Eine Veröffentlichung des ISACA Germany Chapter e.V.

Bewertung der Leistung eines

ISMS durch Schlüsselindikatoren
Praxisleitfaden für ein zielorientiertes IS-Kennzahlensystem
nach ISO/IEC 27004:2016

C
Herausgeber:
ISACA Germany Chapter e.V.
Storkower Straße 158
10407 Berlin

[Link]
info@[Link]

Autorenteam:
• Nikolay Jeliazkov (CISA, CISM), Union Investment
• Andreas Kirchner (CISM), abat AG
• Dirk Meissner (CISA), Eaststep HK Limited
• Nico Müller BridgingIT GmbH
• Andrea Rupprich (CISA, CISM), usd AG
• Michael Schmid (CISM), Hubert Burda Media
• Holger Schrader (CISM, CRISC), ENFINA SECURITY s.r.o.

Die Inhalte dieses Leitfadens wurden von Mitgliedern des ISACA

Germany Chapter e.V. erarbeitet und sind sorgfältig recherchiert. Trotz
größtmöglicher Sorgfalt erhebt die vorliegende Publikation keinen
Anspruch auf Vollständigkeit. Sie spiegelt die Auffassung des ISACA
Germany Chapter wider. ISACA Germany Chapter e.V. übernimmt keine
Haftung für den Inhalt.

Der jeweils aktuelle Leitfaden kann unter [Link] kostenlos bezo-

gen werden. Alle Rechte, auch das der auszugsweisen Vervielfältigung,
liegen beim ISACA Germany Chapter e. V.

Stand: November 2020 (Final nach Review und Überarbeitung durch

ISACA-Fachgruppe Informationssicherheit)
Bewertung der Leistung
eines ISMS durch
Schlüsselindikatoren
Praxisleitfaden für ein zielorientiertes
IS-Kennzahlensystem nach ISO/IEC 27004:2016
 2 Warum dieser Leitfaden?

Warum dieser Leitfaden?

Informationssicherheit ist unverzichtbar. Sie muss als Bestandteil der Un-
ternehmensführung allerdings darauf ausgerichtet sein, die Geschäftsziele
der Organisation optimal zu unterstützen.
Im Rahmen des Informationssicherheitsmanagementsystems (ISMS)
definiert der Informationssicherheitsbeauftragte folglich Informations-
sicherheitsziele, die sich aus den Unternehmenszielen ableiten, und er-
arbeitet risikobasiert Steuerungsmaßnahmen (»Controls«), die in Summe
geeignet sind, die Informationssicherheit in der Organisation zu steuern.
Die Steuerungsmaßnahmen müssen hierbei in der Lage sein, sowohl
die Governance- und Compliance-Anforderungen der Organisation zu
erfüllen als auch die vorhandenen Risiken der Organisation zu identi-
fizieren und auf ein angemessenes Niveau zu senken (vgl. Abbildung 1).

ISMS: Einbindung in die Unternehmenssteuerung

Geschäftsleitung
Rechtliche und
Unternehmensziele vertragliche
Vorgaben

Anforderungsziele/
Informationssicherheitsmanagementsystem

Governance Control objectives/Policies Compliance

Informationssicherheit
Umsetzung von
Umsetzung
regulatorischen und
unternehmerische
Ziele Regeln juristischen

Compliance-Berichte
Zielvorgaben
Vorgaben
Managementberichte
(ISMS)

IT-Risikomanagement
Informationssicherheit

Informationssicherheitsanforderungen/-konzept/-controls

IT-Compliance Informationssicherheit

Informationssicherheitsmaßnahmen
BO / IT

Betriebsorganisation und IT-Management

Abb. 1 GRC in der Unternehmenssteuerung

Warum dieser Leitfaden? 3

Es werden ISMS-Steuerungsprozesse in der Organisation eingeführt, die

für die Mitarbeiter und die Prozesseigner auf operativer Ebene verbind-
lich sind (z. B. die Durchführung einer IS-Risikoanalyse auf operativer
Ebene).
Der Informationssicherheitsbeauftragte definiert somit mit den Steue-
rungsmaßnahmen ein System von IS-relevanten Governance-Vorgaben,
die in konkrete Aktivitäten (»Actions«) münden.
Schließlich hat der Informationssicherheitsbeauftragte zu überprüfen,
ob die von ihm erlassenen Regelungen wirksam sind und ob sie dazu
beitragen, die Informationssicherheitsziele und somit die Geschäftsziele
der Organisation zu erreichen.

»Was man nicht messen kann, kann man nicht lenken«1

ist ein oft in diesem Kontext angeführtes Zitat.

Es ist folglich wichtig, dass der Informationssicherheitsbeauftragte ein IS-

Kennzahlensystem etabliert, das anhand von Schlüsselindikatoren prüft,
ob die Steuerungsmaßnahmen wirksam sind und die Ziele des ISMS er-
reicht werden.
Dieser Leitfaden zeigt auf, wie der Aufbau eines aussagekräftigen
IS-Kennzahlensystems in der Informationssicherheit erfolgen sollte, wel-
che Parameter aus welchen Gründen zu wählen sind und wie diese zu
Schlüssel­indikatoren (Key Indicators), die den Erfolg und die Ziele des
ISMS abbilden, zusammengeführt werden. Ein nach diesem Vorgehen
aufgebauter ISMS-Bericht ermöglicht

Z eine fundierte Entscheidungsfindung zur Steuerung innerhalb des

ISMS durch den Informationssicherheitsbeauftragten und sein Team
sowie
Z eine fundierte Entscheidungsfindung im Topmanagement zum Ein-
satz von Finanz- und Personalressourcen mit Blick auf Aktivitäten
zur Risikobehandlung in der Organisation.

1. »You can’t manage what you can’t measure«,

Zitat wird W. Edwards Deming zugeschrieben.
4 Warum dieser Leitfaden?

Das IS-Kennzahlensystem trägt damit zur Erhöhung der Transparenz

des Informationssicherheitsmanagements bei und das Vertrauen der Or-
ganisation in das ISMS wird gestärkt, dessen Fortschritte und Fehlent-
wicklungen werden aufgezeigt und ein nachhaltiger sowie kontinuierli-
cher Verbesserungsprozess (KVP) wird ermöglicht. Die Erkenntnisse aus
der Auswertung der Kennzahlen dienen als Grundlage für den KVP. Ein
derart gestaltetes IS-Kennzahlensystem ist auch in der Lage, Auskunft
über die Effektivität und Wirtschaftlichkeit von bereits implementierten
Sicherheitsmaßnahmen zu geben. Es kann beispielsweise folgende Fragen
beantworten:

Z Ist ein SIEM2-System in seiner derzeitigen Form effektiv (risikoredu-

zierende Wirksamkeit)?
Z Ist es in seiner derzeitigen Form effizient (risikoreduzierender Nut-
zen im Verhältnis zu den entstehenden Kosten)?
Z Existiert ein gutes Informationssicherheitsrisikomanagement in den
operativen Geschäftsprozessen?

Im Besonderen ist ein IS-Kennzahlensystem als Teil des ISMS eine nor-
mative Anforderung der ISO/IEC 27001:2013, die dort in Kapitel 9.1
»Überwachung, Messung, Analyse und Auswertung« dokumentiert ist.

»Die Organisation muss die Leistung des

Informations­sicherheitssystems und die Wirksamkeit des
Informationssicherheitsmanagementsystems auswerten.«

Der vorliegende Leitfaden enthält praxisorientierte Empfehlungen und

Hinweise für Organisationen, die entweder bereits ein IS-Kennzahlensys-
tem für ein Informationssicherheitsmanagementsystem (ISMS) nach der
internationalen Norm ISO/IEC 27004:2016, Information Technology
– Security Techniques – Information Security Management – Measure-
ment, betreiben oder ein solches aufbauen wollen.

2. Security Information and Event Management.

Warum dieser Leitfaden? 5

Danksagung

Das ISACA Germany Chapter e.V. bedankt sich bei der ISACA-Fach-
gruppe Informationssicherheit und bei den Autoren Nikolay Jeliazkov,
Andreas Kirchner, Nico Müller, Andrea Rupprich und Michael Schmid
für die Erstellung des Leitfadens sowie für die fachliche und redaktionel-
le Qualitätssicherung bei Julia Hermann, Angelika Holl, Melanie Holtz
und Dr. Tim Sattler.

Projektkoordination und Redaktion: Holger Schrader/Dirk Meissner

Disclaimer
Die hier vorliegenden Informationen sind nach bestem Wissen durch Praxisexperten der
Informationssicherheit, Auditoren und Informationssicherheitsverantwortliche erstellt
worden. Jedoch wird an keiner Stelle ein Anspruch auf Vollständigkeit oder Fehlerfreiheit
erhoben.

Alle in diesem Dokument aufgeführten Kennzahlen, deren Beschreibungen, Formeln und

Zielvorgaben sind als Beispiele zu verstehen und sollten nicht unreflektiert übernommen
werden. Jede Organisation muss die für sie passenden Kennzahlen und Werte für sich
selbst ermitteln und bewerten.

Aus Gründen der besseren Lesbarkeit wird auf die gleichzeitige Verwendung weiblicher
und männlicher Sprachformen verzichtet. Sämtliche Personenbezeichnungen gelten
gleichwohl für beiderlei Geschlecht.
6

Inhaltsverzeichnis

1 Einleitung und Aufbau des Praxis­leitfadens 7

Themenbereiche 8
Konventionen 9

2 Klassen von Kennzahlen innerhalb eines ISMS 10

2.1 KPI – Key-Performance-Indikatoren 12
2.2 KRI – Key-Risk-Indikatoren 12
2.3 KCI – Key-Control-Indikatoren 13

3 Beziehungen der Kennzahlklassen 14

4 Zielgruppen der Kennzahlen 17
5 Sinnvoller Aufbau von Kennzahlen 20
6 Steuerung durch Kennzahlen 28
7 Bewertung vorhandener Konzepte aus der Praxis 32
7.1 Automobilindustrie: VDA Information
Security Assessment und TISAX 32
7.2 PRAGMATIC Security Metrics 40

8 Erfolgsfaktoren aus der Praxis 44

8.1 Vier Schritte zum Erfolg beim Aufbau eines
IS-Kennzahlensystems 44
8.2 Funktionale Datenquellen für Indikatoren bzw. Metriken 46
8.3 Angemessene Anzahl KxIs im Reporting 47
8.4 ISMS-/SIEM-Tools zur Erstellung eines
IS-Kennzahlensystems 48

9 Anhang A: KCI-Kennzahlen-Steckbrief (Beispiel) 51

10 Anhang B: KxI-Übersicht 55
Abkürzungsverzeichnis 62
Referenzen 64
Abbildungs-/Tabellenverzeichnis 65
1 Einleitung und Aufbau des Praxis­leitfadens 7

1 Einleitung und Aufbau des

Praxis­leitfadens

Der Zweck eines Informationssicherheitsmanagementsystems (ISMS)

ist die Erreichung und Erhaltung der allgemeinen Sicherheitsziele Ver-
traulichkeit, Integrität und Verfügbarkeit. Zur Erreichung dieser Ziele
werden risikoorientiert Steuerungsmaßnahmen etabliert, um die Infor-
mationssicherheitsrisiken der Organisation auf ein angemessenes Niveau
zu reduzieren.
Allein die Einführung dieser Steuerungsmaßnahmen stellt aber nicht
zwangsläufig sicher, dass ein Risiko effektiv und effizient behandelt wird
und die Sicherheitsziele erreicht werden. Denn es muss auch geprüft wer-
den, ob die etablierten Steuerungsmaßnahmen effektiv und effizient bei
der Zielerreichung unterstützen und z. B. die Regelungen auf operativer
Ebene (in den vom ISMS gesteuerten Geschäftsprozessen) umgesetzt wer-
den.
Die Überprüfung der Wirksamkeit erfolgt mittels eines IS-Kennzah-
lensystems, welches das zentrale Werkzeug der Governance-Ebene für die
in Kapitel 9.1 der ISO/IEC 27001:2013 geforderte »Performance-Über-
wachung« darstellt.

Die Notwendigkeit eines IS-Kennzahlensystems ergibt sich auch aus der

geschäftlichen Anforderung, die Effektivität und die Effizienz der Steue-
rungsmaßnahmen eines Managementsystems sicherzustellen.

Damit das Management der Organisation eine fundierte Entscheidung

treffen kann, benötigt das IS-Kennzahlensystem wohlbegründete Kenn-
zahlen, welche die Ist-Situation des ISMS in Bezug auf die nachfolgenden
Kernfragen transparent darstellen:

Z Welche Steuerungsmaßnahmen des Managementsystems erfüllen

derzeit ihre vordefinierten Zielsetzungen und wo gibt es Verbesse-
rungspotenzial?
Z Welche technischen und organisatorischen Maßnahmen (TOM) des
Annex A oder der »Erklärung zur Anwendbarkeit« erfüllen den
Zweck, der im jeweiligen Kontrollziel zur Maßnahme festgelegt ist?
8 1 Einleitung und Aufbau des Praxis­leitfadens

In diesem Leitfaden stellen wir dar, wie Sie die Leistung der Informa-
tionssicherheit und die Wirksamkeit des ISMS bewerten und hierbei die
Empfehlungen der ISO/IEC 27004:2016 anwenden können. Der Leitfa-
den dient damit auch der themenbezogenen Vertiefung des 2016 von der
ISACA-Fachgruppe Informationssicherheit veröffentlichten Implemen-
tierungsleitfadens ISO/IEC 27001:2013 [ISACA 2016].

