Bitte nicht zu viele Details … Security-Kennzahlen für Vorstände

Anbieter zum Thema

Vogel IT-Medien GmbH

Mimecast Germany GmbH

Geschäftsorientierte Vorstandsmitglieder wollen mit technisch-orientierten IT-Security-Daten auf strategischer Ebene versorgt werden. Welche Zahlen und Messgrößen sind geeignet, um Geschäftsführer auf C-Level zu überzeugen?

Security-Teams murren sehr gerne über die für sie meist viel zu verkürzten Darstellungsformen, die Vorstände gerne von ihnen wünschen. Am liebsten sehen viele Top-Entscheider simple Charts wie beispielsweise Ampel-Indikatoren in Rot-Gelb-Grün, um ein komplexes Gesamtbild mit Signalcharakter in ein einziges, sehr übersichtliches Bild zu packen.

Aber mal ehrlich: Einzelhandelsgeschäfte verkaufen ihre Smartphones auch nicht mit Kennzahlen wie „Umsatz pro Quadratmeter“ oder „Deckungsbeiträgen pro Stück“. Ampel-Indikatoren sind daher sicherlich eine Möglichkeit für sehr kompakte Präsentationen an den Vorstand, solange die einzelnen „Farben“ bzw. Eskalationsstufen klar verständlich definiert sind und über einen überschaubaren Umfang an Details genau erklärt werden können.

Dies impliziert ebenso eine gezielte Auswahl an Daten, Kennzahlen und Maßnahmen, die dem Vorstand letztlich vorgelegt werden, die aber auch gleichzeitig immer auf eine umfassende Unternehmensperspektive bezogen sein sollen. Dabei kann es zur Orientierung hilfreich sein, die Präsentation darauf aufzubauen, was Vorstandsmitglieder in der Regel über IT-Security in jedem Unternehmen wissen wollen.

Wichtigste Fragen zur IT-Security

In der Folge die vielleicht am häufigsten gestellten Fragen von Unternehmensvorständen zur Cybersicherheit:

• „Sind wir sicher?“ Diese Frage ist der Fluch vieler CISOs bzw. Security-Teams, denn die Antwort lautet jetzt und in Zukunft immer „Nein“, wenn es um einen buchstäblich 100-prozentigen Schutz geht. Wenn man die Frage in „Wie hoch ist unser Gefährdungsgrad?“ umformuliert, geht es in die richtige Richtung und das Unternehmen beginnt, Fortschritte zu machen.

• „Sind wir compliant?“ Diese Frage lässt sich oft leicht anhand von Audit-Ergebnissen beantworten, bietet aber keinen wirklichen Trost, da es sich immer um eine „punktuelle“ Perspektive handelt, die sich in jedem Augenblick ändern kann. Besser wäre es, ein IT-Security-Programm anhand eines gezielten Kontrollrahmens zu bewerten.

• „Hatten wir irgendwelche relevanten Vorfälle?“ Die Mitglieder des Verwaltungsrats sind über alle bedeutenden Vorfälle gut informiert, daher wird diese Frage in der Regel mit Details sowie Schätzungen der Kosten und der potenziellen Haftung beantwortet.

• „Wie effektiv ist unser Sicherheitsprogramm?“ Standardelement einer guten Unternehmensführung. Das heißt, Qualität geht vor. Und dann die Quantität.

Wichtige Messgrößen für die IT-Security

Bei der Ausarbeitung eines IT-Security-Programms sollte das erklärte Ziel darin bestehen, die detailliertesten technischen Daten direkt in einen strategischen Rahmen zu übersetzen, der auf Vorstandsebene verständlich ist.

• IT-Ressourcen (Anzahl der User, Geräte, Server, Anwendungen etc.)

• Nutzungsaktivität (Sitzungen, Flüsse, Nachrichten etc.)

• Prozesskontrollen (Erstellung/Änderung/Löschung von Benutzerkonten, Erkennung/Patch von Sicherheitslücken, Erkennung/Reaktion auf Vorfälle etc.)

• Echtzeit-(Inline-)Kontrollen (Anti-Malware, Firewall, E-Mail-Sicherheit etc.)

