Leistungsindikatoren für IT-Sicherheit

Messbarer Erfolg

von Janosch Maier

Die IT-Sicherheit in Unternehmen steckt häufig in einem Dilemma: Funktioniert sie, ist gut organisiert, durchdacht und schützt so Infrastrukturen, Geräte und Netzwerke, bemerkt sie niemand. Sie wird als Kostenfaktor empfunden und Investitionsvorschläge aus der IT-Abteilung treffen in der Geschäftsführung auf wenig Verständnis. Erst wenn es zu spät ist und ein Sicherheitsleck von Cyberkriminellen gefunden und ausgenutzt wurde, rückt die IT-Sicherheit in den Fokus – der Schaden ist dann aber schon angerichtet. Eine strategisch durchdachte wie messbare Security ist deshalb von entscheidender Bedeutung.

Aus IT-Administrator 03/2020

Kaum ein Monat vergeht, in dem keine Presseberichte von einem größeren Datenleck die Runde machen – zuletzt traf es den Mietwagenanbieter Buchbinder. Die ... (mehr)

Key-Performance-Indikatoren (KPI) sind für die IT-Sicherheit wichtig: Sie helfen, IT-Security-Risiken auf ein für Unternehmen akzeptables Level zu senken, Schwachstellen in der IT-Sicherheit und in Prozessen aufzuspüren und sie zu schließen, bevor der Ernstfall eintritt. Zudem erlauben KPIs Rückschlüsse auf Probleme in den relevanten Organisationen und Abläufen, wie etwa bei der Speicherung von Daten. Somit dienen die Kennzahlen als Indikator für Mitarbeiter, an welchen Stellen Verbesserungen nötig sind. Ein hundertprozentiger Schutz ist dabei natürlich nie möglich.

Firmen müssen sich jedoch die Frage stellen, wie sie mit vertretbaren Kosten und Aufwand eine für sie hinreichend große IT-Sicherheit herstellen können, ohne Systeme und Mitarbeiter zu überfordern. KPIs helfen hier, indem notwendige Ressourcenzuweisungen basierend auf klaren Kennzahlen erfolgen, an denen Mitarbeiter sich orientieren können. Unternehmen können KPIs darüber hinaus dokumentieren und sie beispielsweise Partnern oder Kunden zu Compliance-Zwecken zur Verfügung stellen. So helfen KPIs, zwischen verschiedenen Investitionen abzuwägen: Welche Investition bewirkt welche Änderung meiner KPIs?

Relevante KPIs für IT-Sicherheit

KPIs allgemein sind in der Betriebswirtschaftslehre als Kennzahlen definiert, anhand derer sich der Fortschritt oder Erfüllungsgrad in Bezug auf wichtige Zielsetzungen oder kritische Erfolgsfaktoren innerhalb einer Organisation messen lässt. In der IT-Security kann zwischen KPIs innerhalb der Software-Entwicklung und der Organisation unterschieden werden. Für die Software-Entwicklung sind vor allem fünf KPIs entscheidend:

1.1 Die wichtigste KPI innerhalb der Software-Entwicklung ist die Dauer der Behebung von Sicherheitslücken. Die Frage, die sich Unternehmen hier stellen müssen, lautet: "Wie lange benötige ich, um eine gemeldete Sicherheitslücke zu

...

Der komplette Artikel ist nur für Abonnenten des ADMIN Archiv-Abos verfügbar.