ISO 27001 Klausel 9: wie Sie prüfen, ob Ihr ISMS wirklich funktioniert

Was Klausel 9 abdeckt

Drei Teile, und sie laufen nacheinander ab.

• 9.1 Überwachung, Messung, Analyse und Bewertung. Sie wählen eine kleine Auswahl an Sicherheitskennzahlen, etwa den Anteil ausgeschiedener Mitarbeitender, deren Zugänge rechtzeitig entfernt wurden, erheben die Zahlen und werten aus, was sie darüber sagen, wie gut Ihre Maßnahmen und das ISMS als Ganzes funktionieren.
• 9.2 Internes Audit. In geplanten Abständen, in der Praxis meist einmal im Jahr, prüft jemand Ihr System gegen die Norm und gegen Ihre eigenen Regeln.
• 9.3 Managementbewertung. Die oberste Leitung schaut sich all das an und entscheidet, was sich ändert.

Das Ergebnis des einen Teils ist die Grundlage für den nächsten. Ihre Kennzahlen und die Feststellungen aus dem internen Audit sind das, was die Leitung bewertet, und die Entscheidungen aus dieser Bewertung geben die Richtung für das folgende Jahr vor.

Überwachung und Messung

Zwei Begriffe, die ähnlich klingen und Verschiedenes meinen. Überwachung zeigt Ihnen, ob etwas passiert. Messung zeigt Ihnen, wie gut.

Nehmen Sie die Überprüfung von Zugriffsrechten. Überwachung heißt zu prüfen, ob die quartalsweise Überprüfung stattgefunden hat. Messung heißt festzustellen, dass von 40 geprüften Konten 6 Personen gehörten, die das Unternehmen bereits verlassen hatten. Das Erste sagt Ihnen, dass der Prozess gelaufen ist. Das Zweite sagt Ihnen, dass vorher im Offboarding etwas schiefläuft.

Für jede Kennzahl verlangt die Norm, dass Sie festlegen und dokumentieren:

• was Sie überwachen oder messen, einschließlich der Prozesse und Maßnahmen
• wie Sie es tun, und zwar so, dass Sie ein verlässliches Ergebnis bekommen
• wann es gemacht wird
• wer es macht
• wann die Ergebnisse ausgewertet werden
• wer sie auswertet

Das letzte Paar ist wichtiger, als es aussieht. Die Norm verlangt, dass Sie benennen, wer jede Zahl erhebt, und getrennt davon, wer sie liest und auswertet. Beides kann dieselbe Person sein, aber beide Rollen müssen vergeben sein. Der übliche Fehler sind Zahlen, die jemand erhebt, dessen Aufgabe mit dem Erheben endet.

Für die Methode gilt noch eine Bedingung: Sie muss Ergebnisse liefern, die über die Zeit vergleichbar sind und die jemand anderes reproduzieren könnte. Wenn Sie Phishing-Klickraten jedes Quartal mit einem anderen Tool, einer anderen Stichprobe und einem anderen Szenario messen, bewegen sich die Zahlen aus Gründen, die nichts mit Ihrer Sicherheit zu tun haben, und Sie können Verbesserung nicht von Zufall unterscheiden.

Welche Kennzahlen sich lohnen

Der häufige Fehler ist, Aktivität statt Wirkung zu messen. "Wir haben 12 Awareness-Schulungen durchgeführt" und "wir haben 94 Tickets geschlossen" stimmen beide, und keine der beiden Aussagen sagt Ihnen, ob Sie sicherer sind. Eine nützliche Kennzahl ist eine, bei der ein schlechtes Ergebnis Sie dazu bringen würde, etwas anders zu machen.

Einige, die sich meist bewähren:

• Der Anteil ausgeschiedener Mitarbeitender, deren Zugänge innerhalb Ihrer eigenen Frist entfernt wurden. Wenn Ihre Regel zwei Arbeitstage vorsieht und es in Wirklichkeit neun sind, haben Sie eine echte Lücke gefunden.
• Die Zeit bis zum Patchen kritischer Schwachstellen, gemessen an der Vorgabe in Ihrer eigenen Richtlinie.
• Offene Maßnahmen zur Risikobehandlung, deren Frist abgelaufen ist.
• Ob Ihr letzter Test zur Wiederherstellung aus dem Backup funktioniert hat.

Vier Kennzahlen, nach denen Sie handeln würden, sind besser als zwanzig, nach denen Sie es nicht tun. Klausel 9 schreibt keine Mindestzahl vor, und ein Auditor sieht lieber eine kleine Auswahl mit echter Auswertung als ein Dashboard, das seit seiner Einrichtung niemand geöffnet hat.

Internes Audit

Klausel 9.2 verlangt, dass Sie Ihr eigenes System in geplanten Abständen auditieren und dabei zwei Dinge prüfen: ob es den Anforderungen der Norm entspricht und ob es Ihren eigenen Regeln entspricht. Das sind zwei verschiedene Fragen, und die zweite findet mehr.

