Informationssicherheitsziele: Ohne passende Ziele geht es nicht

Im Managementbericht steht als Informationssicherheitsziel: „Wir wollen die IT-Sicherheit kontinuierlich verbessern.“ Das klingt tadellos. Leider kann niemand sagen, wann dieses Ziel erreicht ist, wer dafür etwas tun soll oder woran eine Verbesserung zu erkennen wäre.

Ein Ziel, das niemals verfehlt werden kann, kann auch nichts steuern. Es ist ein freundlicher Wunsch mit Überschrift.

Die kurze Antwort

Gute Informationssicherheitsziele sagen nicht nur, dass Sicherheit wichtig ist. Sie beschreiben einen gewünschten Zustand, einen Bewertungsmaßstab, einen Zeitraum und eine Verantwortung. Sie müssen zu Unternehmenszielen und Risiken passen und regelmäßig überprüft werden.

Ein Ziel wie „Wir verbessern die IT-Sicherheit“ ist freundlich gemeint, aber nicht steuerbar. Ein Ziel wie „Kritische Schwachstellen auf internetexponierten Systemen werden innerhalb der festgelegten Frist behandelt; Ausnahmen werden begründet und freigegeben“ lässt sich dagegen prüfen und führen.

Was ISO 27001 von Zielen erwartet

Abschnitt 6.2 verlangt Informationssicherheitsziele für relevante Funktionen und Ebenen. Sie sollen mit der Informationssicherheitspolitik vereinbar, soweit praktikabel messbar, überwacht, kommuniziert und aktualisiert werden. Außerdem muss geplant werden, was getan wird, welche Ressourcen nötig sind, wer verantwortlich ist, wann das Ergebnis vorliegen soll und wie es bewertet wird.

Das ist keine Einladung zu einem Kennzahlenzirkus. Die Norm möchte, dass aus einer Absicht eine steuerbare Aufgabe wird.

Ziele aus dem Geschäft ableiten

Beginnen Sie nicht bei einer beliebigen Kennzahl, sondern beim Geschäft:

• Welche Leistung versprechen wir Kunden?
• Welche Informationen dürfen keinesfalls nach außen gelangen?
• Welche Fehler würden zu falschen Entscheidungen oder Schäden führen?
• Welche Ausfälle gefährden Aufträge oder Betrieb?
• Welche Sicherheitsanforderungen stellen Kunden und Verträge?

Aus einem Unternehmensziel wie „Unser Kundenportal soll der verlässliche digitale Vertriebskanal sein“ kann ein Verfügbarkeitsziel entstehen. Aus dem Ziel, sensible Entwicklungsdaten gemeinsam mit Partnern zu nutzen, können Ziele für Zugriffsschutz und Lieferantensteuerung folgen.

Der Kontext der Organisation und das Risikomanagement liefern dafür die wichtigsten Eingaben.

Von der Absicht zum brauchbaren Ziel

Ein Ziel wird belastbar, wenn Sie sechs Punkte beantworten:

1. Was soll besser oder stabil bleiben?
2. Für welchen Scope, Prozess oder welches Asset gilt es?
3. Woran erkennen wir den erreichten Zustand?
4. Bis wann oder in welchem Zeitraum betrachten wir ihn?
5. Wer ist verantwortlich?
6. Was geschieht bei Zielverfehlung?

Nicht jedes Ziel braucht eine Prozentzahl. Eine fristgerechte Einführung von MFA für einen definierten Systembestand kann ebenso messbar sein wie eine Verfügbarkeitsquote. Entscheidend ist, dass die Bewertung nicht vom Tagesgefühl abhängt.

Beispiele, die tatsächlich steuerbar sind

Schwachstellen

Alle kritischen Schwachstellen auf internetexponierten Systemen werden innerhalb der risikobasiert festgelegten Frist behandelt oder durch die zuständige Rolle ausdrücklich als Ausnahme freigegeben.

