles worden uitgevoerd door gekwalificeerd en opgeleid personeel;
- Documenteer de resultaten en genomen acties;
- Gebruik de resultaten van de controles om uw firewallbeleid en -procedures voortdurend te verbeteren;
5. Aantal geïdentificeerde verbeteringen
Deze KPI meet het vermogen van uw organisatie om verbeterpunten in de informatiebeveiligingsprocessen te identificeren en actie te ondernemen om deze aan te pakken.
Verbeteringen kunnen worden gevonden tijdens ISMS-activiteiten zoals beveiligingsvergaderingen of regelmatige interne audits van het ISMS van uw organisatie die u zullen helpen beoordelen of het voldoet aan de eisen van de ISO 27001-norm.
Tijdens deze activiteiten zal uw team gebieden identificeren waar het ISMS kan worden verbeterd, zoals in beleid, procedures of controles.
Als deze gebieden eenmaal zijn geïdentificeerd, moet uw organisatie:
- Het aantal geïdentificeerde verbeteringen bijhouden.
- Prioriteer de verbeteringen op basis van hun potentiële impact op de informatiebeveiligingshouding van de organisatie.
- Neem actie om deze verbeteringen aan te pakken, hetzij door wijzigingen in beleid, procedures of controles, hetzij door het implementeren van nieuwe technologieën of trainingsprogramma’s.
Door het aantal geïdentificeerde verbeteringen te monitoren en de implementatie ervan te volgen, kunt u de effectiviteit van uw ISMS verbeteren en het risico op beveiligingsincidenten minimaliseren.
Deze KPI geeft ook waardevolle informatie aan het senior management om de effectiviteit van het informatiebeveiligingsprogramma van uw organisatie te evalueren en weloverwogen beslissingen te nemen over de toewijzing van middelen en initiatieven voor procesverbetering.
Door regelmatig gebieden voor verbetering te identificeren en aan te pakken, kunt u een sterke informatiebeveiligingshouding handhaven. U behoudt ook de vertrouwelijkheid, integriteit en beschikbaarheid van uw gevoelige informatie.
6. Aantal vastgestelde afwijkingen
Om meer te weten te komen over wat een nonconformiteit is, bekijk ons artikel 10 ISO 27001 Non-Conformance voorbeelden, zowel kleine als grote.
Non-conformiteiten kunnen worden geïdentificeerd door middel van interne audits, externe audits of andere beoordelingen van het ISMS.
Het bijhouden van het aantal geïdentificeerde afwijkingen kan waardevolle inzichten verschaffen in de doeltreffendheid van de ISMS-implementatie. Een hoog aantal afwijkingen kan erop wijzen dat het ISMS niet effectief wordt geïmplementeerd, dat er hiaten zijn in de informatiebeveiligingspraktijken van uw bedrijf of dat er een gebrek aan begrip is van de vereisten van ISO 27001.
Het is echter belangrijk op te merken dat het aantal afwijkingen alleen niet noodzakelijkerwijs een indicator is voor de effectiviteit van het ISMS. U moet rekening houden met:
- De herhaling van non-conformiteiten tussen audits;
- De ernst van elke tekortkoming;
- De impact van elke afwijking;
- De acties die zijn ondernomen om ze te corrigeren;
Een klein aantal kritieke afwijkingen kan zorgwekkender zijn dan een groter aantal kleine afwijkingen.
Je moet je ook niet alleen richten op het verminderen van het aantal vastgestelde afwijkingen. Gebruik deze KPI in plaats daarvan als een hulpmiddel om je ISMS en informatiebeveiligingspraktijken voortdurend te verbeteren.
Dat betekent dat u:
- Regelmatig evalueren en bijwerken van beleid en procedures;
- Grondige risicobeoordelingen uitvoeren;
- Effectieve beveiligingscontroles implementeren;
7. Snelheid waarmee verbeteringen worden opgelost na managementbeoordelingen
Het doel van managementreviews is om de prestaties van het ISMS te evalueren, verbeterpunten te identificeren en ervoor te zorgen dat het systeem is afgestemd op de doelen en doelstellingen van uw organisatie. De directiebeoordeling kan ook inzicht verschaffen in de mate van betrokkenheid van het topmanagement bij de informatiebeveiligingspraktijken van de organisatie.
Managementbeoordelingen moeten ten minste jaarlijks worden uitgevoerd, of vaker indien vereist door uw risicobeheerstrategie.
Het bijhouden van hoe snel verbeteringen worden doorgevoerd na een management review kan u helpen ervoor te zorgen dat uw bedrijf voldoet aan de eisen van de ISO 27001-norm.
Deze KPI wordt beïnvloed door de volgende factoren:
- De kwaliteit van managementbeoordelingen.
- De snelheid waarmee de uitkomsten van de beoordeling worden genoteerd en waarop actie wordt ondernomen.
- De acties die zijn ondernomen naar aanleiding van de bevindingen van de beoordelingen.
Om ervoor te zorgen dat managementbeoordelingen effectief zijn, kunt u het volgende doen:
- Stel duidelijke doelstellingen op.
- Ontwerp duidelijke criteria.
- Zorg ervoor dat de juiste belanghebbenden worden betrokken.
- Tijdlijnen toekennen aan verbeteringen.
- Documenteer de resultaten en genomen acties.
