Mobile-Menu

Benchmark setzt Schutzmaßnahmen ins Verhältnis

Mehr Sicherheit durch Kennzahlen

Seite: 2/2

Anbieter zum Thema

Fsas Technologies GmbH
Computacenter AG & Co. oHG

Einheitliches Managementverfahren

In der IT-Umgebung einer Organisation ist es also möglich, eine Vielzahl an Kennzahlen zur Informationssicherheit zu erheben. Es ist daher notwendig, im Vorfeld zu definieren, welche Kennzahlen wirklich sinnvoll sind. Einzeln betrachtet können alle Kennzahlen zu punktuellen Verbesserungen der betreffenden Controls in ihrer spezifischen Umgebung beitragen. Allerdings ergibt sich auf diese Weise kein vollständiges Bild der Informationssicherheit.

Eine Aggregation der Kennzahlen ist nicht möglich bzw. sinnvoll, da die Zahlen untereinander in keiner Beziehung stehen. Zudem können oftmals sogar die Einheiten unterschiedlich angegeben sein, beispielsweise in „Prozent“ oder „pro Monat“, so dass solche Kennzahlen nicht sinnvoll vergleichbar sind.

Außerdem ist es zweifelhaft, ob es mit dem beschriebenen Modell in einem Konzern oder einer Branche möglich ist, einen einheitlichen und für alle sinnvollen Benchmark zu entwickeln. Denn die Messung von bestimmten Kennzahlen in Unternehmen A kann in Unternehmen B völlig überflüssig sein. In diesem Fall ist es notwendig, auf Basis einer Risikoanalyse andere Schutzmaßnahmen zur Auswahl der Kennzahlen heranzuziehen.

Framework definiert zentrale Aspekte

Tabelle 1: Register zur Ermittlung von Informationssicherheitskennzahlen auf der Grundlage von Managementverfahren.
Tabelle 1: Register zur Ermittlung von Informationssicherheitskennzahlen auf der Grundlage von Managementverfahren.
(Bild: Computacenter)
Zur Erreichung der zuvor genannten Aufgabenstellung ist es sinnvoll, innerhalb eines Konzerns oder einer Branche über ein Framework für ein vereinheitlichtes Managementverfahren sorgen. Es gibt Aufschluss darüber, ob eine Schutzmaßnahme neu einzuführen, zu verbessern oder zu modifizieren ist.

Tritt beispielsweise ein Sicherheitsvorfall auf, so lässt sich dieser stets mit einer Schutzmaßnahme assoziieren und es können Vermutungen darüber angestellt werden, ob die Schutzmaßnahme unzureichend war. Wurde eine Schutzmaßnahme im Rahmen einer Revisionsprüfung als ungenügend befunden, lassen sich Aussagen darüber treffen, ob diese nicht wie konzipiert umgesetzt ist. Besteht ein erhöhtes Risiko, können Unternehmen ableiten, dass die Schutzmaßnahme noch nicht ausreichend ist. Auf diese Weise kann ein Register (siehe Tabelle 1) erstellt werden.

Tabelle 2: Register zur Ermittlung von Informationssicherheitskennzahlen mit abgeleiteten Messwerten, Indikatoren und dem Hinweis auf einen Handlungsbedarf.
Tabelle 2: Register zur Ermittlung von Informationssicherheitskennzahlen mit abgeleiteten Messwerten, Indikatoren und dem Hinweis auf einen Handlungsbedarf.
(Bild: Computacenter)
Jeder Eintrag in das Register zur Ermittlung von Kennzahlen über die Informationssicherheit liefert Basis-Messwerte gemäß Abbildung 1. Liegt beispielsweise ein erhöhtes Risiko vor, wie bei Maßnahme 3, so kann man von einer maximalen Punktzahl (im Beispiel könnte dies eine „3“ sein, da wir es mit drei Managementverfahren zu tun haben) einen Wert abziehen. Diese Basis-Messwerte können jetzt pro Schutzmaßnahme zu den abgeleiteten Messwerten kombiniert werden. Diesem Wert wird ein Indikator gegenübergestellt, der Aufschluss über den Handlungsbedarf gibt (siehe Tabelle 2).

Maßnahmen gruppieren

Abb. 2: Beispiel einer Erhebung von Informationssicherheitskennzahlen auf der Grundlage von Managementverfahren und Aggregation durch Gruppierung von Einzelmaßnahmen.
Abb. 2: Beispiel einer Erhebung von Informationssicherheitskennzahlen auf der Grundlage von Managementverfahren und Aggregation durch Gruppierung von Einzelmaßnahmen.
(Bild: Computacenter)
Das Benchmarksystem von Computacenter gibt dem Management Aufschluss darüber, ob und an welchen Stellen ein Handlungsbedarf besteht. Anhand der Auswertung sind alle Ergebnisse ins Verhältnis gesetzt. Dadurch können Maßnahmen gruppiert und die Erhebung des gesamten Registers in unterschiedlichen Managementeinheiten durchführt werden.

Der blaue Bereich in Abbildung 2 zeigt den Ist-Status, der sich aus Incidents, Audits und Risikoanalysen zusammensetzt. Ringsum sind die unterschiedlichen Sicherheitsstandards zur Informationssicherheit gelistet.

Ralf Nemeyer ist Principal Consultant Secure Information bei Computacenter.
Ralf Nemeyer ist Principal Consultant Secure Information bei Computacenter.
(Bild: Computacenter)
Die Abbildung zeigt beispielsweise den Standard „ISMS IT-Betrieb“. Der abgeleitete Messwert, wird durch die blaue Fläche repräsentiert und ist im grünen Bereich zu finden. Der Indikator zeigt auf, dass in diesem Fall kein Handlungsbedarf besteht. Im Gegensatz dazu befindet sich der Sicherheitsstandard „ISMS Umgebungssicherheit“ gemäß dem abgeleiteten Messwert im roten Bereich, es müssen also Maßnahmen für die Erhöhung der Umgebungssicherheit eingeleitet werden.

Die Voraussetzung dafür ist ein sorgfältig umgesetztes ISMS. Nur so lässt sich die Gesamtsumme der Schutzmaßnahmen genau benennen. Denn mit dem vollständigen Satz an Schutzmaßnahmen kombiniert mit dem vollständigen Satz an Managementverfahren erhalten Organisationen ein Benchmarksystem, das in Kombination mit einem Dashboard zu höherer Effizienz beim Sicherheitsmanagement führt.

(ID:39435080)

Weiterführende Inhalte