Kennzahlensysteme fürs Security Management Informationssicherheit mit COBIT und Balanced Scorecard messen

Auch für das IT-Sicherheitsmanagement gilt die alte Manager-Weisheit: „You can’t manage what you don’t measure.” Ohne geeignete Kennzahlensysteme befindet man sich nämlich im Blindflug. Dieser Artikel befasst sich mit der Entwicklung eines Kennzahlensystems auf Basis von COBIT und der Balanced Scorecard.

Anbieter zum Thema

Arvato Systems

TXOne Networks

Keeper Security EMEA Ltd.

(ISC)2 Inc.

Dr. Thomas Störtkuhl, (ISC)²-zertifizierter CISSP

Um die Reife der implementierten Informationssicherheit in Unternehmen zu beschreiben, sollte man ein Kennzahlensystem entwickeln. Ausgangspunkt dabei ist ein Managementsystem für Informationssicherheit (im Folgenden kurz als ISMS bezeichnet). Es gilt, das ISMS und seine Wirksamkeit im weiteren Verlauf zu beurteilen. Dies soll auf der Grundlage von Control Objectives for Information and related Technology (COBIT) und der Methodik der Balanced Scorecard erfolgen.

Die Methodik der Balanced Scorecard

Ein wichtiges Ziel der Balanced Scorecard ist es, eine Kontrolle der Aktivitäten einer Organisation im Hinblick auf ihre übergeordnete Strategie zu ermöglichen. Dabei werden im Allgemeinen neben der Finanzperspektive unter anderem auch Personalressourcen und Geschäftsprozesse betrachtet.

Die Balanced Scorecard verbindet die sogenannten Perspektiven wie Finanzen, Kunden, Prozesse und Mitarbeiter mit der Strategie des Unternehmens. Für die jeweiligen Perspektiven sind gemäß der übergeordneten Strategie der Organisation Ziele, Maßnahmen, Kennzahlen und zugehörige SOLL-Werte zu definieren.

Die Strategie wird so konkret und leichter verständlich. Dieses Vorgehen lässt sich auch auf das Management der Informationssicherheit übertragen (siehe Abbildung 1 der Bildergalerie).

Ableitung von Zielen und zugehörigen Kennzahlen nach COBIT

Control Objectives for Information and related Technology (COBIT) ist ein Kennzahlensystem, das sich an den Geschäftszwecken des Unternehmens orientiert. Dabei werden die Geschäftsziele mit den IT-Zielen direkt verknüpft. Die Geschäftsziele sind in COBIT den Perspektiven der Balanced Scorecard zugeordnet.

Den IT-Zielen werden wiederum Prozesse aus 34 definierten IT-Prozessen zugeteilt. Zudem liefert COBIT Metriken und Reifegradmodelle für die angegebenen IT-Prozesse. Somit ermöglicht COBIT ein klares Vorgehen, um IT-Ziele, Maßnahmen und Kennzahlen aus den Geschäftszielen abzuleiten. Dieses Schema wird im Folgenden für die Ableitung von Zielen und Kennzahlen für die Informationssicherheit an einem Beispiel angewendet.

Für die Perspektive Mitarbeiter wird im COBIT als Geschäftsziel z.B. „Einstellung und Entwicklung von qualifizierten und motivierten Mitarbeitern“ genannt. Diesem Geschäftsziel ist unter anderem das IT-Ziel „Einstellung und Entwicklung motivierter Mitarbeiter, die zu der IT-Strategie passende Skills vorweisen können“ zugeordnet. Zur Erreichung dieses Ziels hat COBIT bspw. den Prozess PO7 „Manage das IT Personll“ vorgesehen.

Als eine mögliche Kennzahl wird dabei die „Fluktuation beim IT Personal“ angegeben. Für die Informationssicherheit ergibt sich analog daraus als Ziel: „Einstellung und Entwicklung motivierter Mitarbeiter mit passenden Skills zur Umsetzung der Strategie und Ziele der Informationssicherheit“. Die dazugehörige Kennzahl ist: „Fluktuation des Personals, das das ISMS betreibt und verantwortet“.

Seite 2: Auswahl der Kennzahlen

Auswahl der Kennzahlen

Wenn man das skizzierte Verfahren für alle in COBIT formulierten Ziele und die zugeordneten Prozesse durchläuft, erhält man eine Menge von möglichen Kennzahlen. Diese Menge ist im Allgemeinen zu groß, um sie überblicken und damit für die Steuerung des ISMS einsetzen zu können. Deshalb sollte ein Satz von etwa 10 Kennzahlen nach folgenden Kriterien als geeignet ausgewählt werden:

• Kosten: die Erhebung des aktuellen Wertes der Kennzahl muss mit vertretbarem Aufwand erfolgen können. Man wird z.B. Kennzahlen bevorzugen, die bereits ermittelt werden oder deren Ermittlung sich kostengünstig automatisiert durchführen lässt.
• Unabhängigkeit: die Kennzahl sollte möglichst auch dann noch gültig bleiben, wenn z.B. die IT-Infrastruktur geändert wird. Damit bleibt die Kennzahl über einen längeren Zeitraum (z.B. Jahre) gültig und nutzbar. Trends werden so erkennbar.
• SOLL-Definition: Der SOLL-Wert der Kennzahl muss sowohl einfach festlegbar, als auch leicht quantifizierbar und somit sofort einsehbar sein. Als Beispiel kann die Zahl der Kundenbeschwerden genommen werden, die gegen den Wert 0 streben sollte.

Ein Beispiel für ein mögliches Kennzahlensystem ist in Abbildung 2 dargestellt. Aus den gezeigten Kennzahlen können Bewertungen und Informationen generiert werden, die die Geschäftsführung benötigt, um ihren Pflichten bzgl. der Steuerung und dem Controlling nachkommen zu können.

Außerdem erlauben die Kennzahlen auch eine Aussage zum Reifegrad der ISMS-Prozesse und zu der Vollständigkeit der ISMS-Dokumentation im Sinne einer Compliance nach dem ISO-27001-Standard. Schließlich kann der Reifegrad des ISMS durch eine (gewichtete) Mittelwertbildung über alle angegebenen Kennzahlen festgelegt werden und man entgeht dem Blindflug.

Fazit

Der vorgestellte Ansatz für die Entwicklung eines Kennzahlensystems zur Steuerung eines Managementsystems für Informationssicherheit basiert auf der Methodik des Balanced Scorecard und lehnt sich an den COBIT Standard an. Folgende Vorteile zeichnen diesen Ansatz aus:

1. Die Ableitung von Zielen und Kennzahlen für das ISMS gewährleistet eine Ausrichtung der Informationssicherheit an den Geschäftszielen.

2. Die Strukturierung nach Perspektiven gemäß der Methodik der Balanced Scorecard garantiert weiter, dass alle wesentlichen Interessengruppen und Themen berücksichtigt werden. Zudem werden die Ziele und Kennzahlen verständlich dargestellt, so dass sie eine Operationalisierung erlauben, d.h. die Mitarbeiter aller Hierarchieebenen können sich an den Zielen orientieren und die Zielerreichung über die Kennzahlen kontrollieren.

3. Ein Kennzahlensystem zur Steuerung des ISMS kann für Unternehmen jeglicher Art und Größe entwickelt werden.

Dr. Thomas Störtkuhl

CISSP

Anwendungssicherheit

Dr. Thomas Störtkuhl ist (ISC)²-zertifizierter CISSP und verantwortet als Teamleiter den Bereich Geschäftsprozess- und Anwendungssicherheit bei der Secaron AG.

(ID:2049587)