Themenbereiche
Der vorliegende Praxisleitfaden orientiert sich an den wesentlichen The-
menbereichen der Norm ISO/IEC 27004:2016, allerdings ohne die Ab-
schnittsstruktur des Standards identisch wiederzugeben. Vielmehr wer-
den die relevanten Themenbereiche eines IS-Kennzahlensystems in den
nachfolgenden drei Kennzahlklassen beschrieben, die sich in der Praxis
als vorteilhaft erwiesen haben:

1. Key-Performance-Indikatoren (KPI) zur In vielen Organisationen erfolgt die Wirk-

Steuerung der IS-Governance samkeitsprüfung zunächst auf Basis von
2. Key-Risk-Indikatoren (KRI) zur Steue- KPIs, was ebenfalls ausreichend ist, um die
rung des IS-Risikos (engl. Risk) Anforderungen der ISO/IEC 27001:2013
zu erfüllen.
3. Key-Control-Indikatoren (KCI) zur
Steuerung der IS-Compliance Die weitere Unterteilung der KPIs in die
links aufgeführten Klassen bietet aller-
dings Vorteile, die in den nachfolgenden
Kapiteln erläutert werden.

Des Weiteren werden in den nachfolgenden Kapiteln zu allen Klassen

die wesentlichen Erfolgsfaktoren für eine normkonforme Definition und
Realisierung aufgezeigt.
Der zielgerichtete und wirtschaftliche Betrieb eines ISMS ist ein heraus­
forderndes Unterfangen. Ein Managementsystem braucht »smarte«3
Ziele, ausreichendes und fachkundiges Personal, einen befähigten Infor-
mationssicherheitsbeauftragten (»CISO«) und ein motiviertes und quali-
fiziertes Team in den Fachbereichen. Diese Aufzählung macht deutlich,

3. SMART: spezifisch, messbar, attraktiv/akzeptiert, realistisch, terminiert.

1 Einleitung und Aufbau des Praxis­leitfadens 9

wie ressourcen- und kostenintensiv ein solches organisatorisches System

sein kann.
Sollten die Kennzahlen zeigen, dass sich das ISMS außerhalb der Ziel-
vorgaben bewegt, ist dies der Auslöser für ein notwendiges korrektives
Eingreifen des Managements. Die Kennzahlen müssen die momentane
Ist-Situation im Verhältnis zu deren definierten Sollwerten aufzeigen.

Kennzahlen ohne Sollwerte sind nutzlos, da sie keine Steuerung ermög-

lichen.

Die entsprechenden Sollwerte bestimmen sich aus den Geschäftszielen,

den Unternehmensrisiken sowie den rechtlichen und vertraglichen Vor-
gaben.

Konventionen
Der Begriff »Anhang« wird bei Verweisen auf Anhänge dieses Leitfadens,
die Begriffe »Annex« bzw. »Annex A« werden bei Verweisen auf den
Annex A der Norm ISO/IEC 27001:2013 oder der Annexe der ISO/IEC
27004:2016 verwendet.
10 2 Klassen von Kennzahlen innerhalb eines ISMS

2 Klassen von Kennzahlen innerhalb eines

ISMS
Damit der Informationssicherheitsbeauftrage in die Lage versetzt werden
kann, auf Basis valider Daten die Informationssicherheit zu steuern, kann
er sich an einem bewährten Konzept der Unternehmenssteuerung orien-
tieren: dem Berichtswesen.
Das Berichtswesen sammelt betriebswirtschaftlich orientierte Unter-
nehmensdaten, bereitet sie auf und stellt sie dem Topmanagement und
anderen leitenden Mitarbeitern zur Verfügung. Es arbeitet abteilungs-
und bereichsübergreifend und erhebt Daten aus allen relevanten Sparten
eines Unternehmens. Das Berichtswesen ermöglicht ein effizientes Cont-
rolling und eine erfolgsorientierte Lenkung des Unternehmens. Analog
können auch alle für die Informationssicherheit relevanten Informatio-
nen aus internen und externen Quellen im Berichtwesen gesammelt und
abgelegt werden. In größeren Unternehmen werden diese Informationen
meist durch ein Managementinformationssystem (MIS) zur Verfügung
gestellt.

ISMS-Kennzahlen

IS-Kennzahlensystem

Indikatoren

Abb. 2–1 Steuerung Informationssicherheit

Auf Grundlage dieser Datenbasis kann eine Vielzahl von Kennzahlen (In-
dikatoren) entwickelt werden. Diese Kennzahlen werden im ISMS-Kenn-
zahlensystem zusammengefasst und in Beziehung gesetzt (vgl. Abbildung
2–1). Die erfassten Messwerte der Kennzahlen müssen mit definierten
Schwellwerten hinterlegt werden (vgl. Abbildung 2–2), was dann in eine
2 Klassen von Kennzahlen innerhalb eines ISMS 11

Metrik mündet. Kennzahlen können für sämtliche messbaren und steuer-

baren Bereiche verwendet werden (vgl. Kapitel 5).

Messwerte

Schwellwerte
Lorem ipsum

Metrik

Abb. 2–2 Zusammensetzung von Indikatoren

Um Vergleichbarkeit, Kontinuität und Nachvollziehbarkeit herzustellen,

sollten alle Ziele, deren Erreichung anhand von Kennzahlen gemessen
werden soll, den SMART-Kriterien4 genügen:

Z Spezifisch
Z Messbar
Z Attraktiv/Akzeptiert
Z Realistisch
Z Terminiert

Dadurch wird sichergestellt, dass diese Ziele exakt, eindeutig und für
jeden verständlich beschrieben werden.
Der Informationssicherheitsbeauftragte ist nun in der Lage, anhand
der unterschiedlichen Kennzahlen, z. B. mithilfe einer Dashboard-An-
sicht, die Informationssicherheit zu bewerten und zu steuern. Bei der
Vielzahl der Kennzahlen konzentrieren wir uns im Hinblick auf die In-
formationssicherheit auf die folgenden drei Kennzahlklassen:

4. [Link]
12 2 Klassen von Kennzahlen innerhalb eines ISMS

2.1 KPI – Key-Performance-Indikatoren

Ein Key-Performance-Indikator ist ein Wert (Soll-Ist-Vergleich), der an-

zeigt, wie erfolgreich ein Unternehmen die relevanten technischen und
organisatorischen Maßnahmen sowie die Informationssicherheitsprozes-
se in Bezug auf die Erreichung der Informationssicherheitsziele umsetzt.
Erfolgreich ist eine Maßnahme, wenn das gewünschte Leistungsniveau
innerhalb der vorgegebenen Zeit und mit möglichst geringem Aufwand
erreicht wird.

Beispielformeln:
Z Benötigte Zeit im Vergleich zur geplanten Zeit bei der vorgegebenen
Umsetzungsrate (z. B. 80 % der Mitarbeiter) einer Awareness-Kam-
pagne.
Z Benötigtes Budget im Vergleich zum geplanten Budget für die Um-
setzung einer Awareness-Kampagne.

2.2 KRI – Key-Risk-Indikatoren

Ein Key-Risk-Indikator ist ein Wert (Soll-Ist-Vergleich), der anzeigt, ob
Veränderungen im Risikoprofil die gewünschten Toleranzgrenzen poten-
ziell überschreiten und damit die Zielerreichung gefährden. Er ist da-
mit ein Maß dafür, wie risikoorientiert ein Unternehmen die relevanten
technischen und organisatorischen Maßnahmen sowie die Informations-
sicherheitsprozesse umsetzt. Eine Situation, die den Risikoappetit des
Unternehmens überschreitet, wird durch gegensteuernde Maßnahmen
wieder in den akzeptablen Risikobereich gebracht.

Beispielformeln:
Z Prozentsatz der Mitarbeiter, die einen präparierten Phishing-Link
während einer Awareness-Kampagne klicken.
Z Prozentsatz der IT-Systeme mit Schwachstellen, die nicht im vor-
gesehenen Zeitfenster geschlossen wurden.
Z Prozentsatz der produktiven IT-Systeme, für die kein Herstellersup-
port mehr besteht.
2 Klassen von Kennzahlen innerhalb eines ISMS 13

2.3 KCI – Key-Control-Indikatoren

Ein Key-Control-Indikator ist ein Wert (Soll-Ist Vergleich), der anzeigt,

wie effektiv in Bezug auf die Zielerreichung ein Unternehmen die relevan-
ten technischen und organisatorischen Maßnahmen sowie die Informa-
tionssicherheitsprozesse umsetzt. Effektiv ist eine Maßnahme, wenn die
Steuerungsziele zuverlässig innerhalb der gewünschten Toleranzgrenzen
erreicht werden.

Beispielformeln:
Z Verhältnis der bisher geschulten Mitarbeiter im Vergleich zu den
Planzahlen der zu schulenden Mitarbeiter bei einer Awareness-
Kampagne.
Z Anzahl der Mitarbeiter, die die Lernkontrolle am Ende der Awa-
reness-Kampagne bestanden haben, im Vergleich zu den bereits ge-
schulten Mitarbeitern bei einer Awareness-Kampagne.
14 3 Beziehungen der Kennzahlklassen

3 Beziehungen der Kennzahlklassen

Aus den Definitionen in Kapitel 2 wird deutlich, dass diese drei Arten von
Kennzahlen jeweils einen unterschiedlichen Schwerpunkt haben und un-
terschiedliche Managementindikatoren für unterschiedliche Zielgruppen
bereitstellen. Im Umkehrschluss muss dies aber nicht bedeuten, dass die
dreifache Menge an Daten erforderlich ist. Dies liegt im Wesentlichen
daran, dass diese drei verschiedenen Arten von Indikatoren miteinander
verknüpft sind und dass die gesammelten Daten oft für verschiedene
Kennzahlklassen wiederverwendet werden können. Es wäre nicht unge-
wöhnlich, dass Daten für einen KCI beispielsweise für einen KRI wieder-
verwendet werden können, da sich lediglich der Blickwinkel auf die Da-
ten ändert (vgl. Abbildung 3–1).

KRI

Datenpool

KPI KCI

Abb. 3–1 Beziehung der Indikatoren zum Datenpool

Für Unternehmen ist es wichtig zu ermitteln, ob die Investitionen in die

Informationssicherheit angemessen sind. Hierfür ist das Zusammenspiel
zwischen den Kennzahlklassen KPI, KRI und KCI maßgebend. Nachdem
die spezifische Verwendung für die einzelnen Arten von Kennzahlen de-
finiert wurde, wird daher im Folgenden die Beziehung der Kennzahlklas-
sen untereinander betrachtet.
KPIs überwachen den Grad der Zielerreichung, KRIs die Risikolage
hinsichtlich einer Gefährdung der Zielerreichung und KCIs die Effekti-
vität der Steuerungsmaßnahmen, die das Risiko auf ein angemessenes
Niveau reduzieren sollen.
3 Beziehungen der Kennzahlklassen 15

Während ein Unternehmen mithilfe der KCIs feststellen kann, wie

wirksam die etablierten Steuerungsmaßnahmen in Bezug auf die Errei-
chung der Informationssicherheitsziele innerhalb der gesetzten Toleranz-
grenzen sind, helfen KRIs dem Unternehmen, Risikosituationen zu iden-
tifizieren, die ein Überschreiten der Toleranzgrenzen wahrscheinlich er-
scheinen lassen und damit die Zielerreichung gefährden.

IS-Governance IS-Risk IS-Compliance

ISMS-Ziele

Informations-
sicherheitsrisiken

Risiko-
eigenschaften

Zielerreichung Eintritts-
Effizienz und wahrscheinlichkeit Schwachstelle Auswirkung risikoreduzierende
Effektivität Maßnahmen
Effektivität

Qualität/Kosten/ Angemessen Wirksam

Zeit konzipiert betrieben

KPI KRI KCI

Abb. 3–2 Aufbau und Beziehung von KPI, KRI und KCI

KCIs haben eine starke Beziehung zu KRIs, denn wenn z. B. ein KCI
auf das Versagen oder die Schwäche einer Kontrolle hinweist, dann ist
es wahrscheinlich, dass das Risikoniveau ansteigt, was durch KRIs ge-
messen wird. Ein nicht erreichter KPI zeigt u.U. die Verzögerung bei der
Umsetzung einer risikominimierenden Maßnahme. Der KCI wirkt hier
ähnlich wie ein internes Kontrollsystem (IKS), das aus prozessintegrierten
Maßnahmen wie Kontrollen und organisatorischen Sicherungsmaßnah-
men besteht (vgl. COSO-Framework – Internal Control).
16 3 Beziehungen der Kennzahlklassen

Ein weiterer interessanter Aspekt im Zusammenhang mit den Indika-

toren ist die Zielgruppe, an die sie jeweils adressiert werden. Dies wird im
folgenden Kapitel 4 betrachtet.
4 Zielgruppen der Kennzahlen 17

4 Zielgruppen der Kennzahlen

Als mögliche Zielgruppen für Kennzahlen kommen neben den verschie-
denen Managementebenen eines Unternehmens weitere interessierte Par-
teien infrage, die Informationen über die Wirksamkeit eines ISMS oder
einer Steuerungsmaßnahme anfordern (vgl. [ISO/IEC 27004:2016, Ka-
pitel 6.5a]).
Dabei ist es wichtig, den Informationsbedarf der jeweiligen Zielgrup-
pe zu treffen. Hierfür sollten zunächst die verschiedenen Verantwortlich-
keiten im Zusammenhang mit der Informationssicherheit im Unterneh-
men geklärt werden, wie etwa die Festlegung der Verantwortlichen für
den Schutz von Informationswerten und die Eigentümer des Informa-
tionswertes. Hierbei sind die Anliegen der Zielgruppen zu verstehen, um
die richtige Auswahl von Kennzahlklassen/Kennzahlen zu treffen.

