Metriken für CISOs zur Risiko-Evaluierung Wichtige Kennzahlen und KPIs für CISOs

Anbieter zum Thema

SEPPmail - Deutschland GmbH

FTAPI Software GmbH

Die Überwachung von IT-Security-Maßnahmen ist kein Selbstläufer, da sich Angriffsflächen sowie Methoden böswilliger Akteure ständig ändern. Mithilfe geeigneter Kennzahlen können CISOs die Effektivität ihrer Maßnahmen überwachen und den Return on Investment (ROI) der Security-Ausgaben auf Vorstandsebene anzeigen.

Kennzahlen bieten einen zuverlässigen Überblick zu den Mehrwerten von Security-Maßnahmen für ein gesamtes Unternehmen. Und sie helfen CISOs dabei, dem Management bzw. dem Vorstand zu veranschaulichen, was sie unternommen haben, um die Datenintegrität und -sicherheit zu schützen. Jedoch kann auf diese Weise die Unternehmensführung leicht mit Informationen überschwemmt werden.

Security-Insider Podcast – Folge 80

IT-Sicherheit zum Nulltarif?

Welche Metriken fokussieren?

Zu viele Kennzahlen können Führungskräfte in einer Präsentation sehr leicht verwirren. Im schlimmsten Fall entsteht ein irreführendes Bild über die Leistungsfähigkeit eines IT-Security-Programms, das vielleicht auch noch das Vertrauen in die Fähigkeiten eines CISOs schmälert.

Effektiv arbeitende CISOs sind allerdings dazu in der Lage, klare Signale von diffusem Rauschen zu trennen, indem sie sich auf die entscheidenden Metriken bzw. Leistungskennzahlen (Key Performance Indicators – KPIs) konzentrieren, um klare Signale zu setzen.

In der Folge wird eine Reihe der wichtigsten Kennzahlen und KPIs vorgestellt, die CISOs dabei helfen sollen, für den jeweiligen Zweck einer Präsentation die relevante Auswahl zu treffen. Mithilfe dieser nach Themen gruppierten Kennzahlen und KPIs können CISOs die Effektivität ihrer IT-Security-Kontrollen und -initiativen messen. Damit sind sie auch bestens gerüstet, um etwaige Risiken zu erkennen und zu mindern.

Metriken zur Erkennung von Bedrohungen und Reaktion auf Vorfälle

• Mittlere Erkennungszeit (Mean Time To Detect - MTTD): Je schneller der CISO einen Sicherheitsvorfall erkennt, desto schneller kann er reagieren. Diese Metrik misst die durchschnittliche Zeitspanne zwischen dem Auftreten eines Vorfalls und seiner Erkennung.

• Mittlere Reparaturzeit (Mean Time To Repair - MTTR): Je schneller ein CISO auf einen Vorfall reagieren kann, umso besser kann er seine Auswirkungen eindämmen und begrenzen. Wenn er die durchschnittliche Zeit misst, die sein Team benötigt, um eine Bedrohung zu neutralisieren und die Kontrolle über kompromittierte Systeme zurückzugewinnt, kann er die potenziellen Schäden besser in den Griff bekommen und seine Aktivitäten optimieren.

• Mittlere Eindämmungszeit (Mean Time To Contain – MTTC): Wie lange brauchen CISOs, um alle kompromittierten Endpunkte und Angriffsvektoren zu sichern? Diese Kennzahl kann die Effizienz und Effektivität ihrer Teams bei der Reduzierung der Auswirkungen eines Sicherheitsvorfalls oder Cyberangriffs demonstrieren.

Kleiner Tipp: CISOs sollten sich zunächst auf MTTR konzentrieren und später, wenn es sinnvoll erscheint, MTTD und MTTC hinzufügen!

Metriken der Performance

• Durchschnittliche Ausfallzeit: Diese Metrik erfasst die durchschnittliche Zeit, in der die Systeme nicht betriebsbereit sind. Sei es für Reparaturen, eine korrigierende und vorbeugende Wartung oder Systemausfälle.

• Durchschnittskosten pro Vorfall: Wie viel kostet es, auf einen Angriff zu reagieren und ihn zu beheben? Berücksichtigung der Faktoren wie beispielsweise Untersuchungs- und Sanierungskosten sowie ausgefallene Mitarbeiterproduktivität und Überstunden. CISOs sollten darauf achten, dass ihre KPIs mit Daten gut untermauert sind.