Wiederherstellung

Für die fünf kritischsten Systeme wird bis zum Jahresende jeweils mindestens eine dokumentierte Wiederherstellung erfolgreich getestet; festgestellte Probleme werden mit Verantwortlichen und Fristen behandelt.

Berechtigungen

Privilegierte Berechtigungen in den festgelegten Kernsystemen werden quartalsweise durch System- und Fachverantwortliche überprüft; nicht mehr benötigte Rechte werden innerhalb von zehn Arbeitstagen entzogen.

Awareness

Mitarbeiter kennen den Meldeweg für verdächtige E-Mails und Sicherheitsvorfälle. Die Wirksamkeit wird nicht nur an absolvierten Schulungen, sondern auch durch Stichproben oder Übungen bewertet.

Wie aus Zielen vernünftige Messgrößen werden, erläutert unser Beitrag IT-Sicherheitsleistung messen ohne KPI-Theater.

Vertraulichkeit, Integrität und Verfügbarkeit reichen als Überschriften nicht

Die drei Schutzziele sind ein guter Denkrahmen. „Vertraulichkeit sicherstellen“ ist aber noch kein Unternehmensziel. Welche Information? Gegen welche Art von Zugriff? Welcher Zustand soll bis wann erreicht werden?

Auch das pauschale Ziel „Keine Sicherheitsvorfälle“ ist problematisch. Es kann Mitarbeiter sogar motivieren, Vorfälle nicht zu melden. Besser ist beispielsweise ein Ziel für schnelle Erkennung, verlässliche Meldung und wirksame Behandlung. Unser Artikel zum Umgang mit Sicherheitsvorfällen zeigt den praktischen Zusammenhang.

Wer Ziele beschließen und verfolgen sollte

Informationssicherheitsziele gehören nicht allein dem ISB. Die Geschäftsführung stellt die Verbindung zu Unternehmensprioritäten her und sorgt für Ressourcen. Fach- und Systemverantwortliche liefern realistische Bewertungsmaßstäbe. Der ISB kann koordinieren, überwachen und berichten.

Diese Verantwortungsteilung ist Teil der Führung. Warum das Vorleben von oben entscheidend ist, beschreibt unser Artikel zu ISO 27001 Abschnitt 5.1.

Weitere Ziele aus dem Unternehmensalltag

Lieferantenrisiken sichtbar machen

Ein Unternehmen kann sich vornehmen, für alle als kritisch eingestuften Dienstleister bis zu einem festgelegten Termin Sicherheitsanforderungen, Abhängigkeiten und Notfalloptionen zu prüfen. Gemessen wird dann nicht nur, ob ein Formular ausgefüllt wurde. Entscheidend ist, ob wesentliche Lücken bewertet und behandelt wurden.

Offboarding verlässlich abschließen

Ein Ziel kann lauten, dass bei Austritten sämtliche festgelegten Konten, Geräte und Zugänge innerhalb der vorgesehenen Frist bearbeitet werden und offene Punkte eskaliert werden. Damit wird aus dem allgemeinen Wunsch nach sauberem Offboarding ein überprüfbarer Ablauf.

Wiederkehrende Abweichungen senken

Wenn in Audits immer wieder dieselben Probleme bei Berechtigungen, Updates oder Dokumentation auftauchen, kann ein Ziel auf die nachhaltige Beseitigung der Ursache gerichtet werden. Dann zählt nicht die Zahl geschlossener Tickets, sondern ob der Fehler im nächsten Prüfzeitraum tatsächlich seltener oder gar nicht mehr auftritt.

Sicherheitsmeldungen verbessern

Statt eine möglichst kleine Zahl gemeldeter Vorfälle anzustreben, kann das Unternehmen die Qualität und Geschwindigkeit der Meldungen verbessern. Eine steigende Zahl früh gemeldeter verdächtiger Ereignisse kann sogar ein gutes Zeichen sein: Mitarbeiter erkennen Probleme und nutzen den Meldeweg.