(Senior) Management

Der Geschäftsführer/Vorstandsvorsitzende hat die strategischen Aus-

wirkungen der Informationssicherheitsaktivitäten und -risiken auf die
Geschäftsziele zu bewerten und einzuordnen. Mögliche Fragestellungen
sind: »Was sind unsere größten Bedrohungen?«; »Sind wir sicherer/un-
sicherer aufgestellt als vergleichbare Unternehmen?«. Die Antwort kann
anhand von strategischen KRIs (z. B. »Bedrohungen haben tolerierbare
Auswirkungen auf das Risikoprofil«) und KPIs (z. B. »Informationssi-
cherheitsziele werden erreicht«) erfolgen.
Den Finanzvorstand/die Geschäftsleitung Finanzen interessieren Metri­
ken mit Bezug zu finanziellen Risiken/Auswirkungen der Informationssi-
cherheit auf das Unternehmen, die typischerweise über strategische KPIs
und KRIs adressiert werden. Diese Indikatoren dienen beispielsweise der
Vermeidung von Strafzahlungen bei Nichteinhaltung von gesetzlichen
und regulatorischen Anforderungen (z. B. PCI DSS, DSGVO, BAIT).
Dem Informationssicherheitsbeauftragten und dem IT-Leiter geben
die strategischen Kennzahlen für die Leitungsebene nicht nur Aufschluss
über die Risikolage und den Grad der Zielerreichung, sondern diese Me-
triken bilden häufig auch eine Grundlage für die persönliche Leistungs-
bewertung.
18 4 Zielgruppen der Kennzahlen

Darüber hinaus ist der IT-Leiter an operativen KPIs interessiert, die

Auskunft über den Ressourceneinsatz im Informationssicherheitsumfeld
geben. Beispiel: »Wie hoch sind die Leistungseinbußen auf einem Pro-
duktivsystem nach Einführung einer technischen Sicherheitslösung?«
Für den Informationssicherheitsbeauftragten sind wiederum KCIs re-
levant, die einen Hinweis liefern, ob eine spezifische Steuerungsmaßnah-
me nicht effektiv umgesetzt oder nicht korrekt befolgt wurde.

Return on Security Investment (ROSI)

Seit 2002 wird die Problematik der Kosten-Nutzen-Evaluation häufig

unter dem Schlagwort des »Return on Security Investment« (ROSI) dis-
kutiert, dessen Grundidee – analog zum klassischen ROI – der Vergleich
des finanziellen Gewinns eines Investitionsprojekts mit seinen Gesamt-
kosten ist. Eine wichtige Grundlage für ROSI-Berechnungen bildet z. B.
das Konzept der jährlichen Verlusterwartung, »Annual Loss Expectan-
cy« (ALE), das bereits Ende der 1970er-Jahre vom »US National Bureau
of Standards« auf den Bereich der Informationssicherheit übertragen
wurde (vgl. Abbildung 4-1). Um derartige Kosten-Nutzen-Betrachtungen
durchführen zu können, müssen Kosten und Nutzen von Informations-
sicherheit messbar gemacht werden.

Recovery Savings Tool costs Annual Loss

costs Expectancy
reduction of investment in
annualy costs Recovery costs security tools by remaining
by attacks by investment damage
in security

R - S + T = ALE

R - ALE = RoSI

Return on Security Investment

savings by security investment

RoSI = S - T

Abb. 4–1 Berechnung des Return on Security Investment (ROSI)

4 Zielgruppen der Kennzahlen 19

Fachbereiche
Die Fachbereiche haben unterschiedliche Anforderungen an ein ISMS-
Kennzahlensystem. Sie benötigen Kennzahlen, die Aufschlüsse über die
bestehenden Risiken (KRI) und die Wirksamkeit definierter Maßnahmen
zur Risikoreduzierung (KCI) bzw. den Beitrag eingeführter Maßnahmen
zur Zielerreichung (KPI) aufzeigen.

Weitere interessierte Parteien mit Bezug zur Informationssicherheit (Bei-

spiele):
Z Interne Revisoren und Auditoren
Z Notfallmanager und Spezialisten für die Betriebskontinuität
Z Verantwortliche für die physische Sicherheit (z. B. Leiter von Pro-
duktionsstätten)
Z Betriebsrat/Personalrat

Mögliche interessierte Parteien außerhalb des Unternehmens:

Z Geschäftspartner, insbesondere in Business-to-Business-Zulieferer-
Netzwerken
Z Aufsichtsbehörden
Z Vergleichbare Unternehmen im freiwilligen Austausch und zum
gegenseitigen Benchmarking
Z Geschäftspartner, sofern die Erbringung von Informationssicher-
heitsmaßnahmen vertraglich gefordert ist
20 5 Sinnvoller Aufbau von Kennzahlen

5 Sinnvoller Aufbau von Kennzahlen

Um eine zielorientierte Struktur und eine pragmatische Erstellung von
Kennzahlen zu erreichen, benötigt man die folgenden Grundlagen:

Z Eine fachliche Begründung der Kennzahl

Z Einen Typ: Erreichungsgrad (performance) oder Effektivität (effec-
tiveness) 
Anmerkung: Als Erweiterung der ISO/IEC 27004:2016 haben die
Autoren noch die »Risikoorientierung« hinzugefügt.
Z Einen definierten Prozess zur Sicherstellung von Nachvollziehbar-
keit und Reproduzierbarkeit
Z Definierte Eigenschaften (Kenndaten, Einflussgrößen und Bewer-
tungen)

Der Zusammenhang zwischen den Anforderungen der zertifizierungs-

fähigen ISO/IEC 27001:2013 und der ISO/IEC 27004:2016 über das
ISMS-Kennzahlensystem wird in Abbildung 5–1 verdeutlicht (vgl. [ISO/
IEC 27004:2016, Structure and Overview (Clause 4)]).
5 Sinnvoller Aufbau von Kennzahlen 21

ISO/IEC 27001:2013, 9.1

Die Organisa�on muss Folgendes ermi�eln: ISO/IEC 27004:2016 Klauseln

a) zu überwachende und zu
messende Aspekte einschließlich 6.2. Was ist zu überwachen
der Informa�onssicherheits-
prozesse und Maßnahmen;
6.3. Was ist zu messen

c) den Zeitpunkt der Überwachung 6.4. Wann ist zu

überwachen, zu messen,
zu analysieren und zu
e) den Zeitpunkt für die Analyse bewerten
und Auswertung der Ergebnisse
aus Überwachung und Messung Annex B:
Beispiel für ein Vorgehen zur
Ermi�lung von Kennzahlen

Annex C:
d) die für die Überwachung und
Beispiel für Freitextformular
Messung zuständigen Personen
6.5. Wer wird überwachen, zur Erstellung von Kennzahlen
messen, analysieren und
f) die für Analyse und Auswertung bewerten
zuständigen Personen

7. Arten von Messungen

b) die Verfahren zur 8. Prozesse
Überwachung, Messung,
Analyse und Auswertung (je
nach Bedarf) zur Sicherstellung
aussagekrä�iger Ergebnisse Anhang A: Ein Messmodell
für die Informa�ons-
sicherheit

Abb. 5–1 Zuordnung zu ISO/IEC 27001:2013, 9.1 Anforderungen (Übersetzung durch

die Autoren)

Die ISO/IEC 27004:2016 erläutert, dass durch eine Organisation für den
Aufbau eines pragmatischen und dennoch aussagekräftigen ISMS-Kenn-
zahlensystems die folgenden Punkte ermittelt und dokumentiert werden
sollten:

1. Die relevanten Informationssicherheitsprozesse und -maßnahmen,

die überwacht werden sollten. Dies sind beispielsweise eine fach-
liche Begründung (These) und der Typ der aus der Messung resul-
tierenden Kennzahl: Erreichungsgrad, Effektivität bzw. Risikoorien-
tierung. Darüber hinaus müssen die Aspekte der Prozesse und Maß-
nahmen identifiziert werden, die zum Gegenstand einer Messung
herangezogen werden können.
Da der Zweck einer Informationssicherheitsmaßnahme üblicher-
weise darin besteht, das Risiko zu reduzieren, können verschiedens-
te Attribute gemessen werden:
22 5 Sinnvoller Aufbau von Kennzahlen

– Das Ausmaß, in dem eine präventive Maßnahme die Wahrschein-

lichkeit des Auftretens eines Ereignisses verringert.
– Das Ausmaß, in dem eine reaktive Maßnahme die Konsequenz
(Schaden) eines Ereignisses verringert.
– Die Häufigkeit von Ereignissen, die eine reaktive Maßnahme be-
wältigen kann, bevor sie versagt.
– Wie lange es nach dem Auftreten eines Ereignisses dauert, bis
eine Überwachungsmaßnahme (Kontrolle) erkennt, dass das Er-
eignis aufgetreten ist.

2. Im nachfolgenden Schritt werden die Methoden zur Messung, Über-

wachung, Analyse und Auswertung definiert und dokumentiert.
Dies stellt nachvollziehbare, aussagekräftige und wiederholbare Er-
gebnisse in Form von belastbaren Kennzahlen sicher.

3. Im dritten Schritt werden die Zeiträume und die zuständigen Perso-

nen für die einzelnen Phasen festgelegt. Dabei werden alle Details
der Datensammlung, Datenauswertung und Berichterstellung doku-
mentiert:

– Frequenz der Datensammlung – z. B. wöchentlich

– Frequenz der Datenauswertung – z. B. monatlich
– Frequenz der Ergebnisberichte – z. B. vierteljährlich

4. Im finalen Schritt wird festgelegt, wie lange die oben festgelegte

Messstruktur gültig sein soll und ob in der Zwischenzeit ein Nach-
justieren der Mess- oder Analysemethode stattfinden soll.

Diese Art der Dokumentation führt zu einem Kennzahlen-Steckbrief, wie

er später in diesem Kapitel an einem Beispiel gezeigt wird. Dieser Kenn-
zahlen-Steckbrief dient bei einem zertifizierten ISMS, zusammen mit den
Nachweisen der Überwachungs- und Messergebnisse, als dokumentierte
Information und sollte daher sorgfältig aufbewahrt werden.
Abbildung 5–2 zeigt das zugrunde liegende Messmodell der Informa-
tionssicherheit zur Sicherstellung von Nachvollziehbarkeit und Reprodu-
zierbarkeit, das in [ISO/IEC 27004:2016, Annex A] dargestellt ist.
5 Sinnvoller Aufbau von Kennzahlen 23

Benötigte Auswertung
Informationen

Das Ergebnis der Auswertung, Kennzahl

das den Informationsbedarf erfüllt Informationsprodukt

Erläuterung in verständlicher Sprache,

um die quantitativen Informationen des
Indikators an den Informationsbedarf Interpretation
des Adressaten anzupassen

Variable, der ein Wert zugewiesen wird,

Analyse
indem das analytische Modell auf Indikator
Basis-Maßzahlen und/oder abgeleitete
Maßzahlen angewendet wird

Algorithmus zum Kombinieren von Analytisches

Maßnahmen und Modell
Entscheidungskriterien

Variable, der ein Wert zuge-

wiesen wird, indem die
Messfunktion auf zwei oder Abgeleitete Abgeleitete
mehr Basis-Maßzahlen Maßzahl Maßzahl
angewendet wird Messung
Überwachung
Algorithmus zum Messfunktion
Kombinieren von zwei zum
oder mehr Basis- Aggregieren
Maßzahlen
Messbares
Konzept

Variable, der ein Wert zugewiesen

wird, indem die Messmethode Basis-Maßzahl Basis-Maßzahl
auf das Merkmal/Attribut
angewendet wird

Durchführung der
Normierung des Attributes Messmethode Messmethode
auf einer Skala

Gegenstand Für den

der Messung Merkmale/ Merkmale/
Informationsbedarf
Attribute Attribute
relevantes Objekt

Abb. 5–2 Messmodell der Informationssicherheit zur Sicherstellung von

Nachvollziehbarkeit und Reproduzierbarkeit (nach [ISO/IEC 27004:2016,
Annex A], Übersetzung durch die Autoren)
24 5 Sinnvoller Aufbau von Kennzahlen

Dieses Messmodell führt dann zu einem Profil des Kennzahlen-Steck-

briefs.
Zunächst schauen wir in Tabelle 5–1 auf die rudimentären und un-
bedingt notwendigen Werte und ihre Zweckbestimmung.