• Vorfälle

Wesentliche Kennzahlen für die IT-Security

In der Folge sind Kennzahlen aufgelistet, die einen strategischen Einblick in das IT-Security-Programm des Unternehmens bieten:

• Cyber-Risiko: Der prozentuale Anteil der unangemessenen Nutzungsaktivitäten an allen Nutzungsaktivitäten.

• Wirksamkeit der IT-Security: Prozentuale Verringerung des IT-Security-Risikos durch die Echtzeit-IT-Security-Kontrollen.

• IT-Security-Belastung: Durchschnittliche Anzahl von Nutzungsaktivitäten pro IT-Anlage.

• IT-Security-Resilienz: Durchschnittliche Anzahl der für jede Nutzungsaktivität angewendeten Echtzeit-Kontrollen.

• Risiko-Aversionsverhältnis: Die Bereitschaft, Produktivitätseinbußen (z. B. Passwortfehler, Falschmeldungen) im Vergleich zu den erlaubten oder verweigerten bösartigen Aktivitäten (echte Positivmeldungen plus Falschmeldungen) zu akzeptieren.

Zentrale Kostenaspekte für die IT-Security

Darüber hinaus müssen die anfallenden Kosten auf das jeweilige zu schützende Asset bezogen werden. Schließlich sind Finanzinformationen eine wichtige „Verkehrssprache“ der Vorstände:

• Verhältnis zwischen Verlust und Asset: Ausgaben für IT-Security, einschließlich der Verluste durch Zwischenfälle, im Vergleich zum finanziellen Wert der IT-Anlagen.

• Kontrollkosten pro IT-Asset (Anwendung): Zugewiesene Kosten für IT-Security-Kontrollen pro IT-Asset.

• Reduziertes Risiko pro Kosteneinheit: Finanzieller Wert des reduzierten Risikos im Vergleich zu den gesamten IT-Security-Ausgaben.

Der Weg zum IT-Security-Programm

Mithilfe der Messgrößen zeigen CISOs bzw. die Security-Experten, dass sie über Bedrohungen strukturiert und ergebnisorientiert nachdenken und handeln. Ferner können sie belegen, wie relevant diese Bedrohungen für das Programm und seine Performance sind. Gleichzeitig wird veranschaulicht, wo es gegebenenfalls noch Verbesserungsmöglichkeiten gibt.

Das interne IT-Security-Programm sollte mit einer sogenannten „Außenperspektive“ in Verbindung gebracht werden. Hier kann das Security-Team Vertrauen aufbauen, indem es ein Framework verwendet, das von einer externen Autorität unterstützt wird. Eine Möglichkeit wäre beispielsweise das NIST Cybersecurity Framework (CSF). Das NIST CSF ist um fünf Funktionsbereiche herum organisiert: Identify, Protect, Detect, Respond und Recover.

Damit wäre es möglich, zum Beispiel eine funktionsübergreifende Supply-Chain-Security zu implementieren. Das Prinzip wird nachfolgend an drei der Funktionen beispielhaft veranschaulicht:

• Identify verfügt über Unterfunktionen wie Asset Management, Identity and Access Management (IAM) und mehr.

• Protect verfügt über Unterfunktionen wie Vulnerability Management und SDLC etc.

• Detect verfügt über Unterfunktionen wie SIEM etc.

Das heißt, jede der fünf Fähigkeiten wird in wichtige „messbare“ Teilfähigkeiten aufgeteilt. Diesen Unterfunktionen sollen dann Messgrößen bzw. Key Performance Indicators (KPIs) basierend auf den CSF-Ebenen zugewiesen werden. Wobei der KPI eine Messgröße für die jeweilige Reifestufe darstellt, die innerhalb dieser Unterfunktion erreicht wurde.

Fazit

Vergleicht man die oben skizzierten Messgrößen und Kennzahlen mit den zahlreichen Finanzkennzahlen auf den Investment-Websites, so lässt sich sehr schnell erkennen, dass dieser Ansatz auf einer weitaus zielführenderen strategischen Basis angesiedelt ist als das Durcheinander von Patch-Levels und gefundener Malware. Wenn CISOs bzw. die Security-Experten wollen, dass Führungskräfte die IT-Security im Unternehmen ernst nehmen, ist dies ein Weg dorthin.

(ID:48558819)