Sicherheits-Kennzahlen in der Praxis

Transkript

1 Sicherheits-Kennzahlen in der Praxis Matthias Hofherr, Shikha Shahi 25. DFN-Konferenz, atsec öffentlich atsec information security, 2018

2 Kennzahlen, Metriken, KPIs Was ist das? Metrik: Die Erhebung von direkt messbaren Werten. Kennzahlen/KPIs: Definition von Zielen/Zielwerten auf Basis der erhobenen Metriken, verbunden mit der Prüfung der Zielerreichung. atsec öffentlich atsec information security,

3 Themenbereiche 1) Informationssicherheits-Managementsystem (ISO/IEC 27001) Siehe auch: neue ISO/IEC 27004:2016 KPIs erheben um: Überblick zu erhalten, welchen Reifegrad das ISMS hat => Bewertung u.a. im Management Review neue Sicherheitsmaßnahmen auf Basis objektiv messbarer Werte festzulegen (PDCA) die Wirksamkeit von neuen Sicherheitsmaßnahmen zu belegen (PDCA) Kapitel 9 Performance Evaluation aus ISO/IEC zu folgen und erfolgreich zertifiziert zu sein atsec öffentlich atsec information security,

4 Themenbereiche 2) Datenschutz-Managementsystem (BDSG/EU- DSGV) EU-DSGVO Artikel 32 => Wirksamkeit DSMS bzw. Integriertes Managementsystem 3) Quality-Managementsystem (QMS) Grundsätzliche Anforderungen wie ISMS Mit ISO 9001:2015 verstärkt Risikomanagement atsec öffentlich atsec information security,

5 Zielgruppen der Kennzahlen 1. Leitung der Organisation 2. Taktischen Ebene: (Chief) Information Security Officer Information Security Manager IT-Leiter/CIO Verantwortlicher für das Notfallmanagement Verantwortlicher für Sicherheitsvorfälle Verantwortlicher für Schwachstellen-Management Verantwortlicher für (Sicherheits/Datenschutz) -Trainings atsec öffentlich atsec information security,

6 Vorgehensweise GQM-Ansatz Goal, Question, Metric : Aus Sicherheitszielen Fragen ableiten, die durch Metriken beantwortet werden. Ausgangsbasis Definition der strategischen Sicherheitsziele (Beginn: CIA) Ableitung der taktischen/operativen Sicherheitsziele daraus. Fragen Hilfsmittel zur Erarbeitung der Metriken atsec öffentlich atsec information security,

7 Vorgehensweise - Beispiel Bild 1: Beispiel GQM atsec öffentlich atsec information security,

8 Vorgehensweise Grundsätzlich Jede Kennzahl hat mind. einen Stakeholder Stakeholder und Kennzahl auf selber Flughöhe Kennzahl sollte mit vernünftigem Aufwand zu erheben sein Ausreichende Anzahl von KPIs, um die Wirksamkeit des MS bewerten zu können atsec öffentlich atsec information security,

9 Typen von Kennzahlen Standard-Kennzahlen In bestimmten Abständen eine Metrik messen und dann im Verlauf der Zeit analysieren. Reifegrad-Modelle: Hilfreich am Anfang der Implementierung eines MS Projektfortschritt lässt sich gut dokumentieren und nachverfolgen Meta-Metriken: Metriken, die aus anderen Metriken abgleitet werden ( Verdichtung ) Relevant für strategische Kennzahlen atsec öffentlich atsec information security,

10 Typen von Kennzahlen: Reifegradmodell Bild 2: Beispielprozess Vulnerability Management - Reifegrade atsec öffentlich atsec information security,

11 Typen von Kennzahlen Bild 3: Beispiel Meta-Metrik Gesamt-Reifegrad ISMS Maximale Ausbaustufe: Sicherheits-Ampel atsec öffentlich atsec information security,

12 Output und Kommunikation ScoreCard Themengebiet auf einen Blick verständlich zu machen Sparklines Zur visuellen Analyse des Verlaufs einer Kennzahl über die jeweils letzten [x] Monate. Bullet Graphs Einfacher Vergleich einer Kennzahl mit einem Zielwert Ampel-Mechanismus Einfachere Erkennung von größeren Abweichungen atsec öffentlich atsec information security,

13 Output und Kommunikation Bild 4: Beispiele Auszug ScoreCard atsec öffentlich atsec information security,

14 Anpassungen von Kennzahlen Prüffrequenz: so groß wie möglich, so klein wie nötig => Anpassung an eigene Reaktionszeiten Änderungen von Kennzahlen nur in Abstimmung mit Stakeholder Management Review: Sinnhaftigkeit und Mehrwert der jeweiligen Kennzahl prüfen => Klasse statt Masse atsec öffentlich atsec information security,

15 Zusammenfassung Strategic Management Tactical Operational Bild 5: Visuelle Darstellung GQM-Ansatz atsec öffentlich atsec information security,

16 atsec öffentlich atsec information security,