Informationsbeschreibung Bedeutung oder Zweck

ID der Maßnahme Spezifische Kennung
Informationsbedarf Übergreifendes Verständnis, zu welcher Erkenntnis
die Messung beiträgt.
Messung Spezifikation der Messung, gewöhnlich mit Wor-
ten wie »Prozentsatz«, »Anzahl«, »Häufigkeit« und
»Durchschnitt« beschrieben.
Formel/Wertung Wie die Messung ausgewertet, berechnet oder
bewertet werden soll.
Ziel Das gewünschte Ergebnis der Messung, z. B. ein
Meilenstein oder eine statistische Messung oder
ein Satz von Schwellwerten. Zu beachten ist, dass
eine fortlaufende Überwachung erforderlich sein
kann, um sicherzustellen, dass das Ziel nachhaltig
erreicht wird.
Umsetzungsnachweise Beweise, die bestätigen, dass die Messung:
Z durchgeführt wird,
Z geeignet ist, mögliche Ursachen für schlechte
Ergebnisse zu identifizieren, und
Z einen Beitrag für den Prozess leistet.
Daten, die einen Beitrag für die Formel leisten.
Frequenz Legt fest, wie oft die Daten gesammelt und gemel-
det werden sollen. Es kann einen Grund für mehre-
re Frequenzen geben.
Verantwortliche Stellen Die Stelle (Rolle), die für die Erfassung und Verar-
beitung der Messung verantwortlich ist. Zumindest
sollten ein Informationseigentümer, ein Informa-
tionssammler und der Adressat der Kennzahlen
identifiziert werden.

5 Sinnvoller Aufbau von Kennzahlen 25

Datenquelle Mögliche Datenquellen können Datenbanken,

Tracking-Tools, andere Teile der Organisation, ex-
terne Organisationen oder bestimmte individuelle
Rollen sein.
Berichtsformat Wie die Kennzahl erfasst und gemeldet werden soll,
z. B. als Text, numerisch, grafisch (Kreisdiagramm,
Liniendiagramm, Balkendiagramm usw.) als Teil
eines »Dashboards« oder einer anderen Form der
Präsentation.

Tab. 5–1 Profil des Kennzahlen-Steckbriefs (vgl. [ISO/IEC 27004:2016, Processes

(Clause 8)], Übersetzung durch die Autoren)

Im Annex B wird dieser rudimentäre Steckbrief in mehreren Beispielen

mit Inhalten gefüllt.

Hinweis:
Im Anhang A dieses Leitfadens befindet sich noch ein weiteres sehr de-
tailliertes Beispiel für einen Kennzahlen-Steckbrief.

B.11 ISMS-Training oder ISMS-Sensibilisierung

Informations­beschreibung Bedeutung oder Zweck

ID der Maßnahme … wird durch die Organisation vergeben.
Informationsbedarf Um zu messen, wie viele Mitarbeiter ein ISMS-
bezogenes Sensibilisierungstraining erhalten ha-
ben, und um [mit der Messung] die Einhaltung der
Informationssicherheitsrichtlinie der Organisation
zu kontrollieren.
Messung Prozentsatz der Mitarbeiter, die an einem ISMS-
Sensibilisierungstraining teilgenommen haben.
Formel/Wertung Z I1 = (Anzahl der Mitarbeiter, die eine ISMS-
Schulung erhalten haben/Anzahl der Mitarbeiter,
die eine ISMS-Schulung erhalten müssen) * 100
Z I2 = (Anzahl der Mitarbeiter, die ihre ISMS-
Schulung im letzten Jahr erneuert haben/Anzahl
der Mitarbeiter im Gültigkeitsbereich) * 100

26 5 Sinnvoller Aufbau von Kennzahlen

Ziel Z Grün: wenn I1 > 90 % und I2 > 50 %,

Z sonst Gelb: wenn I1 > 60 % und I2 > 30 %,
Z sonst Rot
Rot – Intervention ist erforderlich, Ursachenanalyse
muss durchgeführt werden, um Gründe für Nicht-
einhaltung und schlechte Leistung zu ermitteln.
Gelb – Die Anzeige sollte genau auf ein mögliches
Abrutschen nach Rot überwacht werden.
Grün – Keine Aktion erforderlich.
Umsetzungsnachweise Teilnahmelisten aller Sensibilisierungstrainings,
Anzahl der Felder/Zeilen mit dem Inhalt »Erhalten«
in den Protokollen/Registern der ISMS-Schulungen.
Frequenz Z Sammeln: monatlich, erster Arbeitstag des
Monats
Z Analyse: vierteljährlich
Z Bericht: vierteljährlich
Z Eichung der Messung (Revision): jährliche
Überprüfung
Z Messzeitraum: jährlich
Verantwortliche Stellen Z Informationseigentümer: Manager für Trainings –
Personalabteilung
Z Informationssammler: Trainingsmanagement –
Personalabteilung
Z Adressat/Kunde der Messung: Verantwortlicher
Manager für das ISMS, Informationssicherheits­
beauftragter
Datenquelle Mitarbeiterdatenbank, Schulungsunterlagen,
Teilnehmerlisten der Sensibilisierungstrainings
Berichtsformat Balkendiagramm mit farbcodierten Balken basie-
rend auf dem Ziel. Dem Balkendiagramm sollte eine
kurze Zusammenfassung der Bedeutung der Mes-
sung und mögliche Gegenmaßnahmen beigefügt
werden.
ODER
Kreisdiagramm über die aktuelle Situation und Li-
niendiagramm für die Darstellung der Entwicklung
zur Konformität.

Tab. 5–2 Beispiel für einen Kennzahlen-Steckbrief

5 Sinnvoller Aufbau von Kennzahlen 27

Um sicherzustellen, dass die Datensammlung, Analyse und Berichterstel-

lung kein einmaliges Ereignis bleiben, sondern wie bei Managementsyste-
men üblich einem kontinuierlichen Prozess folgen, gibt es auch für das
IS-Kennzahlensystem einen am Deming-Kreis orientierten Prozess (vgl.
Abbildung 5–3).

Informationsbedarf identifizieren

Bewertung der Leistungen der

Informationssicherheit und der Messungen erstellen und pflegen
ISMS-Wirksamkeit

Verfahren festlegen
Ergebnisse analysieren

Überwachen und messen

Abb. 5–3 Deming-Kreis der Schlüsselindikatoren

(vgl. [ISO/IEC 27004:2016, Processes (Clause 8)])
28 6 Steuerung durch Kennzahlen

6 Steuerung durch Kennzahlen

Auf Basis der Anforderungen der verschiedenen Zielgruppen unterstützt
das IS-Kennzahlensystem die Entscheidungsfindung der jeweiligen Ziel-
gruppe.
Die Steuerungsmaßnahmen müssen daher in der Lage sein, sowohl
die Governance- und Compliance-Anforderungen der Organisation zu
befriedigen als auch die vorhandenen Risiken der Organisation zu identi-
fizieren und auf ein angemessenes Niveau zu senken.
Welches Ziel verfolgt also dieser Prozess zur Erstellung und zum Be-
trieb eines IS-Kennzahlensystems?
Eine Kennzahl dient dazu, anzuzeigen, ob ein Informationssicher-
heitsprozess oder eine Informationssicherheitsmaßnahme sich selbst re-
geln kann oder ob ein Eingreifen (Steuern) erforderlich ist. Da das Ma-
nagement in einem Managementsystem die Verpflichtung zur angemes-
senen Reaktion hat, ist außerhalb definierter Schwellwerte regulierend
einzugreifen. Dies soll ein vereinfachtes Diagramm darstellen.

Ist die Kennzahl

Z grün, so arbeitet der Prozess im Normbereich.
Z gelb, so arbeitet der Prozess oder die Maßnahme im Toleranzbereich
und sollte durch vordefinierte Kontrollprozesse eigenständig wieder
in den Normbereich zurückfinden.
Z rot, so arbeitet der Prozess außer Kontrolle.
Er wird sich eigenständig nicht mehr in den Normbereich bewegen.
6 Steuerung durch Kennzahlen 29

Alarmbereich (Eingreifen notwendig)

Schwellwert
Regelbereich

Toleranzbereich (Selbstregulierung)

Normbereich (Prozess ist optimal)

Toleranzbereich (Selbstregulierung)
Schwellwert
Alarmbereich (Eingreifen notwendig)

Abb. 6–1 Darstellung des Regelbereichs

Die einzelnen Kennzahlen sollten in einem überschaubaren Informations-

sicherheits-Cockpit dargestellt werden, damit diese zur Steuerung über-
sichtlich bleiben. Wie anhand der zuvor gezeigten Beispiele in Kapitel 5
verdeutlicht wurde, kann ein ISMS leicht seinen Sinn und Zweck ver-
lieren, wenn die Entscheider innerhalb des Managementsystems nicht die
richtigen Signale aus dem IS-Kennzahlensystem bekommen.

Was bedeutet das für den Informationssicherheitsbeauftragten?

Der Informationssicherheitsbeauftragte kann anhand des IS-Kennzahlen-
Cockpits Steuerungsmaßnahmen definieren, die in konkrete Aktivitäten
münden und auf operativer Ebene einzuhalten sind.
Wie aus den vorherigen Kapiteln deutlich wird, bedingt die Steuerung
durch Kennzahlen einige Grundbedingungen:

1. Es wurden (abgeleitet von den Unternehmenszielen) smart(e), also

messbare ISMS-Ziele definiert.
2. Es wurden KxIs für die wesentlichen Steuerungsmaßnahmen defi-
niert.
3. Die KxIs werden erhoben und ausgewertet hinsichtlich möglicher
Verbesserungspotenziale.

Der erste Schritt ist folglich die Definition von »smarten« ISMS-Zielen,
die sich von den Unternehmenszielen ableiten. Als Werkzeug bietet sich
30 6 Steuerung durch Kennzahlen

hierfür z. B. COBIT an, da das Framework eine Ziel-Kaskadierung unter-

stützt. Beispiele für messbare ISMS-Ziele sind:

Z Wir möchten kompetente und sicherheitsaffine Mitarbeiter.

– Konkret: Wir möchten, dass 90 % unser Mitarbeiter die notwen-
dige Sensibilisierung durch die erfolgreiche Teilnahme an einem
Informationssicherheits-Awareness-Training in den letzten zwei
Jahren aufweisen (KPI).

Maßnahmen zur Erreichung des KPI-Normbereichs:

– Information der Personalabteilung und des Managements über
die ausstehende Zielerreichung mit der Aufforderung an die Mit-
arbeiter zur Einhaltung der regelmäßigen Teilnahme an Awareness-­
Schulungen.

Z Wir möchten unser ISMS zertifizierungsfähig nach den Vorgaben

der ISO/IEC 27001:2013 betreiben.
– Konkret: Wir möchten, dass 100 % der von der Norm vorgese-
henen Pflichtdokumente vorliegen und freigegeben sind (KCI).

Maßnahmen zur Erreichung des KCI-Normbereichs:

– Alle Pflichtdokumente der ISO/IEC 27001:2013 sind im Doku-
menten-Management-System aktuell und freigegeben.

Die Liste der ISMS-Ziele lässt sich beliebig erweitern und muss für jede
Organisation selbstständig erarbeitet werden. Der Annex A der ISO/IEC
27001:2013 bietet bereits eine gute Übersicht von Steuerungsmaßnah-
men, aber es ist nicht ausreichend, wenn man sich als Organisation aus-
schließlich dieser Maßnahmen bedient.
Im Sinne des IS-Kennzahlensystems ist es erforderlich, dass man für
jede Steuerungsmaßnahme auch einen KxI definiert, mit dem man die
Wirksamkeit/den Erreichungsgrad bzw. das Risiko der Vorgabe messen
kann. Der Anhang B des vorliegenden Dokumentes liefert Best-Practice-
Vorschläge für KxIs.
Der letzte Schritt im IS-Kennzahlensystem ist die Erhebung und Aus-
wertung der definierten KxIs. Der Informationssicherheitsbeauftragte
6 Steuerung durch Kennzahlen 31

muss auf Basis der erhobenen Werte prüfen, ob die von ihm eingeführ-
ten Steuerungsprozesse wirksam sind und ob die ISMS-Ziele erreicht
werden. Das Ergebnis dieser Prüfung berichtet der Informationssicher-
heitsbeauftragte üblicherweise über das »Management-Review« an die
verantwortliche Unternehmensleitung. Sollte sich zeigen, dass etablierte
Maßnahmen nicht wirksam sind, so muss der Informationssicherheits-
beauftragte entsprechendes Verbesserungspotenzial ableiten und dieses
über den KVP-Prozess einsteuern.
32 7 Bewertung vorhandener Konzepte aus der Praxis

7 Bewertung vorhandener Konzepte aus der

Praxis

Der vorliegende Best-Practice-Leitfaden beschäftigt sich zum Abschluss

mit einer kurzen Bewertung von bekannten Konzepten aus der Praxis.

7.1 Automobilindustrie: VDA Information Security Assessment

und TISAX

Einleitung
Der Verband der Automobilindustrie (VDA) hat im Jahr 2005 eine Emp-
fehlung zu Anforderungen der Informationssicherheit für Unternehmen
der Automobilindustrie herausgegeben. Zur Unterstützung der Mit-
gliedsunternehmen wurde ein Fragenkatalog entwickelt, der als Leitfaden
für den Einstieg in die Themenstellung der ISO/IEC 27001 und ISO/IEC
27002 dient.
Das VDA Information Security Assessment (VDA ISA) ist ein Katalog
mit Anforderungen an die Informationssicherheit, der auf Schlüsselas-
pekten der internationalen Norm ISO/IEC 27001 basiert. Es wird von
Unternehmen sowohl für interne Zwecke als auch für Bewertungen von
Lieferanten und Dienstleistern verwendet, die vertrauliche Informationen
der jeweiligen Unternehmen verarbeiten.
Seit 2017 betreibt die ENX Association mit TISAX 5 einen Prüf- und
Austauschmechanismus für die Informationssicherheit von Unternehmen
und ermöglicht eine gemeinsame Anerkennung von Prüfergebnissen zwi-
schen den Teilnehmern. Dieser wird bereits von mehr als 1.200 Unter-
nehmen in mehr als 40 Ländern eingesetzt. Grundlage für die Prüfungen
ist der VDA-ISA-Fragenkatalog. Derzeit bieten 11 von der ENX zugelas-
sene Prüfungsanbieter TISAX-Assessments an.