Jedes Audit braucht einen festgelegten Umfang und Kriterien, also was Sie prüfen und woran Sie es messen. Die Person, die auditiert, muss objektiv und unparteiisch sein, was in der Praxis heißt: Niemand auditiert die eigene Arbeit. Außerdem brauchen Sie ein Auditprogramm, das festlegt, wie oft, wie, wer verantwortlich ist und wie über die Ergebnisse berichtet wird. Die Ergebnisse müssen dokumentiert und aufbewahrt werden, und die Feststellungen müssen die Führungskräfte erreichen, die etwas daran ändern können.

Das ist der Teil von Klausel 9 mit den meisten beweglichen Teilen, deshalb beschreibt wie ein internes Audit wirklich abläuft ihn ausführlich. Wenn niemand im Haus einen Prozess auditieren kann, den er nicht selbst aufgebaut hat, ist es üblich, das interne Audit extern zu vergeben.

Managementbewertung

Klausel 9.3 holt die oberste Leitung zurück an den Tisch. Gemeint sind die Menschen, die über Budget und Prioritäten entscheiden. Sie bewerten das System selbst und treffen Entscheidungen dazu, statt sich nur von der Sicherheitsverantwortlichen berichten zu lassen.

Wie oft, entscheiden Sie selbst. Die meisten Unternehmen machen es einmal im Jahr und setzen nach größeren Ereignissen einen zusätzlichen Termin an, etwa nach einer Übernahme, einem schweren Sicherheitsvorfall oder einer neuen Produktlinie.

Was in die Bewertung einfließen muss:

• was aus den Maßnahmen geworden ist, die beim letzten Mal beschlossen wurden
• was sich innerhalb und außerhalb des Unternehmens geändert hat und die Sicherheit betrifft
• was Ihre Kunden, Behörden und andere interessierte Parteien inzwischen erwarten
• wie die Sicherheit funktioniert hat: Ihre Kennzahlen, Ihre Auditergebnisse, Nichtkonformitäten (Stellen, an denen Sie eine Anforderung verfehlt oder gegen eine eigene Regel verstoßen haben) und die Korrekturmaßnahmen, die darauf folgten, sowie ob Sie Ihre Ziele erreicht haben
• Rückmeldungen, die Sie von interessierten Parteien bekommen haben
• wo Ihre Risikobeurteilung und Ihr Risikobehandlungsplan stehen
• alles, was Ihnen als verbesserungswürdig aufgefallen ist

Was dabei herauskommen muss, ist kürzer: Entscheidungen über Verbesserungen und Entscheidungen über Änderungen am System. Schriftlich festgehalten.

An diesem letzten Punkt scheitern die meisten Managementbewertungen. Die Inputs werden präsentiert, alle nicken, und im Protokoll steht, dass der Bericht zur Kenntnis genommen wurde. Ein Auditor, der dieses Protokoll liest, sieht ein Meeting, das stattgefunden hat, und eine Bewertung, die nicht stattgefunden hat. Wenn es heute niemandes Aufgabe ist, diese Inputs zusammenzutragen und das Gespräch zu leiten, ist genau das die Lücke, für die meist eine externe Sicherheitsleitung geholt wird.

Was ein Auditor prüft

Feststellungen zu Klausel 9 folgen einem Muster:

• Eine Liste von Kennzahlen in der ISMS-Dokumentation, hinter der keine tatsächlichen Ergebnisse stehen.
• Erfasste Ergebnisse, ohne Hinweis darauf, dass jemand sie ausgewertet oder daraus etwas gemacht hat.
• Ein internes Audit, durchgeführt von der Person, der der auditierte Prozess gehört.
• Eine abgehaltene Managementbewertung, deren Protokoll keine Entscheidungen enthält.
• Ziele, die zu Jahresbeginn gesetzt und nie überprüft wurden.
• Eine Kennzahl, deren Methode mittendrin geändert wurde, sodass der Verlauf nichts mehr aussagt.

All das lässt sich beheben, bevor eine Zertifizierungsstelle es sieht. Genau deshalb verkürzt es das Audit selbst, die Nachweise früh zu ordnen.

Wo Sie anfangen

1. Wählen Sie drei oder vier Kennzahlen, und zwar solche, bei denen eine schlechte Zahl ändern würde, was Sie nächste Woche tun.
2. Schreiben Sie für jede eine Zeile: was sie misst, wie, wie oft, wer sie erhebt, wer sie liest.
3. Erfassen Sie die nächste Runde an Ergebnissen, auch die schlechten. Eine Kennzahl, die nie einen schlechten Monat zeigt, misst meist das Falsche.
4. Planen Sie das interne Audit ein und wählen Sie jemanden, der den Prozess, den er auditiert, nicht selbst aufgebaut hat.
5. Tragen Sie die Managementbewertung mit einer echten Tagesordnung in den Kalender ein, und schreiben Sie das Protokoll als Liste von Entscheidungen mit Verantwortlichen und Terminen.

Wie geht es weiter?

Die Managementbewertung funktioniert nur, wenn die oberste Leitung schon am System beteiligt ist. Was die Norm von der Geschäftsführung verlangt beschreibt die Pflichten, die Klausel 5 ihr auferlegt, bevor Klausel 9 sie an den Tisch holt, um zu entscheiden. Sobald Ihre Kennzahlen und Ihr Audit Probleme zutage gefördert haben, zeigt Nichtkonformität und Korrekturmaßnahmen, was Klausel 10.2 von Ihnen erwartet, und dort wird aus Klausel 9 echte Veränderung.