In einem vorgehenden Beitrag habe ich einen kurzen Überblick über die beiden Ebenen der Wirksamkeitsmessung im Informationssicherheits-Managementsystem (ISMS) gegeben: Wirksamkeit des Managementsystems und Wirksamkeit der Maßnahmen der Informationssicherheit. Dieser Artikel vertieft den Aspekt der Wirksamkeit des Managementsystems.
Wirksamkeit des Managementsystems
Jedes bedeutende Rahmenwerk zur Informationssicherheit, gleich ob ISO 27001, BSI IT-Grundschutz oder ein anderes Regelwerk, beschreibt ein Managementsystem. Sollen die gesteckten Ziele erreicht werden, muss das Managementsystem als System funktionieren. Dieses Funktionieren muss also sichergestellt und daher überprüft werden. Am Beispiel der ISO 27001:2013 möchte ich dies illustrieren.
Die ISO 27001:2013 nennt in Kapitel 9 drei verpflichtende Handlungsfelder zur Bewertung der Leistung:
- Überwachung, Messung, Analyse und Bewertung
- Interne Audits
- Managementbewertung
Den Punkten “Interne Audits” und “Managementbewertung” werden wir uns in einem späteren Artikel widmen. Hier soll es um den ersten Punkt “Überwachung, Messung, Analyse und Bewertung” gehen.
Die ISO 27001:2013 fordert: “Die Organisation muss … die Wirksamkeit des Informationssicherheits-Managementsystems bewerten.” Dazu muss überwacht und gemessen werden. An zwei Beispielen für zu überwachende und zu messende Teile des ISMS soll das dargestellt werden:
- Ressourcenverbrauch
- Reviews von Richtlinien
Ressourcenverbrauch
Gemessen werden kann in regelmäßigen Abständen, z.B. monatlich, der Verbrauch bestimmter Ressourcen wie beispielsweise Arbeitszeit oder Budget für externe Beratung. In der Analyse können diese gemessenen Werte ins Verhältnis zu den jeweiligen Plandaten gesetzt und dann entsprechend bewertet werden. Ist zur Jahresmitte beispielsweise erst ein Viertel der für das Jahr geplanten Arbeitszeit verschrieben, kann dies ein Indiz sein, dass zu wenig im und am ISMS gearbeitet wird. Eine solche Bewertung versetzt das Unternehmen dann in die Lage, rechtzeitig gegenzusteuern. Ein im Verhältnis zur abgelaufen Zeit zu hoher Arbeitszeiteinsatz kann ein Indiz für unzureichend eingeplante Ressourcen sein. Diese Information kann für den nächsten Planungszeitraum nützlich sein.
Die Bewertung muss dabei immer vor dem vorhandenen Hintergrundwissen “mit Verstand” erfolgen. Möglicherweise ist ja wegen eines größeren Projektes im zweiten Halbjahr kein gleichmäßiger Ressourcenverbrauch zu erwarten. Entscheidend bleibt daher immer die Bewertung der von Messung und Analyse durch den Menschen.
Reviews von Richtlinien
Viele Organisationen führen die notwendigen Reviews ihrer Richtlinien und sonstigen Dokumente über das Jahr verteilt durch. Zweck ist dabei eine kontinuierliche Beschäftigung mit den Dokumenten sowie die Vermeidung von “Review-Wochen”. Auch in diesem Fall liefert die Messung überfälliger Dokumente einen Hinweis auf bestehende Probleme und gibt so die Möglichkeit, rechtzeitig nachzusteuern. Die Ursachenanalyse könnte beispielsweise auf einen Ressourcenmangel hinweisen. Vielleicht haben die Verantwortlichen für das Review diese einfach vergessen. Der Einsatz eines Werkzeugs zur Erinnerung könnte hier hilfreich sein und das Funktionieren des ISMS an dieser Stelle unterstützen. Möglicherweise liegt es auch nur an mangelnder Motivation für eine ungeliebte Aufgabe ;-).
In einem späteren Artikel werde ich mich näher mit ausgesuchten Maßnahmen zur Informationssicherheit und der Möglichkeit ihrer Überwachung und Überprüfung beschäftigen.
Seminar „Wirksamkeitsmessung nach ISO 27004“
Unser Seminar „Wirksamkeitsmessung nach ISO 27004“ versetzt Sie in die Lage, sowohl Ihr ISMS als auch die Maßnahmen ihres ISMS angemessen zu überwachen, zu analysieren und zu bewerten.
Termine:
15. September 2022 | 09:00 – 17:00 Uhr | PRÄSENZ
6. Dezember 2022 | 09:00 – 17:00 Uhr | ONLINE
Weitere Seminare finden Sie unter https://anmatho.de/seminare diese können Sie auch als individuelles Inhouse-Seminar buchen. Sprechen Sie uns gern an KONTAKT.
Podcast
In unserem Podcast “Wirksamkeitsmessung in der ISO 27001” informieren wir Sie in lockerer Art und Weise über folgende Aspekte:
- Was fordert die ISO 27001 und die ISO 27004?
- Wie findet man heraus, was gemessen werden sollte und mit welchen Methoden?
- Worauf achten Auditoren?
- Was sind beispielhafte Kenngrößen?
Hören Sie rein!