10 Kennzahlen, die CISOs weiterbringen – Source: www.csoonline.com

Foto: Vadym Nechyporenko – shutterstock.com

Die Security-Performance zu messen, gehört vielleicht nicht zu den aufregendsten Aufgaben eines CISOs – kann allerdings sehr nützlich sein, um eine ganze Reihe von Herausforderungen zu bewältigen. Neben der Erkenntnis darüber, wie effektiv ihre Security-Bemühungen sind, können Sicherheitsentscheider mit den richtigen Kennzahlen unter anderem auch strategisches Alignment mit dem Business demonstrieren.

Um jedoch einen echten Nutzen aus den Metriken ziehen zu können, ist das oberste Gebot, sich auf diejenigen zu konzentrieren, die belegen, dass die Security das Business stützt. Kennzahlen, denen es an Bedeutung oder Kontext mangelt, sind hingegen zu vernachlässigen, wie Richard Absalom, Principal Research Analyst beim Information Security Forum, unterstreicht: “Man kann unzählige Dinge in Sachen Security Performance messen – was mit Blick auf Extraktion und Reporting viel Zeit, Mühe und Ressourcen kostet. Fragen Sie sich: Warum messen wir das? Wie hilft uns das? Welche Frage können wir damit beantworten? Wenn die Messung nicht dazu beiträgt, Stakeholdern oder Entscheidern wichtige Informationen zu liefern, wird sie sehr wahrscheinlich ignoriert.”

10 Security-Metriken, von denen CISOs profitieren

Im Folgenden haben wir im Gespräch mit Experten und Entscheidern zehn Benefits identifiziert, die CISOs mit den jeweils richtigen Security-Metriken realisieren können.

1. Incident-Response-Metriken

Mean Time to Detect (MTTD) oder Mean Time to Respond (MTTR) liefern beispielsweise quantitative Daten, die CISOs dabei unterstützen, objektive Entscheidungen zu treffen. Frank Kim, Fellow am SANS Institute, erklärt: “Indem sie wichtige Sicherheitsindikatoren analysieren und nachverfolgen, können CISOs Prioritäten setzen, Ressourcen zuweisen und sich auf die Bereiche konzentrieren, die am dringendsten optimiert werden müssen.”

2. Security-Investment-Metriken

Beispielsweise zu wissen, wie hoch der Prozentsatz wichtiger Business-Initiativen mit eingebetteten Sicherheitsprozessen ist, kann CISOs dabei unterstützen, den Return on Investment (ROI) von Security-Initiativen gegenüber der Geschäftsleitung und den Stakeholdern nachzuweisen. Insofern aufgezeigt wird, wie diese Bemühungen zur Risikominderung und dazu beitragen, Zwischenfälle zu verhindern.

“Die Stakeholder interessieren sich nicht für die Cyberrisiken, sondern die Geschäftsrisiken, die sich aus dem Cyberbereich ergeben”, konstatiert Brian Contos, CSO bei Sevco Security. Er fügt hinzu: “Genauer gesagt geht es dabei um Risiken im Zusammenhang mit Umsatz, Brands, Operations sowie ESG – Environmental, Social, Governance.”

3. Security-Awareness-Metriken

In diesen Bereich fällt beispielsweise der Prozentsatz der Fachabteilungen, die an entsprechenden Programmen beteiligt sind. Diese Kennzahlen unterstützen dabei, zu ermitteln, ob im Unternehmen eine Security-Kultur existiert – oder entsteht. So lässt sich darstellen, wie effektiv entsprechende Initiativen auf die allgemeine Sicherheitslage des Unternehmens einzahlen – was für Sicherheitsentscheider traditionell eine Herausforderung darstellt.

Fred Rica, ehemals Head of Cyber Practice bei KPMG und Partner beim Wirtschaftsprüfungsunternehmen BPM, erläutert: “CISOs, die dem Vorstand technische Kennzahlen präsentieren, schießen oft am Ziel vorbei, weil der Kontext fehlt. Dem Board mitzuteilen, dass 100.000 Events per Firewall blockiert wurden, wird ohne entsprechenden Kontext nicht fruchten.”

4. Vulnerability-Management-Metriken

Metriken im Bereich Schwachstellenmanagement, wie das “Window of Exposure”, können CISOs dabei unterstützen, das Risikoprofil ihrer Organisationen besser zu verstehen und Bedrohungen aktiv zu begegnen.