• Systeme mit bekannten Schwachstellen: Eine genaue Identifikation der Schwachstellen in den Systemen ist für die Eindämmung von Bedrohungen unerlässlich. Wie viele Schwachstellen sind überhaupt vorhanden und welche sind davon kritisch? Regelmäßige Reports über Schwachstellenscans, Penetrationstests und Patch-Releases helfen dabei, Trends bei der Anzahl der exponierten Assets aufzuzeigen und die Wirksamkeit des Schwachstellen-Managements eines CISOs zu belegen.

Metriken für die Bereitschaft

Effektivität von Sicherheitsschulungen: Mitarbeiter, die potenzielle Bedrohungen erkennen und darauf adäquat reagieren können, sind für die Verhinderung einer Sicherheitsverletzung von entscheidender Bedeutung. Hier stellt sich für CISOs folgende Frage: Wie effektiv ist das Bewusstseinstraining zur Reduzierung menschlicher Risiken? Mithilfe dieser Kennzahlen können CISOs verstehen, was im Grunde schon verinnerlicht wurde und gegebenenfalls Potenziale für Verbesserungen identifizieren.

Metriken für Sicherheitsbewertungen der Lieferketten

Compliance-Berichte der Anbieter: Die Sicherheitsbewertungen der Handelspartner bieten einen umfassenden Überblick über die Stärke der Sicherheitslage dieser Organisationen. Mithilfe jener Bewertungen lassen sich Risikoexpositionen überwachen und begrenzen. Viele Handelspartner verfügen jedoch nicht über optimale Praktiken der Datensicherheit, was eine direkte und wichtige Auswirkung auf jedes eigene IT-Security-Programm ausübt.

Metriken der Patch-Rhythmen

Regelmäßige Patches: Wie oft überprüfen CISOs Systeme, Netzwerke, Geräte und Anwendungen auf Updates, um mögliche Sicherheitslücken zu schließen? Ein gut etablierter Patching-Prozess kann dabei helfen, Schwachstellen zu identifizieren, zu priorisieren und zu begrenzen.

Metriken für die Zugriffsverwaltung

Identity und Access Management (IAM): Eine effektive IAM-Strategie wirkt sich nicht nur auf die Aspekte der Stärkung der Datensicherheit und Vertraulichkeit, sondern auch auf die Reduzierung der Arbeitsbelastung für IT- und IT-Security-Teams aus. Indem die Zugriffskontrollen überwacht und die Zugriffe auf das erforderliche Minimum beschränkt werden, können CISOs dem Management zeigen, dass sie das Risiko eines unbefugten Zugriffs drastisch reduzieren konnten.

Die Metriken umfassen beispielsweise die Anzahl der User mit Superuser-Zugriffsebene, die durchschnittliche Zeit zum Deaktivieren der Anmeldeinformationen ehemaliger Mitarbeiter und die Häufigkeit der Zugriffsüberprüfung durch Dritte. Interne Sicherheitsaudits und Compliance-Reports sollten außerdem regelmäßig überprüft werden, um das Wesentliche der Sicherheitslage zu aktualisieren wie auch die aktuelle Bedrohungslandschaft, Risikomanagementstrategie, Risikoexposition gegenüber Dritten, Abhilfepläne und alle internen Leistungsbenchmarks.

Metriken aussagekräftig darstellen

In der Regel beobachten CISOs vielleicht etwa 10 oder 15 Kennzahlen. Für ihre Präsentation vor dem Management zeigen sie möglicherweise nur die wichtigsten sechs oder sieben Kennzahlen, aber wenn sie dem Vorstand Bericht erstatten, sind es idealerweise etwa nur zwei oder drei Kennzahlen.

Dem Vorstand liegen unter anderem Umsatz und Gewinn am Herzen. CISOs nutzen daher Berichtskennzahlen, um zu demonstrieren und zu quantifizieren, wie ihre Entscheidungen und Maßnahmen in diese Richtung weisen. Vielleicht wurden aktuell neue Zertifizierungen für Security-Maßnahmen oder Sicherheitsfragebögen eingeführt, die sich nachweislich positiv auf das Geschäftsfeld auswirken?

Bei der Präsentation der vierteljährlichen Ergebnisse vor dem Management empfiehlt es sich für CISOs eine Reihe von KPIs vorzustellen, die aggregierte Werte verschiedener Sicherheits- und Compliance-Kennzahlen darstellen. Dazu könnten folgende Metriken gehören:

• Schwachstellen-Risiko-Score

• Drittanbieter-Risiko-Score

• Security-Compliance-Score

• Security-Awareness-Score

CISOs müssen ihre Kennzahlen aussagekräftig darstellen und damit unterstreichen, wie Sicherheits-, Datenschutz- und Compliance-Programme im gesamten Unternehmen einen deutlichen Mehrwert schaffen.

(ID:49777377)