Eine Kennzahl ohne Rechenweg misst nichts

Im Bericht an die Geschäftsführung stehen oft dieselben Zahlen wie im Vorquartal, nur höher: mehr Schulungen, mehr geschlossene Tickets, mehr gepatchte Systeme. Eine Frage beantworten sie selten: Ist die Informationssicherheit dadurch besser geworden?

Genau diese Frage stellt ISO/IEC 27001 in Abschnitt 9.1. Die Organisation bewertet dort die Leistung der Informationssicherheit und die Wirksamkeit des ISMS. Eine Zahl allein ist dafür noch keine Grundlage.

Sechs Festlegungen statt einer Liste

Sinngemäß verlangt die Norm, dass die Organisation bestimmt:

• was überwacht und gemessen werden muss, einschließlich der Prozesse und Maßnahmen der Informationssicherheit,
• mit welchen Methoden überwacht, gemessen, analysiert und bewertet wird, soweit anwendbar, damit die Ergebnisse gültig sind,
• wann überwacht und gemessen wird,
• wer überwacht und misst,
• wann die Ergebnisse analysiert und bewertet werden,
• und wer sie analysiert und bewertet.

Dazu kommt ein Hinweis, der in der Praxis am meisten wiegt: Die gewählten Methoden sollen vergleichbare und reproduzierbare Ergebnisse liefern. Die Ergebnisse werden als dokumentierte Information aufbewahrt. Der Normtext ist urheberrechtlich geschützt, deshalb hier nur sinngemäß.

Woran Kennzahlen scheitern

Aktivität statt Wirkung. „Zwölf Schulungen durchgeführt“ misst den Fleiß des Schulungsteams. Ob Beschäftigte eine Phishing-Mail erkennen, misst es nicht. Wirkung zeigt sich eher im Anteil derer, die in einer Übung klicken, oder in der Zeit zwischen Eingang und Meldung eines Verdachts.

Der Rechenweg wandert. Im ersten Quartal zählt eine Person alle Systeme, im zweiten eine andere nur die Server. Die Kurve steigt, obwohl sich nichts verändert hat. Reproduzierbar ist eine Kennzahl erst, wenn eine zweite Person mit denselben Daten auf dieselbe Zahl kommt.

Kein Zielwert. 83 Prozent sind weder gut noch schlecht, solange niemand festgelegt hat, was erreicht werden soll und ab wann gegengesteuert wird. Ohne Ziel lässt sich messen, aber nicht bewerten.

Null ist nicht leer. „Null Sicherheitsvorfälle“ kann bedeuten, dass nichts passiert ist, oder dass niemand etwas erfasst hat. Eine Kennzahl, die fehlende Daten als Null ausgibt, belohnt das Wegsehen.

Gemessen, aber nicht ausgewertet. Die Norm trennt das Messen vom Analysieren und Bewerten und verlangt für beides eine Zuständigkeit. Die Ergebnisse gehören als Trend in die Managementbewertung, nicht nur als Stand in ein Dashboard.

Wenige Kennzahlen, gut begründet

Ein belastbares Set ist klein. Zu jeder Kennzahl gehört eine Beschreibung, was sie zeigen soll, der Rechenweg mit Datenquelle, die Einheit und die Richtung (höher oder niedriger ist besser), der Zielwert und eine Warnschwelle, der Messrhythmus und eine verantwortliche Person. Wer das für fünf Kennzahlen sauber festlegt, hat mehr als mit dreißig, die niemand nachrechnen kann.

Wie isidaten das abbildet

Im KPI-Cockpit hat jede Kennzahl eine Definition mit Einheit, Richtung, Messrhythmus, Zielwert, Warnschwelle und Berechnungsart. 44 Kennzahlen lassen sich aus den Fachdaten der Plattform berechnen, etwa die mittlere Erkennungszeit von Vorfällen aus Beginn und Erkennung der letzten zwölf Monate. Der Rechenweg liegt damit fest und hängt nicht davon ab, wer rechnet. Die Berechnung wird ausgelöst und als datierte Messung mit Hinweis auf die automatische Berechnung abgelegt. Fehlen die Daten, entsteht kein Wert und keine Null, sondern eine Meldung. Kennzahlen lassen sich je Informationsverbund mit eigener verantwortlicher Person und eigenem Zielwert führen. Die Ampel richtet sich nach Richtung, Ziel und Warnschwelle, und ohne Messung oder ohne Zielwert bleibt sie grau statt grün.

Die Prüffrage

Wer hat Ihre wichtigste Sicherheitskennzahl im letzten Quartal berechnet, und käme eine zweite Person mit denselben Daten auf dieselbe Zahl?

Wenn Sie dafür erst die Tabelle der Kollegin öffnen müssten, ist die Kennzahl noch eine Meinung mit Nachkommastellen. Wie das Messen mit den übrigen Kapiteln der Norm zusammenhängt, steht in Die Norm beginnt nicht bei Anhang A, das interne Audit in Ein Audittermin ist noch kein Auditprogramm.

Quellen

ISO/IEC 27001:2022, Abschnitt 9.1 (sinngemäß, Normtext urheberrechtlich geschützt). Leitfaden zu Überwachung, Messung, Analyse und Bewertung: ISO/IEC 27004:2016.