Wie misst man Menschen, ohne sie zu überwachen?
Einen Human-Risk-Index zu berechnen ist technisch trivial, die Daten liegen längst vor. Schwierig ist, was man danach damit darf. Warum bei dieser Kennzahl die Voreinstellungen die eigentliche Aussage sind und wozu eine Mindestgruppengröße gut ist.
Das menschliche Sicherheitsniveau zu messen ist keine technische Herausforderung. Schulungsabschlüsse, Simulationsergebnisse, Zwei-Faktor-Status: alles liegt vor, man muss es nur zusammenzählen. Die eigentliche Frage beginnt danach. Wer darf die Zahl sehen, auf wen darf sie zeigen, und was passiert mit der kleinen Abteilung, deren Durchschnitt faktisch ein Einzelwert ist?
Drei Dimensionen, ehrlich gewichtet
Der Human Security Index verdichtet drei Dimensionen zu einer Kennzahl von 0 bis 100: Wissen aus abgeschlossenen Schulungen, Verhalten aus den Phishing-Simulationen und gelebte Kultur aus Zwei-Faktor-Authentifizierung, echten Verdachtsmeldungen und bestätigten Richtlinien. Die Gewichte sind je Mandant einstellbar. Wichtiger ist die Regel für fehlende Daten: Eine Dimension ohne Datengrundlage fällt aus der Gewichtung heraus, statt als Null zu zählen. Sonst bestraft der Index Bereiche für Dinge, die es dort nie gab, und niemand traut der Zahl mehr.
Die Voreinstellungen sind die Aussage
Personenbezogene Einzelwerte sind standardmäßig abgeschaltet und werden erst nach ausdrücklicher, mitbestimmungspflichtiger Freigabe sichtbar. Auswertungen unterhalb einer Mindestgruppengröße von fünf Personen werden vollständig unterdrückt, nicht unscharf gemacht, denn der Durchschnitt einer Dreiergruppe ist kein Durchschnitt. Momentaufnahmen des Index verfallen nach drei Jahren.
Dass diese Werte als Voreinstellung im Datenmodell selbst stecken, ist kein Implementierungsdetail. Im Code steht dazu ein bemerkenswert ehrlicher Satz: Ohne den Standardwert würde die Unterdrückung nie greifen, genau der Fall, den sie verhindern soll. Datenschutz, der von einer Konfiguration abhängt, die jemand erst setzen muss, ist keiner.
Die Selbstsicht dreht die Logik um
Jede Person sieht den eigenen Wert in einer eigenen Ansicht, auch dann, wenn die Führungsebene keine Einzelwerte sieht. Damit wird die Messung zur Rückmeldung an die Person statt zum Bericht über sie.
Und wo doch protokolliert wird
Ein Stück über Zurückhaltung wäre unglaubwürdig, wenn es die Stelle verschweigt, an der Daten anfallen. Sicherheitshinweise lassen sich mit Nachweis der Kenntnisnahme verschicken, und dieser Nachweis speichert neben dem Zeitpunkt auch die IP-Adresse der Bestätigung. Das ist Nachweisqualität für den Audit, aber eben ein personenbezogenes Datum, und es gehört in das Verarbeitungsverzeichnis wie jedes andere.
Mehr auf der Modulseite Human Risk. Woher die Verhaltensdimension kommt, zeigt die Phishing-Simulation, die Wissensdimension das E-Learning.
Fragen zu dieser Neuerung?
Sprechen Sie mit uns – wir zeigen Ihnen die Funktion gern in einer Demo.