5. Trusted Information Security Assessment Exchange.

7 Bewertung vorhandener Konzepte aus der Praxis 33

Das TISAX-Modell ermöglicht eine IT-Sicherheitstestierung durch Prüfdienstleister

nach VDA-Standard und trägt dazu bei, redundante Prüfungen zu vermeiden.
Neukonzept: Prüfung von Lieferanten zur Informationssicherheit (schematisch)

TISAX = Trusted Information Security Assessment Exchange

Abfrage
Dienstleister der Automobilindustrie

Testat
Automobil-Hersteller und Zulieferer/

Governance

Assessment-Standard: VDA-ISA 3.0

(Adaptierung ISO/IEC 27002:2013)
Akkreditierung
Monitoring
Assessments

akkreditiert

TISAX-akkreditierte Prüfdienstleister
(Assessment & Testaterstellung)

fordert liefert Prüfergebnisse beauftragt gegen Bezahlung führt Prüfung durch

Assess-
ment an
Lieferanten mit informationssicherheitsrelevanten
1:n ! Geschäftsbeziehungen zur Automobilindustrie

AK Informationssicherheit

Abb. 7–1 VDA-TISAX-Modell

Ziel einer TISAX-Prüfung ist es, festzustellen, ob Ihr ISMS eine definier-
te Zusammenstellung von Anforderungen erfüllt. Ausgangsbasis für das
TISAX-Audit ist dabei die Selbsteinschätzung auf Basis des VDA-ISA-
Fragenkatalogs.

Prüfziele beim VDA-ISA-Fragenkatalog

Jedes Prüfziel ist einem Kriterienkatalog des VDA ISA zugeordnet.

Beispiel: Die beiden »Informationen«-Prüfziele mit hohem oder sehr

hohem Schutzbedarf entsprechen dem Kriterienkatalog »Informations-
sicherheit« des VDA ISA. Tabelle 7–1 ist für beide Prüfziele gleich. Sie
können die Schutzbedarfe (hoch, sehr hoch) anhand der Hinweise in der
Beschreibung jeder Anforderung nachvollziehen.
34 7 Bewertung vorhandener Konzepte aus der Praxis

Nr. Prüfziel ( Assessment objective) Abkürzug

1. Informationen mit hohem Schutzbedarf Info high

Information with high protection level

2. Informationen mit sehr hohem Schutzbedarf Info very high

Information with very high protection level

3. Anbindung Dritter mit hohem Schutzbedarf Con high

Connection to 3rd parties with high protection level

4. Anbindung Dritter mit sehr hohem Schutzbedarf Con very high

Connection to 3rd parties with very high protection level

5. Datenschutz Data
Gemäß Artikel 28 (»Auftragsverarbeiter«) der Datenschutz-
Grundverordnung (DSGVO)
Data protection
According to article 28 (»Processor«) of the European
General Data Protection Regulation (GDPR)

6. Datenschutz bei besonderen Kategorien personenbezogener Daten Special data

Gemäß Artikel 28 (»Auftragsverarbeiter«) mit besonderen Kategorien
personenbezogener Daten wie in Artikel 9 der Datenschutz-
Grundverordnung (DSGVO)
Data protection with special categories of personal data
According to article 28 (»Processor«) with special categories of personal
data as specified in article 9 of the European General Data Protection
Regulation (GDPR)

7. Schutz von Prototypen-Bauteilen und -Komponenten Proto parts

Protection of prototype parts and components

8. Schutz von Prototypenfahrzeugen Proto vehicles

Protection of prototype vehicles

9. Umgang mit Erprobungsfahrzeugen Test vehicles

Handling of test vehicles

10. Schutz von Prototypen während Veranstaltungen und Film- und Events + Shootings
Fotoshootings
Protection of prototypes during events and film or photo shootings

Tab. 7–1 Die derzeitigen TISAX-Prüfziele

VDA-ISA-Assessment-Level

Die Assessments können auf drei unterschiedlichen Levels (Assessment

Level AL 1 bis AL 3) durchgeführt werden, die sich am sogenannten
Schutzbedarf orientieren.
7 Bewertung vorhandener Konzepte aus der Praxis 35

Der Level AL 1 besteht aus einer Selbstauskunft des zu prüfenden

TISAX-Teilnehmers. Dieser Level ist vergleichsweise niedrig und wird in
der Praxis kaum von Bedeutung sein.
Der Level AL 2 (hoher Schutzbedarf) schließt eine Prüfung der Plau-
sibilität der Selbstauskunft und der Einschätzung des Reifegrades sowie
ein Telefoninterview durch die prüfende Gesellschaft ein. Der Reifegrad
bezieht sich auf die Ausprägung des Prozesses und ist in 6 Stufen von
0 = unvollständig bis 5 = optimierend eingeteilt. Reifegrad 3 bedeutet,
dass ein Prozess »etabliert« ist. Bei Unklarheiten kann ein Besuch vor
Ort fällig werden.
Für den höchsten Level AL 3 wird in jedem Fall ein umfassendes Vor-
Ort-Assessment durchgeführt, was einem »sehr hohen Schutzbedarf«
entspricht. Auch hier erfolgt eine Einstufung nach dem Reifegrad.
Das Ergebnis der TISAX-Assessments der Levels AL 2 und AL 3 er-
halten teilnehmende Unternehmen zunächst in Form eines Zwischen-
berichts, der vorhandene Nichtkonformitäten darstellt. Diese müssen
unter Einsatz geeigneter, mit dem zugelassenen Prüfdienstleister abzu-
sprechender Maßnahmen innerhalb von neun Monaten geschlossen wer-
den. Die Wirksamkeit dieser Maßnahmen wird in einem weiteren Audit
überprüft. Der finale Abschlussbericht bildet schließlich die Grundlage
für jene Informationen, die der Teilnehmer zur Veröffentlichung auf der
TISAX-Plattform freigegeben hat. Das TISAX-Label ist drei Jahre gültig
und kann dann wiederholt werden.
Tabelle 7–2 gibt einen vereinfachten Überblick über die zu den einzel-
nen Assessment-Leveln gehörenden Prüfmethoden:

Prüfmethode Assessment- Assessment- Assessment-

Level 1 (AL 1) Level 2 (AL 2) Level 3 (AL 3)
Selbst­ Ja Ja Ja
einschätzung
Nachweise Nein Plausibilitätsprüfung Eingehende Prüfung
Interviews Nein Als Telefonkonferenz Persönlich, vor Ort
Vor-Ort-Prüfung Nein In bestimmten Fällen Ja

Tab. 7–2 Geeignete Prüfmethoden für Assessment-Level

36 7 Bewertung vorhandener Konzepte aus der Praxis

VDA-ISA-Reifegradmodell
Der VDA ISA sieht vor, dass die Umsetzung mittels eines Reifegradmo-
dells bewertet wird.

Vereinfacht sind die Reifegrade wie folgt abgestuft:

Level 0: Die Umsetzung der Anforderungen ist unvollständig. Es existiert

kein Prozess bzw. der Prozess erreicht nicht die erforderlichen Ergebnisse.

Level 1: Die je nach Schutzbedarf der Informationen notwendigen An-

forderungen sind durchgeführt. Ein Prozess existiert und lässt erkennen,
dass er funktioniert. Er ist jedoch nicht vollständig dokumentiert. Es
kann daher nicht sichergestellt werden, dass er immer funktioniert.

Level 2: Der Prozess zur Erreichung des Ziels ist gesteuert. Er ist doku-
mentiert und Nachweise (z. B. Dokumentationen) sind vorhanden.

Level 3: Der Prozess zur Erreichung des Ziels ist etabliert, die Prozesse
sind verknüpft, um existierende Abhängigkeiten abzubilden. Die Doku-
mentation ist aktuell und wird gepflegt.

Level 4: Anforderungen aus Level 3, darüber hinaus finden Messungen

der Ergebnisse (z. B. KPI) statt und machen den Prozess somit vorhersag-
bar.

Level 5: Anforderungen aus Level 4, darüber hinaus werden zusätzliche

Ressourcen (z. B. Personal und finanzielle Ressourcen) optimierend ein-
gesetzt. Es findet eine kontinuierliche Verbesserung des Prozesses statt.
7 Bewertung vorhandener Konzepte aus der Praxis 37

VDA-ISA-Maßnahmen
Der VDA hat 20 Maßnahmen aus dem ISA-Assessment mit entspre-
chenden KPIs für das Reporting definiert, die sich an den Annex A der
ISO/IEC 27001:2013 anlehnen, allerdings ohne die Bewertung des ISMS
selbst.

Z 7.2 Sensibilisierung und Schulung der Mitarbeiter (als Beispiel im

nächsten Abschnitt)
Z 9.2 Benutzerregistrierung
Z 12.1 Änderungsmanagement
Z 12.3 Schutz vor Schadsoftware
Z 12.4 Informationssicherung (Backup)
Z 12.7 Verfolgung von Schwachstellen (Patch Management)
Z 16.2 Bearbeitung von Informationssicherheitsvorfällen
Z 5.1 Informationssicherheitsrichtlinie
Z 6.2 Informationssicherheit in Projekten
Z 6.3 Mobile Endgeräte
Z 11.1 Sicherheitszonen
Z 11.3 Schutzmaßnahmen im Anlieferungs- und Versandbereich
Z 12.5 Event-Logging
Z 12.6 Protokollierung Administrationstätigkeiten
Z 12.8 Systemaudits
Z 13.2 Netzwerkdienste
Z 13.5 Geheimhaltungsvereinbarungen
Z 14.1 Anforderungen an die Beschaffung von Informationssystemen
Z 14.2 Sicherheit im Software-Entwicklungsprozess
Z 18.4 Wirksamkeitsprüfung
38 7 Bewertung vorhandener Konzepte aus der Praxis

Tabelle 7–3 zeigt ein Beispiel einer KxI-Definition:

Control 7.2 Sensibilisierung und Schulung der Mitarbeiter

VDA-ISA-Zielreifegrad 4

Bereich ABDECKUNG EFFEKTIVITÄT

ID Abdeckungsgrad Aware- Effektivität von Awareness-
ness-Maßnahmen Maßnahmen
Beschreibung Sensibilisierte Mitarbeiter Die Inhalte von Awareness-
stellen eine wichtige Säule Maßnahmen sollten
für die Informationssicher- Erkenntnisse aus Informa-
heit im Unternehmen dar. tionssicherheitsvorfällen
Awareness-Maßnahmen berücksichtigen. Der KPI
sollten möglichst alle misst die Effektivität von
Mitarbeiter erreichen. Der Awareness-Maßnahmen
KPI misst den Abdeckungs- durch eine Erfassung (an-
grad von Schulungen, wie zahl- oder kostenbezogen)
z. B. E-Learnings, Präsenz- der Sicherheitsvorfälle mit
Trainings. menschlichen Fehlhand-
lungen als Ursache.
Ziel (Vision) Alle Mitarbeiter sind Keine Informationssicher-
hinsichtlich Informations­ heitsvorfälle mit mensch-
sicherheit geschult. lichem Fehlverhalten als
Ursache.
Adressaten/ Informationssicherheit, Informationssicherheit
Empfänger Vorgesetzte

Frequenz (Reporting) individuell zu bestimmen individuell zu bestimmen

(z. B. jährlich) (z. B. jährlich)
Schwellwerte individuell zu bestimmen Z individuell zu bestim-
(z. B. Grün: > 90 %, Gelb: men (0-20…gering,
70-90 %, Rot: < 70 %) 20-50 mittel, 50+ hoch)
Z mögliche Ausprägung
zur arkeitvonnterneh-
menseinheiten: Bezug
auf Mitarbeiteranzahl
z. B. Einheit:
Vorfälle/100 MA

7 Bewertung vorhandener Konzepte aus der Praxis 39

Messung Z Auswertung Erhebung der Anzahl von

Schulungsmanagement Sicherheitsvorfällen mit
Z Quotient: Anzahl menschlichem Fehlverhal-
Teilnehmer/Gesamtzahl ten als Ursache
der Mitarbeiter
Frequenz (Messung) individuell zu bestimmen individuell zu bestimmen
(z. B. jährlich) (z. B. jährlich)
Schnittstellen HR - Schulungsabteilung - Incident-Management
IKS - Interne Revision
Komponenten E-Learnings, Präsenzschu- Incident-Management-
lungen, Schulungsplan, Tool, Ticket-System,
Schulungsregister ISMS-Tool
Datenarchivierung 5 Jahre 5 Jahre

Tab. 7–3 Beispiel einer KxI-Definition

Fazit der Autoren:

Da der VDA ISA von Experten der verschiedenen Automobilhersteller

und -zulieferer definiert wurde, ist ein hoher Praxiswert gegeben. Die
definierten KPIs sind gut dokumentiert und bieten eine fundierte Aus-
gangsbasis zur Definition von zugeschnittenen KPIs für das ISMS in der
eigenen Unternehmung.
Das Beispiel mit der Maßnahme (Control) »7.2 Sensibilisierung und
Schulung der Mitarbeiter« zeigt zwei Beispiel-»KxIs« aus Sicht des VDA-
ISA-Assessments, die unseren Kennzahlklassen wie folgt zuzuordnen
sind:

Z Der Abdeckungsgrad entspricht sowohl unserer KCI- als auch KPI-

Kennzahlklasse, je nachdem, welches Ziel der jeweilige Bericht ver-
folgt. Geht es um die reine Überprüfung des Umsetzungsgrads der
Awareness-Kampagne, so ist dies ein KCI. Geht es aber darum, den
Erfolg der Maßnahme zu prüfen, wie viele Mitarbeiter bereits ge-
schult wurden im Vergleich zu gemeldeten Sicherheitsvorfällen mit
menschlichem Versagen als Ursache, so ist dies ein KPI.
Z Die Effektivität entspricht unserer KCI-Kennzahlklasse.
40 7 Bewertung vorhandener Konzepte aus der Praxis

Weitere Informationen zu TISAX finden Sie unter [TISAX] sowie im

[TISAX­-Teilnehmerhandbuch 2020] und zu Informationssicherheit in
der Automobilindustrie unter [VDA] in den Referenzen.