Ziel, Maßnahme und Kennzahl nicht verwechseln

Diese drei Dinge gehören zusammen, sind aber nicht dasselbe:

• Ziel: Der gewünschte Zustand, beispielsweise eine verlässliche Wiederherstellbarkeit kritischer Systeme.
• Maßnahme: Das, was dafür getan wird, etwa automatisierte Backups und regelmäßige Restore-Tests.
• Kennzahl oder Nachweis: Die Information zur Bewertung, beispielsweise erfolgreiche Tests, benötigte Wiederherstellungszeit und festgestellte Fehler.

„Wir führen ein neues Backup-System ein“ ist zunächst eine Maßnahme. Erst wenn geklärt ist, welchen Zustand sie erreichen soll und wie dessen Wirksamkeit bewertet wird, entsteht daraus eine steuerbare Verbindung zum Ziel.

Ziele dürfen sich verändern

Informationssicherheitsziele sind nicht für die Ewigkeit in Stein gemeißelt. Neue Kundenanforderungen, geänderte Technik, Vorfälle, Wachstum oder ein veränderter Scope können neue Prioritäten schaffen. Ein Ziel darf angepasst oder abgelöst werden, wenn die Entscheidung nachvollziehbar ist.

Nicht sinnvoll ist das heimliche Verschieben eines Zielwerts, nur weil die bisherige Leistung unbequem aussieht. Erst wird verstanden, warum das Ziel verfehlt wurde. Danach entscheidet die zuständige Leitung, ob Maßnahme, Ressource, Zeitplan oder Zielsetzung verändert werden.

Dokumentieren Sie dabei nicht nur den neuen Wert, sondern auch die Begründung. Sonst sieht die Entwicklung später wie beliebiges Zahlenschieben aus. Eine kurze, klare Entscheidung mit Verantwortlichem ist wertvoller als eine lange Tabelle, in der niemand mehr erkennt, warum das Ziel überhaupt verändert wurde.

Das hält die Steuerung ehrlich.

Was tun, wenn ein Ziel verfehlt wird?

Eine Zielverfehlung ist kein Grund, die Kennzahl zu verstecken oder den Zielwert still zu ändern. Prüfen Sie:

• War die Maßnahme ungeeignet?
• fehlten Ressourcen?
• hat sich der Kontext verändert?
• war der Bewertungsmaßstab unrealistisch?
• entstand ein neues Risiko?

Danach folgt eine Entscheidung: Maßnahme anpassen, Ressourcen bereitstellen, Risiko neu bewerten oder Ziel begründet aktualisieren. Die Managementbewertung ist ein naheliegender Ort, um solche Entscheidungen sichtbar zu machen.

Typische Fehler

• Ziele werden aus einer Vorlage übernommen und passen nicht zum Geschäft.
• es gibt 30 Ziele, aber niemand priorisiert sie.
• als Erfolg gilt nur, dass eine Maßnahme durchgeführt wurde.
• Verantwortlich ist pauschal die IT oder das ISMS-Team.
• Zielwerte werden nie überprüft.
• bei Zielverfehlung geschieht nichts.

Was will der Auditor sehen?

Der Auditor möchte die Verbindung erkennen: Politik, Unternehmens- und Sicherheitsziele, Maßnahmen, Ressourcen, Überwachung und Bewertung. Er kann ein Ziel auswählen und fragen, wie es entstanden ist, wer daran arbeitet, welcher Stand erreicht wurde und welche Entscheidung aus der letzten Bewertung folgte.

Ein gutes Ziel ist deshalb kein Satz für die Leitlinie. Es ist eine kleine, sichtbare Steuerungskette.

Interesse geweckt?

Sie möchten das Thema in Ihrem Unternehmen sauber und pragmatisch angehen? Sprechen Sie mit uns.