8. Hoe verbeteringen uit risicobeoordelingen informatiebeveiliging (ISRA’s) worden aangepakt
Zonder risicobeoordelingen voor informatiebeveiliging is een ISMS niet veel waard. Risicobeoordelingen voor beveiliging identificeren potentiële risico’s voor uw informatiemiddelen en stellen passende controles vast om deze risico’s te beperken.
Als onderdeel van uw doelstellingen voor deze KPI moet u:
- Stel duidelijke risicobeoordelingsmethoden en criteria op;
- Betrek de juiste belanghebbenden bij het risicobeoordelingsproces;
- Documenteer de resultaten en ondernomen acties.
Het bijhouden van hoe verbeteringen uit risicobeoordelingen worden geïmplementeerd kan u helpen:
- Zorg ervoor dat uw bedrijf snel en effectief potentiële risico’s voor uw informatiemiddelen aanpakt.
- Trends identificeren in de effectiviteit van risicobeoordeling.
- Identificeer trends in risico’s, zoals een toename in het aantal of de ernst van de geïdentificeerde risico’s in de loop van de tijd.
- Bepaal gebieden die extra aandacht en middelen nodig hebben.
9. Percentage bedrijfsinitiatieven ondersteund door het ISMS
Eén van de belangrijkste vereisten van ISO 27001 is ervoor te zorgen dat uw ISMS is afgestemd op en ondersteuning biedt aan de bedrijfsdoelstellingen, -initiatieven en -strategieën van uw organisatie. Het percentage bedrijfsinitiatieven dat wordt ondersteund door het ISMS is een KPI die de effectiviteit van deze afstemming meet.
Om deze KPI te meten, moet u uw projectmanagementsystemen herzien of projectmanagers raadplegen om:
- Bepaal het aantal lopende bedrijfsinitiatieven of projecten;
- Bepaal het aantal van deze initiatieven of projecten die worden ondersteund door het ISMS;
- Identificeer alle lopende bedrijfsinitiatieven, projecten en programma’s waarvoor ondersteuning voor informatiebeveiliging nodig is.
Om het percentage bedrijfsinitiatieven te controleren dat wordt ondersteund door het ISMS voor ISO 27001, moet u:
- Beoordeel de mate van ondersteuning die het ISMS biedt voor elk bedrijfsinitiatief.
- Bereken het percentage bedrijfsinitiatieven dat wordt ondersteund door het ISMS.
- Stel een rapportageproces op om de KPI in de loop van de tijd te controleren. Dit rapportageproces moet regelmatige updates bevatten van het aantal initiatieven dat door het ISMS wordt ondersteund en het percentage ondersteunde initiatieven.
- Analyseer de resultaten om trends en verbeterpunten te identificeren.
- Neem op basis van de resultaten van de analyse corrigerende maatregelen om het niveau van ondersteuning door het ISMS voor bedrijfsinitiatieven te verbeteren. Dit kan het aanpassen van informatiebeveiligingscontroles inhouden of het verhogen van de middelen voor het ISMS.
10. Capaciteitsbeheer
Het is belangrijk om het capaciteitsniveau dat een klant nodig heeft in balans te brengen met de middelen (zowel operationele als geplande) die beschikbaar zijn.
Volgens mITSM draagt “Information Capacity Management bij aan een geïntegreerde Service Management aanpak door het realiseren van de volgende activiteiten:
- Identificeren en definiëren van de interne en externe capaciteitsvereisten
- Plannen van capaciteitsprocedures
- Ontwikkelen van het capaciteitsplan
- Een capaciteitshoofdstuk maken in de SLA en Servicebeschrijving
- Het beheren van de implementatie van capaciteitsacties
- Applicatie dimensionering
- Het evalueren van de capaciteitsprocedures en -maatregelen (inclusief analyse van capaciteitspieken)
- Capaciteitsrapportage
- Capaciteitsverbetering
- Het onderhouden van een capaciteitsdatabase (CDB)
Met deze activiteiten als richtlijn kunt u een KPI rond capaciteitsbeheer creëren die gemakkelijk kan worden gecontroleerd.
Om capaciteitsbeheer als KPI voor ISO 27001 te bewaken, moet u de prestaties vergelijken met de vastgestelde doelstellingen door:
- Regelmatig verzamelen van gegevens over brongebruik.
- Het bijhouden van afwijkingen van doelstellingen.
- Onderzoek van eventuele problemen die zich voordoen.
ISO 27001 KPI’s: de sleutel tot goede beveiligingsprestaties
Volgens een 2022 onderzoek gepubliceerd door Encore, zegt 54% van de ondervraagde CISO’s dat hun bestuur niet voldoende geld beschikbaar stelt voor informatiebeveiliging. Tegelijkertijd zijn de gemiddelde kosten van datalekken wereldwijd gestegen naar $4,35 miljoen.
Het is dus duidelijk dat met de toenemende cyberbedreigingen het van vitaal belang is om compliance standaarden te implementeren die uw informatiebeveiligingssystemen valideren.
Het gebruik van ISO 27001 KPI’s om de effectiviteit van uw ISMS bij te houden zal u helpen uw directie ervan te overtuigen dat ISO 27001 certificering niet alleen belangrijk is, maar ook kwantificeerbaar, kwalificeerbaar en absoluut noodzakelijk.