7.2 PRAGMATIC Security Metrics

PRAGMATIC ist ein praxisorientierter, in Buchform veröffentlichter
Ansatz zur Erstellung von Informationssicherheitsmetriken. Zunächst
erfolgt eine detaillierte Darlegung der Vorteile, der Gründe für die Er-
hebung sowie der unterschiedlichen Zielgruppen für Informationssicher-
heitsmetriken. Hierbei wird auch ein ausführlicher Blick auf verschiedene
Quellen von Informationssicherheitsmetriken geworfen, u.a. das Busi-
ness Model for Information Security (BMIS) der ISACA, das Capability
Maturity Model (CMM), die ISO/IEC 27004:2016 und die Veröffent-
lichungen des National Institute of Standards and Technology (NIST).
7 Bewertung vorhandener Konzepte aus der Praxis 41

1 Einführung
 Hintergrund
 Autoren 2 Warum messen?
 Begriffe
 Antworten auf Fragen
 Strategie, Management,
Betrieb
 Compliance
3 Kunst & Wissenschaft  Gewinnerzielung
 Arten
PRAGMATIC-Sicherheitskennzahlen

 Referenzen
 SMD
4 Zielgruppen
 Intern
 Extern
5 Kennzahlen finden
 Quellen
 Kataloge
 Marke Eigenbau 6 PRAGMATIC
 Metakennzahlen
 Kriterien
 Bewertung
 Klassifizierung
7 Beispiele für Kennzahlen
 ~ 150+ Kennzahlen
8 Kennzahlensystem
 Systemansatz
 Lebenszyklus
9 Fortgeschrittene Kennzahlen
 Hochzuverlässig
 Indikatoren
KGIs, KRIs, CSFs

 Ziele, Auslöser
10 Nachteile
 Unternehmenspolitik
 Unplausible Widerlegbarkeit
 Lücken
Was nicht gemessen werden
11 Kennzahlen nutzen 
sollte
 Daten
 Analyse
 Berichterstellung
12 Fallbeispiel
 Acme

13 Zusammenfassung
 Fazit
 Maßnahmenplan

Anhang

Abb. 7–2 PRAGMATIC-Sicherheitskennzahlen

42 7 Bewertung vorhandener Konzepte aus der Praxis

Für die erfolgreiche Wahl geeigneter Metriken wird das Konzept der
»Metametriken« eingeführt. Die Eigenschaften sollen darstellen, was
eine »gute« Metrik ausmacht. Dies wird anhand der neun PRAGMATIC-­
Kriterien aufgezeigt:
Predictability – Vorhersagbarkeit durch das Aufzeigen von zukünftigen
Bedingungen und von Ursache-Wirkungs-Zusammen-
hängen
Relevance – Relevanz für die Informationssicherheit
Actionability – Durchführbarkeit von vorgeschriebenen, klaren, direkt
umsetzbaren Maßnahmen
Genuineness – Glaubwürdigkeit aufgrund von überprüfbarer Evidenz
oder Fakten
Meaning – Die Wichtigkeit der Metrik ist für deren Empfänger of-
fensichtlich
Accuracy – Genauigkeit, Korrektheit der verwendeten Datenbasis
Timeliness – Aktualität der Metrik, etwa auf Basis von Echtzeitana-
lysen und sofortigem Zugriff
Independence – Unabhängigkeit auf der Grundlage objektiver Daten,
die unabhängig von den Personen, die die Messung
durchführen, gewonnen wurden
Cost – Kosten, Nettowert für das Unternehmen

Die PRAGMATIC-Methode legt weiter dar, wie ausgewählte Metriken

einem Scoring und einer Bewertung anhand dieser Kriterien unterzogen
werden können, und macht hierfür Vorschläge für ca. 150 Beispielmetri-
ken aus der Praxis6. Daneben werden Möglichkeiten zur Klassifizierung
von Informationssicherheitsmetriken aufgeführt7, die den Beispielmetri-
ken mitgegeben werden. Des Weiteren wird, ähnlich wie in diesem Leit-

6. [Link]
[Link]
7. Etwa: Strategisch/Steuernd/Ausführend.
7 Bewertung vorhandener Konzepte aus der Praxis 43

faden, auf das Design eines IS-Kennzahlensystems und die unterschied-

lichen Konzepte von Key-Indikatoren eingegangen.

Fazit der Autoren:

Insgesamt wird ein leicht verständlicher Ansatz geboten, der versucht, die
verschiedenen internationalen Standards in einem IS-Kennzahlensystem
zu vereinen. Ein Buch zur Nutzung von PRAGMATIC ist im Fachhandel
erhältlich (vgl. [Brotby & Hinson 2013]).
44 8 Erfolgsfaktoren aus der Praxis

8 Erfolgsfaktoren aus der Praxis

8.1 Vier Schritte zum Erfolg beim Aufbau eines
IS-Kennzahlensystems
Um ein aussagekräftiges IS-Kennzahlensystem aufzubauen, muss man
sich zunächst der ISMS-Ziele bewusst werden bzw. – falls noch keine for-
muliert sind – diese zusammen mit dem verantwortlichen Management
ausformulieren.
Der erste Schritt ist folglich die Definition von messbaren ISMS-Zie-
len, die sich aus den Organisationszielen ableiten.
Die ISMS-Ziele müssen so definiert sein, dass man die Zielerreichung
messen kann. Folgende Ziele sind beispielsweise oft in der Praxis zu fin-
den:

– ISMS-Ziel 1: Wir betreiben unsere Geschäftsprozesse »sicher« und orientieren

unser Informationssicherheitsmanagement an international anerkannten
Standards.
– ISMS-Ziel 2: Wir wollen das IS-Risikomanagement in unseren operativen
Geschäftsprozessen verankern.
– ISMS-Ziel 3: Wir möchten, dass alle Geschäftsprozesse konform zu den internen
und externen IS-Anforderungen betrieben werden.
– ISMS-Ziel 4: Wir möchten kompetente und sicherheitsaffine Mitarbeiter.

In einem zweiten Schritt müssen für die definierten Ziele konkrete Kenn-
zahlen und Schwellwerte definiert werden, auf deren Basis die Zielerrei-
chung gemessen werden kann. Hierzu muss man Merkmale finden, an
denen man erkennen kann, ob ein Ziel erreicht ist. Abhängig vom Ziel
und Anzahl der Interessengruppen sollten pro Ziel mindestens eine bis
drei Kennzahlen definiert werden, es können aber abhängig vom Reife-
grad auch mehr sein. Weitere Anmerkungen zu diesem Thema sind in Ab-
schnitt 8.3 beschrieben. Zu den oben genannten Zielen sind z. B. folgende
Kennzahlen definiert:
8 Erfolgsfaktoren aus der Praxis 45

Z ISMS-Ziel 1: Wir betreiben unsere Geschäftsprozesse »sicher« und orientieren

unser Informationssicherheitsmanagement an international anerkannten
Standards.
– KENNZAHL 1 (KCI): Wir möchten, dass 100 % der von der Norm vorgesehenen
Pflichtdokumente existent und über die Dokumentenlenkung freigegeben sind.
– KENNZAHL 2 (KPI): Wir möchten pro Jahr mindestens ein internes ISMS-Audit
durch eine unabhängige dritte Partei erfolgreich bestanden haben.
– KENNZAHL 3 (KCI): Wir möchten, dass 95 % der vorgesehenen Maßnahmen
etabliert (umgesetzt) sind.

Z ISMS-Ziel 2: Wir wollen das IS Risikomanagement in unseren operativen

Geschäftsprozessen verankern
– KENNZAHL 1 (KPI): Wir möchten, dass es für mindestens 90 % unserer
Geschäftsprozesse eine aktuelle Risikoanalyse gibt, die nicht älter als ein Jahr ist.
– KENNZAHL 2 (KRI): Von den vom CISO auditierten Risikoanalysen/GAP-Analysen
(der operativen durch das ISMS gesteuerten Prozesse) müssen mindestens 90 %
als genehmigt bewertet werden.

Z ISMS-Ziel 3: Wir möchten, dass alle Geschäftsprozesse konform zu den internen

und externen IS-Anforderungen betrieben werden
– KENNZAHL 1 (KPI): Das ISMS-Team auditiert pro Jahr mindestens 25 % der vom
ISMS gesteuerten operativen Geschäftsprozesse hinsichtlich Einhaltung der
IS-Governance-Vorgaben.
– KENNZAHL 2 (KCI): Wir möchten, dass 90 % der »Prozesseigner« eine Stakeholder-
und Umfeldanalyse für den von ihnen verantworteten Prozess durchgeführt
haben.
– KENNZAHL 3 (KCI): Wir möchten, dass 90 % der »Prozesseigner« ihre
Prozesse gemäß Governance-Vorgabe dokumentiert haben (z. B. Erstellung
Betriebshandbuch).

Z ISMS-Ziel 4: Wir möchten kompetente und sicherheitsaffine Mitarbeiter

– KENNZAHL 1 (KCI): Wir möchten, dass 90 % unserer Mitarbeiter die notwendigen
– in den Stellenbeschreibungen beschriebenen – Kompetenzen haben (z. B.
Schulung »xyz«, drei Jahre Berufserfahrung etc.).
– KENNZAHL 2 (KPI): Wir möchten, dass 90 % unserer Mitarbeiter in den letzten zwei
Jahren an einem Sicherheits-Awareness-Training teilgenommen haben.
46 8 Erfolgsfaktoren aus der Praxis

Nach Formulierung der Kennzahlen für die ISMS-Ziele sollte man in

einem dritten Schritt zusätzlich die risikobasiert ermittelten Steuerungs-
maßnahmen prüfen und schauen, wie man am besten die Wirksamkeit
der Steuerungsmaßnahmen (Effektivität) messen kann. Hierfür bietet die
Liste im Anhang B diverse Vorschläge.
Mit Abschluss des dritten Schritts hat man bereits einen Reifegrad
erreicht, der für eine Zertifizierung nach ISO/IEC 27001 ausreichend ist.
Wie in den Kapiteln 1 bis 7 allerdings beschrieben, ist es sinnvoll,
neben der reinen Effektivität auch den Zielerreichungsgrad sowie die
Auswirkung auf die Risikoreduktion zu messen. Diesen Reifegrad sollte
man – im Rahmen des KVP des ISMS – in einem vierten Schritt anstre-
ben. Beispiele für KxIs sind ebenfalls im Anhang B zu finden.

8.2 Funktionale Datenquellen für Indikatoren bzw. Metriken

Die Auswertung von Kennzahlen mithilfe eines modernen Dashboards
ist das eine, doch woher stammen die Daten, die zur automatisierten Be-
rechnung und Visualisierung der KxIs erforderlich sind? Glücklicherwei-
se sind diese bereits in jedem Unternehmen vorhanden und müssen nur
für eine Analyse – wortwörtlich – in Betracht gezogen werden. Selten
steht hierfür ein zentrales System zur Verfügung, lassen Sie sich von ver-
streuten Datenquellen nicht abhalten. Hierfür kommen drei verschiedene
Arten von Datenquellen in der Informationssicherheit infrage, die meist
diverse Adressatenkreise ansprechen:

Technische Systeme:
Z Logging- und Monitoring-System, z. B. SIEM (Security Information
and Event Management)
Z Application/Network Firewall
Z Antivirus-System
Z Patch-Management-System
Z Backup/Recovery-System
Z Asset-Inventory-System
8 Erfolgsfaktoren aus der Praxis 47

Tools/Werkzeuge:
Z Incident-Management-Tool
Z Risk-Management-Tool
Z IAM/PAM-Tool
Z HR-Tool
Z Training/Awareness-Tool
Z IT-Controlling-Tool

Berichte:
Z Revisionsberichte
Z Penetrationstest-Berichte
Z (interne) Auditberichte

Sollten diese verfügbaren und teils automatisierten Datenquellen für Ihre

Indikatoren nicht ausreichen, müssen Sie alternative Quellen finden bzw.
Metriken, die zum Teil manuell erfasst werden müssen. Wichtig hierbei
ist das kontinuierliche Messen der Metriken (siehe SMART-Kriterien).

