Die Überwachung von IT-Sicherheitsmaßnahmen ist in Anbetracht der ständig wechselnden Angriffsflächen und Methoden böswilliger Akteure eine anspruchsvolle Aufgabe. Durch die gezielte Nutzung geeigneter Kennzahlen können Chief Information Security Officers (CISOs) die Effektivität ihrer Maßnahmen überwachen und auf Vorstandsebene den Return on Investment (ROI) der getätigten Sicherheitsausgaben transparent machen.
Kennzahlen bieten einen verlässlichen Überblick über die Mehrwerte von Sicherheitsmaßnahmen für das gesamte Unternehmen. Sie helfen CISOs dabei, dem Management und dem Vorstand anschaulich zu präsentieren, welche Maßnahmen ergriffen wurden, um die Datenintegrität und -sicherheit zu schützen. Dabei ist jedoch Vorsicht geboten, um die Unternehmensführung nicht mit einem Übermaß an Informationen zu überfordern.
IT-Sicherheit zum Nulltarif?
Welche Metriken fokussieren? Eine zu große Anzahl von Kennzahlen kann Führungskräfte leicht verwirren und im schlimmsten Fall ein irreführendes Bild über die Leistungsfähigkeit eines IT-Security-Programms vermitteln, was das Vertrauen in die Fähigkeiten eines CISOs beeinträchtigen könnte.
Effektive CISOs sind in der Lage, klare Signale von diffusen Informationen zu trennen, indem sie sich auf entscheidende Metriken und Leistungskennzahlen (Key Performance Indicators – KPIs) konzentrieren. Dies ermöglicht es, klare Signale zu setzen und die relevanten Informationen gezielt zu kommunizieren.
Im Folgenden werden einige der wichtigsten Kennzahlen und KPIs vorgestellt, die CISOs dabei helfen sollen, für ihre Präsentation eine sinnvolle Auswahl zu treffen. Diese nach Themen gruppierten Metriken und KPIs ermöglichen es CISOs, die Effektivität ihrer IT-Security-Kontrollen und -initiativen zu messen und somit Risiken zu erkennen und zu mindern.
Metriken zur Erkennung von Bedrohungen und Reaktion auf Vorfälle
- Mittlere Erkennungszeit (Mean Time To Detect – MTTD)
Die durchschnittliche Zeitspanne zwischen dem Auftreten eines Vorfalls und seiner Erkennung. - Mittlere Reparaturzeit (Mean Time To Repair – MTTR)
Die durchschnittliche Zeit, die benötigt wird, um eine Bedrohung zu neutralisieren und die Kontrolle über kompromittierte Systeme zurückzugewinnen. - Mittlere Eindämmungszeit (Mean Time To Contain – MTTC)
Die Zeit, die benötigt wird, um alle kompromittierten Endpunkte und Angriffsvektoren zu sichern.
Kleiner Tipp: CISOs sollten sich zunächst auf MTTR konzentrieren und später, wenn es sinnvoll erscheint, MTTD und MTTC hinzufügen!
Metriken der Performance
- Durchschnittliche Ausfallzeit
Die durchschnittliche Zeit, in der Systeme nicht betriebsbereit sind.
- Durchschnittskosten pro Vorfall
Die Kosten für die Reaktion auf und Behebung von Sicherheitsvorfällen, inklusive Untersuchungs- und Sanierungskosten sowie ausgefallener Mitarbeiterproduktivität.
Metriken für die Bereitschaft
- Effektivität von Sicherheitsschulungen
Bewertet die Fähigkeit der Mitarbeiter, potenzielle Bedrohungen zu erkennen und angemessen darauf zu reagieren.
Metriken für Sicherheitsbewertungen der Lieferketten
- Compliance-Berichte der Anbieter
Überwacht die Sicherheitslage von Handelspartnern und begrenzt Risikoexpositionen.
Metriken der Patch-Rhythmen
- Regelmäßige Patches
Überprüft die Häufigkeit der Aktualisierung von Systemen, Netzwerken, Geräten und Anwendungen, um Sicherheitslücken zu schließen.
Metriken für die Zugriffsverwaltung
- Identity und Access Management (IAM)
Überwacht Zugriffskontrollen, um das Risiko unbefugter Zugriffe zu minimieren.
CISOs sollten diese Kennzahlen aussagekräftig präsentieren und verdeutlichen, wie Sicherheits-, Datenschutz- und Compliance-Programme im gesamten Unternehmen einen deutlichen Mehrwert schaffen. Bei der Berichterstattung an den Vorstand empfiehlt es sich, eine Auswahl aggregierter KPIs vorzustellen, die verschiedene Sicherheits- und Compliance-Aspekte repräsentieren, um einen umfassenden Überblick zu geben.