“Letztlich geht es darum, die zerbrochenen Fenster und unverschlossenen Türen eines Unternehmens anzugehen”, verbildlicht SANS-Experte Kim. “Vulnerability-Management-Metriken geben Aufschluss darüber, wie lange die Türen potenziell offenstehen und unterstützen dabei, tägliche Arbeitsabläufe zu etablieren, zum Beispiel im Bereich Scanning oder Patching.”

5. Security-Process-Improvement-Metriken

Metriken zur Verbesserung von Sicherheitsprozessen erfassen den Fortschritt im Zeitverlauf und ermöglichen CISOs, spezifische Ziele zu setzen beziehungsweise zu verfolgen. Ein Beispiel für eine Kennzahl in diesem Bereich wäre der Prozentsatz von Vorfällen mit derselben wiederkehrenden Grundursache.

“Dieser datengesteuerte Ansatz trägt zur kontinuierlichen Verbesserung der Sicherheitspraktiken bei und fördert eine Kultur der Verantwortlichkeit”, hält Kim fest. Anschließend könnten risikobasierte Metriken in Jahresberichte oder Corporate-Governance-Dokumente einfließen.

6. Security-Maturity-Metriken

Metriken zum Security-Reifegrad – beispielsweise Capability Maturity Scores – lassen sich mit Branchen-Benchmarks (beispielsweise denen des Center for Internet Security) oder auch früheren Ergebnissen abgleichen. Das ermöglicht Sicherheitsentscheidern, den Security-Reifegrad ihrer Organisation zu verstehen, um im Anschluss realistische Sicherheitsziele und -strategien zu entwickeln.

Laut ISF-Chefanalyst Absalom sollten Sicherheitsverantwortliche nach Indikatoren und Metriken Ausschau halten, die Aufschluss darüber geben, wie gut die Organisation:

• Bedrohungen und gefährdete Assets identifiziert;

• die identifizierten Assets schützt;

• Bedrohungsereignisse erkennt;

• auf erkannte Ereignisse reagiert;

• sich nach Vorfällen erholt und deren Auswirkungen begrenzen kann.

7. Compliance-Metriken

Da viele Vorschriften und Standards auch ein Reporting zu bestimmten Security-Metriken erfordern, ist es sinnvoll, über Compliance-Metriken zu verfügen – beispielsweise den Prozentsatz der Systeme, die mit bestimmten Anforderungen im Einklang stehen.

Kim bringt es auf den Punkt: “Das erleichtert es, Compliance-Anforderungen zu erfüllen und potenzieller Strafzahlungen zu vermeiden.”

8. Threat-Detection-Metriken

Kennzahlen im Bereich Bedrohungserkennung – wie die Anzahl der erkannten Vorfälle oder False-Positive/Negative-Raten – können als Frühwarnzeichen für potenzielle Sicherheitsvorfälle oder Schwachstellen in der Infrastruktur dienen.

Das ermöglicht CISOs, Probleme aktiv anzugehen und größeren Sicherheitsverletzungen vorzubeugen.

9. Ressource-Utilization-Metriken

Metriken zur Ressourcennutzung wie der prozentuale Anteil der Zeit, der für aktive gegenüber reaktiven Sicherheitsaufgaben aufgewendet wird, können CISOs in die Lage versetzen, ineffiziente Bereiche oder redundante Sicherheitskontrollen zu identifizieren.

Das kann in der Konsequenz zu einer besseren Ressourcenzuweisung und damit zu Kostenoptimierungen führen. In Zeiten des immer noch ausgeprägten Security-Fachkräftemangels könnte das eine entscheidende Unterstützung für Sicherheitsverantwortliche darstellen.

10. Security-Transparency-Metriken

Kennzahlen zur Security-Transparenz – etwa die Anzahl der dem Unternehmen mitgeteilten Sicherheitsvorfälle oder die Bewertungen der internen Stakeholder zur Security-Kommunikation – können das Vertrauen zwischen Security-Team und anderen Geschäftseinheiten stärken.

“Wenn die Wirksamkeit von Sicherheitsmaßnahmen quantifiziert und transparent kommuniziert wird, stärkt das das Vertrauen in das Sicherheitsprogramm”, konstatiert SANS-Experte Kim.

Sie wollen weitere interessante Beiträge rund um das Thema IT-Sicherheit lesen? Unser kostenloser Newsletter liefert Ihnen alles, was Sicherheitsentscheider und -experten wissen sollten, direkt in Ihre Inbox.