8.3 Angemessene Anzahl KxIs im Reporting

Die Anzahl der Indikatoren steht in direktem Zusammenhang mit der
Anzahl der Informationssicherheitsziele, die eine Organisation hat. Die
Anzahl der Informationssicherheitsziele ist wiederum abhängig von den
verfügbaren Ressourcen und der Zeit, die zur Erreichung der gesetzten
Ziele zur Verfügung stehen. Da die erforderlichen Aktivitäten bei vielen
Mitarbeitern einer Organisation zusätzlich zum »Tagesjob« erledigt wer-
den müssen, ist die Zeit, die zur Konzentration auf die Erreichung der
Informationssicherheitsziele zur Verfügung steht, meist begrenzt.
Um eine effektive, messbare Strategie umzusetzen, muss die Zahl der
Informationssicherheitsziele klein sein. Es gibt ein Gesetz des abnehmen-
den Ertragszuwachses (Ertragsgesetz):

1. Wenn ich vorhabe, 1-3 Dinge zu tun, werde ich 1-3 Dinge erreichen.
2. Wenn ich vorhabe, 4-10 Dinge zu tun, könnte ich 1 oder 2 erreichen.
3. Wenn ich vorhabe, mehr als 10 Dinge zu tun, werde ich nichts er-
reichen.
48 8 Erfolgsfaktoren aus der Praxis

Einfacher gesagt: Sie werden scheitern, wenn Sie zu wenig fokussieren.

Der Grundgedanke ist, dass jede Perspektive über eine eigene Kompe-
tenzbasis und eigene Ressourcen verfügen wird.
Es ist zu empfehlen, mit solchen Indikatoren anzufangen, für die Da-
tenquellen bereits verfügbar sind. Damit kann ein Prototyp des IS-Kenn-
zahlensystems relativ schnell Erfolg aufweisen und Rückmeldung vom
Anwender möglichst früh einholen.

8.4 ISMS-/SIEM-Tools zur Erstellung eines

IS-Kennzahlensystems
Es gibt unzählige ISMS-/GRC- und SIEM-Tools mit integriertem Repor-
ting auf dem Markt für KMU bis zum internationalen Großkonzern, von
kostenlos bis zum hohen 6-stelligen Betrag. Allerdings ist die Bandbreite
der bereitgestellten Funktionen ebenso riesig, was es sehr schwierig
macht, die unterschiedlichen Produkte Punkt für Punkt zu vergleichen. Es
empfiehlt sich daher, bei der Produktauswahl klare Kriterien festzulegen
und anhand dieser Kriterien die Auswahl zu treffen.

Definition der
Ziele und Auswahl eines Einführung eines Betrieb eines Kontinuierliche
Abgrenzung des geeigneten ISMS- ISMS- Verbesserung
Anwendungs- Softwaresystems Softwaresystems Softwaresystems
bereichs

Abb. 8–1 ISMS-Software-Auswahlprozess

8 Erfolgsfaktoren aus der Praxis 49

Die Grundsätze beim Aufbau des IS-Kennzahlensystems sind identisch

mit dem Aufbau eines Data Warehouse (DWH) Reporting. Dazu zählen
unter anderem:

Z »Müll rein, Müll raus«: Die Datenquellen, die für das IS-Kennzah-
lensystems genutzt werden, müssen aktuell und fehlerfrei sein.
Z Der Datenpool im Beschaffungsbereich wird in der Regel aus unter-
schiedlichsten Datenquellen versorgt. Dazu zählen z. B. die Daten-
banken von Endpoint-Protection-Lösungen, Syslog/SIEM-Syste-
men, Cloud-Lösungen, Firewall-Systemen, ISMS-Datenbanken,
aber auch manuelle Eingaben von Daten/Ergebnissen.

Data Data Data

Mart 1 Mart 2 Mart 3

Data
Warehouse

Laden
ETL

Beschaffungs-
bereich

KCI
Laden

Quelle 1 Quelle 2 Quelle 3

Abb. 8–2 DWH – logische Sicht

50 8 Erfolgsfaktoren aus der Praxis

Aus der Erfahrung heraus sollte der Informationssicherheitsbeauftragte

daher prüfen, welche Datenquellen für sein IS-Kennzahlensystem benö-
tigt werden und ob das präferierte ISMS-Tool in der Lage ist, diese Daten
entweder selbst bereitzustellen oder die benötigten Daten aus anderen
Datenquellen einzubinden.
Alternativ besteht auch die Möglichkeit, das gesamte IS-Kennzahlen-
system in einem eigenen System abzubilden. Hierzu eignen sich vor al-
lem Plattformen wie SharePoint, wo man individualisiert die Reporting-
Oberfläche mit definierten Workflow-Prozessen gestalten kann. Ebenso
können nahezu alle Datenbanken im Beschaffungsbereich angebunden
werden.
Klassische DWH-Lösungen eignen sich ebenso als Basis des IS-Kenn-
zahlensystems. Ein Gespräch mit dem DWH/BI-Leiter (sofern vorhan-
den) sollte schnell Klarheit bringen, ob das bestehende DWH-System um
das IS-Kennzahlensystem erweitert werden kann. Das hätte zudem den
Vorteil, dass das Management nur neue Reports/Ansichten im bestehen-
den BI/DHW-System angezeigt bekommt.
9 Anhang A: KCI-Kennzahlen-Steckbrief (Beispiel) 51

9 Anhang A: KCI-Kennzahlen-Steckbrief
(Beispiel)

Das folgende Beispiel zeigt den bereits in Kapitel 5 angesprochenen Kennzahlen-

Steckbrief »B.11 ISMS-Training oder ISMS-Sensibilisierung« in ausführlicher Form:

Identifizierung der Struktur der Messung

Strukturbeschreibung der Messung Ordnungsgemäßes ISMS-Training oder
Informationssicherheitssensibilisierung
Fortlaufende Nummer Organisationsspezifische Ordnungsnummer
… wird durch die Organisation vergeben
Ziel der Messung KCI:
Ermittlung des Effektivitätsgrades von
IS-Sensibilisierungsmaßnahmen
Referenz für Zielvorgabe/Maßnahme/ Maßnahmenziel/Zielanforderung
Prozess 7.2: Kompetenz [ISO/IEC 27001:2013]
Die Organisation muss Folgendes leisten:
Z Ermittlung der erforderlichen
Kompetenzen sowie deren Überwachung,
die sich auf die Leistung im Bereich der
Informationssicherheit auswirken können
Z Auswertung der Wirksamkeit von
eingeleiteten Maßnahmen zur Aneignung
der erforderlichen Kompetenzen
Ziel:
Z Sicherstellung, dass diese Personen durch
angemessene Ausbildung, Schulung oder
Erfahrung über die erforderlichen
Kompetenzen verfügen
Maßnahme/Prozess Maßnahme
Aneignung der erforderlichen Kompetenzen
für am ISMS beteiligte Personen, durch
interne IS-Trainings

52 9 Anhang A: KCI-Kennzahlen-Steckbrief (Beispiel)

Gegenstand der Messung und Merkmale

Gegenstand der Messung Mitarbeiter, die an einem ISMS-Sensibilisie-
rungsschulung teilgenommen haben
Merkmale/Attribute Merkmal 1
Anzahl der Mitarbeiter, die eine
ISMS-Schulung erhalten haben
Gegenstand der Messung Mitarbeiter, die an einer ISMS-Sensibilisie-
rungsschulung hätten teilnehmen müssen
Merkmale/Attribute Merkmal 2
Anzahl der Mitarbeiter, die laut Personal­
abteilung in ihrer Personalakte die
Schulung als Pflichtschulung haben
Spezifizierung der Basis-Messung (erforderlich für jede Basis-Messung
[1...n])
Basis-Maßzahl (1) Anzahl der teilnehmenden Mitarbeiter
Messmethode Abfrage der Teilnehmerliste in der
Personalabteilung
Bestimmen der Anzahl
Art der Messmethode Objektiv: Quantifizierung basierend auf
numerischen Regeln
Skalierung Ganzzahl von 0 bis unendlich
Art der Skalierung Ordinal
Maßeinheit Mitarbeiter
Basis-Maßzahl (2) Anzahl der relevanten Mitarbeiter
Messmethode Abfrage der Personalakten in der
Personalabteilung
Bestimmen der Anzahl von
ISMS-relevanten Mitarbeitern
Art der Messmethode Objektiv: Quantifizierung basierend auf
numerischen Regeln
Skalierung Ganzzahl von 0 bis unendlich
Art der Skalierung Ordinal
Maßeinheit Mitarbeiter

9 Anhang A: KCI-Kennzahlen-Steckbrief (Beispiel) 53

Spezifikation der daraus abgeleiteten Maßzahl

Abgeleitete Maßzahl/Kennzahl Anzahl der Mitarbeiter, die eine
ISMS-Schulung erhalten haben, im Verhältnis
zu der Anzahl der Mitarbeiter, die an einer
ISMS-Sensibilisierungsschulung hätten
teilnehmen müssen
Funktion zum Aggregieren der Verhältnis
Kennzahlen
Indikator Anteil der Mitarbeiter, die ordnungsgemäß
ISMS-Schulungen erhalten haben
Analytisches Modell (Basis-Maßzahl 1/Basis-Maßzahl 2) *100
Spezifikation der Entscheidungskriterien
Entscheidungskriterien Indikator sollte größer als 90 % sein  Grün
Indikator muss größer als 60 % sein  Gelb
Indikator darf nicht kleiner gleich 60 % sein
 Rot
Ergebnis der Messung
Indikatoren/Kennzahlen-Interpretation Dieser Indikator gibt Aufschluss über den
Grad der Effektivität der ISMS-Schulungen.
Berichtsformate Balkendiagramm mit farbcodierten Balken
oder Kreisdiagramm der aktuellen Situation
Zusammenfassung der Defizite und der
Handlungsoptionen
Akteure/Stakeholder
Adressaten/Kunden Informationssicherheitsbeauftragter als
ISMS-Verantwortlicher
Gutachter/unabhängige Kontrolle IT-Governance
Datenhalter/Besitzer der Daten Personalabteilung
Datenquelle/-sammler Trainingsmanagement in der Personal­
abteilung
Sprecher Berichtswesen in der IT-Governance

54 9 Anhang A: KCI-Kennzahlen-Steckbrief (Beispiel)

Frequenz/Häufigkeit
Frequenz der Datensammlung Monatlich, erster Arbeitstag des Monats
Frequenz der Datenauswertung Vierteljährlich
Frequenz der Ergebnisberichte Vierteljährlich
Überprüfung der Messstruktur/ Alle 2 Jahre
Eichung
Gültigkeit der Messstruktur/Periode Jährlich
10 Anhang B: KxI-Übersicht 55

10 Anhang B: KxI-Übersicht
Die nachfolgende Tabelle 10–1 zeigt 40 weitere KxIs, die aus Autoren-
sicht praxisnah umsetzbar sind, als Ausgangsbasis für die Definition eige-
ner KPI/KRI/KCI-Kennzahlen für das ISMS.

Referenz KPI KRI KCI KxI-Name Formel

4 X Erfassung Prozess- und (Anzahl der Prozesse mit
Risikoeigentümer festgelegtem Prozess-
und Risikoeigentümer/
Gesamtanzahl der Ge-
schäftsprozesse) * 100
5 X Informationssicherheits- (Anzahl der relevanten
präsenz in Gremien und Gremien/Ausschüsse
Ausschüssen mit Beteiligung von
IS/Gesamtanzahl der
relevanten Gremien/
Ausschüsse) * 100

6 X Abdeckung der Risiko- Anzahl der Geschäfts-

analyse für Geschäfts- prozesse, für die eine
prozesse aktuelle Risikoanalyse
vorliegt/Gesamtanzahl
der Geschäftsprozesse

6 X Umsetzungsgrad von (Anzahl umgesetzter

Schutzmaßnahmen Schutzmaßnahmen/
Anzahl geplanter
Schutzmaßnahmen)
* 100
7 X Security-Awareness- Für Security-Awareness-
Budget pro Mitarbeiter Maßnahmen bereitge-
stelltes Budget/Anzahl
Mitarbeiter in der Orga-
nisation

56 10 Anhang B: KxI-Übersicht

Referenz KPI KRI KCI KxI-Name Formel

7 X Trainingsstunden pro Anzahl der Informa-
Informationssicherheits- tionssicherheits-Trai-
beschäftigtem ningsstunden/Anzahl
der Beschäftigten in der
Informationssicherheit
7 X Effektivität von Anzahl der Mitarbeiter,
Awareness-Schulungen die die Lernkontrolle am
Ende der Awareness-
Kampagne bestanden
haben/Gesamtanzahl
der zu schulenden
Mitarbeiter bei einer
Awareness-Kampagne
7 X Vollständigkeit der (Anzahl der existieren-
ISMS-Dokumentation den und freigegebenen
ISMS-Dokumente/
Gesamtanzahl der
normativ geforderten
Dokumente) * 100
8 X Wiederverwendung (Anzahl neuer Infor-
bestehender Security- mationssicherheitsan-
Lösungen forderungen die von
bestehenden Informati-
onssicherheitslösungen
abgedeckt werden/
Gesamtanzahl neuer
Informationssicherheits-
anforderungen) * 100
8 X Umsetzungsgrad des (Anzahl umgesetzter
Risikobehandlungsplans Maßnahmen/Gesamt­
anzahl Maßnahmen im
Risikobehandlungsplan)
* 100
8 X Risikoappetit (Anzahl der Risiken,
die akzeptiert werden/
Gesamtzahl der Risiken)
* 100

10 Anhang B: KxI-Übersicht 57

Referenz KPI KRI KCI KxI-Name Formel

9 X Erfolgreich abgeschlos- (Anzahl der abgeschlos-
sene Audit-Findings senen Maßnahmen
nach Audit-Findings/
Gesamtanzahl der Maß-
nahmen nach Audit-
Findings) * 100
9 X Vollständigkeit des (Anzahl der erfolgreich
Auditprogramms durchgeführten Audits/
Gesamtanzahl der
­geplanten Audits) * 100
10 X Planmäßigkeit der (Anzahl der Maßnah-
Umsetzung von men, die innerhalb des
Maßnahmen gesetzten Rahmens von
Zeitplanung, Kosten
und Qualität liegen/
Gesamtanzahl der
­Maßnahmen) * 100
10 X Kosten aus Mangel an Summe der Kosten
Informationssicherheit aufgrund von Sicher-
heitsvorfällen
A.5 X Aktualität der ISMS- (Anzahl der Dokumente
Dokumente mit Review-Datum
jünger als 2 Jahre/
Gesamtanzahl der Doku-
mente) * 100
A.6 X Verwaltung mobiler (Anzahl der verwalteten
Endgeräte mobilen Endgeräte/
Gesamtanzahl der
eingesetzten mobilen
Endgeräte) * 100
A.7 X Abdeckungsgrad (Anzahl der geschulten
Security-Schulungen Mitarbeiter/Gesamtan-
zahl der zu schulenden
Mitarbeiter) * 100

58 10 Anhang B: KxI-Übersicht

Referenz KPI KRI KCI KxI-Name Formel

A.7 X Security-Awareness der (Anzahl der Mitarbeiter,
Belegschaft die einen präparierten
Phishing-Link während
einer Awareness-
Kampagne klicken/
Gesamtanzahl der
Mitarbeiter in der Kam-
pagne) * 100
A.8 X Zuordnung von Assets (Anzahl der Assets,
denen ein Eigentümer
zugewiesen ist/
Gesamtanzahl der
Assets) * 100
A.9 X Anteil der überfälligen (Anzahl Anträge auf Zu-
Zugangssperren gangssperrung, die über
der zulässigen Bearbei-
tungsdauer liegen/
Gesamtanzahl der
Anträge auf Zugangs-
sperrung) * 100
A.9 X Brute-Force-optimierte (Anzahl der administra-
Administratorkonten tiven Passwörter mit we-
niger als null Zeichen/
Anzahl der SHA-42-gesi-
cherten Passwortdaten-
banken) * 42
A.10 X Sicherheitsvorfälle (Anzahl der Sicher-
aufgrund unzureichen- heitsvorfälle, die durch
der kryptografischer unzureichende krypto-
Maßnahmen grafische Maßnahmen
begründet sind/
Gesamtanzahl der
Sicherheitsvorfälle) *
100

10 Anhang B: KxI-Übersicht 59

Referenz KPI KRI KCI KxI-Name Formel

A.11 X Umsetzung der physi- (Anzahl der fristgerecht
schen Sicherheitsmaß- durchgeführten
nahmen Sicherheits­begehungen/
Gesamtanzahl der
geplanten Sicherheits-
begehungen) * 100
A.12 X Abdeckungsgrad (Anzahl der Systeme mit
Anti-Malware aktivem Anti-Malware-
Schutz/Gesamtanzahl
Systeme) * 100
A.12 X IT-Systeme/Anwendun- (Anzahl der produktiven
gen »End of Life« IT-Systeme mit Software
außerhalb der Wartung
(End of Life)/Gesamtan-
zahl der IT-Systeme in
Produktion) * 100
A.12 X Anteil der Systeme mit (Anzahl der Systeme mit
kritischen Schwach- kritischen Schwachstel-
stellen len, die älter als x Tage
sind/Gesamtanzahl der
Systeme) * 100
A.12 X Anteil der behobenen (Anzahl der behobenen
Schwachstellen Schwachstellen/Ge-
samtanzahl der identifi-
zierten Schwachstellen)
* 100
A.12 X Anteil Emergency Chan- (Anzahl Emergency
ges am Gesamt-Change- Changes/Gesamtanzahl
Aufkommen Changes) * 100
A.12 X Prozentsatz (Anzahl Systeme ohne
ungepatchter Systeme aktuellen Patch-Stand/
Gesamtanzahl Systeme)
* 100
A.12 X Kritische IT-Vorfälle (Anzahl kritischer IT-
Vorfälle/Gesamtanzahl
IT-Vorfälle) * 100

60 10 Anhang B: KxI-Übersicht

Referenz KPI KRI KCI KxI-Name Formel

A.13 X Optimierung der (Anzahl der Netzwerk-
Netzwerkdienste dienste, die in der
optimierten Bandbreite
betrieben wurden/
Gesamtanzahl der
relevanten Netzwerk-
dienste) * 100
A.14 X Verzögerter Go-live (Anzahl der Anwen-
aufgrund mangelnder dungen, die verspätet
Umsetzung der gefor- aufgrund mangelnder
derten Sicherheitsmaß- Umsetzung der gefor-
nahmen derten Sicherheitsmaß-
nahmen in Produktion
gingen/Gesamtanzahl
Anwendungen, die in
Produktion gingen)
* 100
A.14 X Erkannte technische Anzahl der durch Code-
Schwachstellen auf- review identifizierten
grund schlechter technischen Schwach-
Coding-Praktiken stellen aufgrund
schlechter Coding-
Praktiken/Gesamtanzahl
der durch Codereview
erkannten Abweichun-
gen
A.15 X SLA-Verletzungen Anzahl der SLA-Ver-
letzungen im Auswer-
tungszeitraum
A.15 X Termingerechte (Anzahl der fristgerecht
Bereitstellung von gelieferten Reports/
Dienstleis­ter-Reports Gesamtanzahl der
vereinbarten Reports)
* 100

10 Anhang B: KxI-Übersicht 61

Referenz KPI KRI KCI KxI-Name Formel

A.16 X Erfolg der Kommunika­ Durchschnittliche Zeit
tion von Sicherheits­ vom Entdecken bis zum
vorfällen Melden von Sicherheits-
vorfällen
A.17 X Anteil der getesteten (Anzahl der Notfallpläne,
Notfallpläne die getestet wurden/
Gesamtanzahl der
Notfallpläne) * 100
A.18 X Technische Überprüfung­ (Anzahl der Systeme, bei
von Systemen auf denen eine technische
­Compliance Compliance-Prüfung
durchgeführt wurde/
Gesamtanzahl der Syste-
me) * 100
A.18 X Abdeckungsgrad regu- (Anzahl eingeführter
latorischer und interner regulatorischer und
Anforderungen interner Anforderungen/
Gesamtanzahl bekann-
ter regulatorischer und
interner Anforderungen)
* 100

Tab. 10–1 KxI-Kennzahlen

62 Abkürzungsverzeichnis

Abkürzungsverzeichnis
ALE Annual Loss Expectancy
BAIT Bankaufsichtliche Anforderungen an die IT
BI Business Intelligence
BMIS Business Model for Information Security
CMM Capability Maturity Model
CSF Critical Success Factor
DSGVO Datenschutz-Grundverordnung
DWH Data Warehouse
GDPR General Data Protection Regulation
GRC Governance, Risk, Compliance
HR Human Resources
IAM Identity & Access Management
IKS Internes Kontrollsystem
IS Informationssicherheit
ISA Information Security Association
ISMS Informationssicherheitsmanagementsystem
IT Informationstechnologie
KCI Key-Control-Indikator
KGI Key-Goal-Indikator
KMU kleine und mittlere Unternehmen
KPI Key-Performance-Indikator
KRI Key-Risk-Indikator
KVP kontinuierlicher Verbesserungsprozess
MIS Managementinformationssystem
NIST National Institute of Standards and Technology
PAM Privileged Access Management
PCI DSS Payment Card Industry Data Security Standard
ROI Return on Investment
 Abkürzungsverzeichnis 63

ROSI Return on Security Investment

SIEM Security Information and Event Management
SMART spezifisch, messbar, attraktiv/akzeptiert, realistisch, terminiert
SMD Standard Mean Difference
TISAX Trusted Information Security Assessment Exchange
TOM technische und organisatorische Maßnahmen
VDA Verband der Automobilindustrie
64 Referenzen

Referenzen
[Brotby & Hinson 2013] Brotby, W. Krag; Hinson, Gary: PRAGMATIC
Security Metrics: Applying Metametrics to Information Security. Auer-
bach Publications, 2013.

[ISACA 2016] ISACA: Implementierungsleitfaden ISO/IEC 27001:2013.

Ein Praxisleitfaden für die Implementierung eines ISMS nach ISO/IEC
27001:2013. Stand 2016, online verfügbar unter: [Link]
de/veroeffentlichungen/informationssicherheit.

[ISO/IEC 27001:2013] ISO/IEC 27001:2013 Information technology –

Security techniques – Information security management systems – Re-
quirements.

[ISO/IEC 27004:2016] ISO/IEC 27004:2016 Information technology –

Security techniques – Information security management – Monitoring,
measurement, analysis and evaluation.

[TISAX] TISAX-Website, [Link]

[TISAX-Teilnehmerhandbuch 2020] TISAX-Teilnehmerhandbuch. Wie

Sie die TISAX-Prüfung bestehen und Ihr Prüfergebnis mit Ihren Part-
nern teilen. Von Florian Gleich, hrsg. von ENX Association, Version 2.2,
2020, online verfügbar unter: [Link]

[VDA] Verband der Automobilindustrie (VDA): Informationssicher-

heit – Empfehlungen des VDA zur Informationssicherheit in der Auto-
mobilindustrie, online verfügbar unter: [Link]
sicherheit-und-standards/informationssicherheit/informationssicherheit-
[Link].
Abbildungs -/Tabellenverzeichnis 65

Abbildungsverzeichnis
Abbildung 1: GRC in der Unternehmenssteuerung 2
Abbildung 2–1: Steuerung Informationssicherheit 10
Abbildung 2–2: Zusammensetzung von Indikatoren 11
Abbildung 3–1: Beziehung der Indikatoren zum Datenpool 14
Abbildung 3–2: Aufbau und Beziehung von KPI, KRI und KCI 15
Abbildung 4–1: Berechnung des Return on Security Investment
(ROSI) 18
Abbildung 5–1: Zuordnung zu ISO/IEC 27001:2013, 9.1
Anforderungen 21
Abbildung 5–2: Messmodell der Informationssicherheit zur
Sicherstellung von Nachvollziehbarkeit und
Reproduzierbarkeit (nach [ISO/IEC 27004:2016,
Annex A]) 23
Abbildung 5–3: Deming-Kreis der Schlüsselindikatoren 27
Abbildung 6–1: Darstellung des Regelbereichs 29
Abbildung 7–1: VDA-TISAX-Modell 33
Abbildung 7–2: PRAGMATIC-Sicherheitskennzahlen 41
Abbildung 8–1: ISMS-Software-Auswahlprozess 48
Abbildung 8–2: DWH – logische Sicht 49

Tabellenverzeichnis
Tabelle 5–1: Profil des Kennzahlen-Steckbriefs 24
Tabelle 5–2: Beispiel für einen Kennzahlen-Steckbrief 25
Tabelle 7–1: Die derzeitigen TISAX-Prüfziele 34
Tabelle 7–2: Geeignete Prüfmethoden für Assessment-Level 35
Tabelle 7–3: Beispiel einer KxI-Definition 38
Tabelle 10–1: KxI-Kennzahlen 55
 Ihr Partner für Weiterbildung:
Der ISACA Germany Chapter e. V.
Der deutsche Berufsverband der IT-Revisoren, IT-Sicherheitsmanager sowie IT-Governance-
Experten fördert Ihre berufliche Weiterentwicklung durch Examensvorbereitungskurse auf die
internationalen Berufszertifizierungen CISA, CISM und CRISC.

Unterstützend bieten wir Ihnen ein thematisch breit gefächertes Zertifikatsprogramm basierend
auf dem Rahmenwerk COBIT 2019.

Unser komplettes Kursangebot können Sie auf unserer Webseite [Link]/seminare

einsehen. Neben Präsenzseminaren bieten wir alle Kurse auch als Online-Seminare an.
Für sämtliche Kurse erhalten Sie einen anerkannten Berufsfortbildungsnachweis (sog. CPE-Stunden).
GE I-
N
U N RT
ER E
ZI SZ
FI UF
R

CISM CGEIT CISA CRISC

BE

Cyber IT IT
Governance Compliance
VE ER

Security
LE N AG

Expert Manager Manager

L
A
M

Information
R

Security IT Governance &

NE

Practitioner IT Assurance IT Risk

L O

Compliance
V E IT I

Practitioner Practitioner
Practitioner
L E CT

Cyber Security
A

Practitioner
PR

IT Governance & IT Governance &

ON

Cyber Security Grundlagen IT Revision Grundlagen

L I

IT Compliance Basic IT Compliance Basic

VE AT
LE ND
U
FO

IT-GOVERNANCE & IT-AUDIT & IT-RISIKOMANAGEMENT

INFORMATIONSSICHERHEIT
IT-COMPLIANCE ASSURANCE & IKS