Sicherheitsziele für den Betrieb festlegen
Erfahren Sie, wie Sie als KMU konkrete und messbare Sicherheitsziele festlegen. Eine praktische Anleitung nach BSI IT-Grundschutz für Ihre Sicherheitsstrategie.
Sicherheitsziele sind klare, unternehmensweite Vorgaben, was Sie mit Informationssicherheit erreichen wollen. Anstatt vage von «mehr Sicherheit» zu sprechen, hilft es, konkrete Sicherheitsziele festzulegen. Diese leiten sich direkt von Ihren Geschäftszielen ab und bilden das Fundament Ihrer Sicherheitsstrategie.
Nutzen: Klare Ziele machen den Erfolg Ihrer Sicherheitsmaßnahmen messbar. Sie helfen, Prioritäten zu setzen und Investitionen zu rechtfertigen. Die Geschäftsleitung zeigt damit, dass sie Informationssicherheit ernst nimmt und strategisch steuert.
Risiko: Ohne definierte Ziele sind Sicherheitsmaßnahmen oft willkürlich, ineffizient und teuer. Es ist unklar, ob die getroffenen Vorkehrungen die wirklich wichtigen Geschäftsprozesse und Informationen schützen. Der Erfolg bleibt unbewiesen, was die Akzeptanz für notwendige Budgets erschwert.
Nächster Schritt: Formulieren Sie drei bis sechs übergeordnete Sicherheitsziele, die für Ihr Unternehmen am wichtigsten sind. Nehmen Sie diese in Ihre Leitlinie zur Informationssicherheit auf und lassen Sie diese von der Geschäftsführung verabschieden.
Konkrete Sicherheitsziele sind ein zentrales Element eines jeden Managementsystems für Informationssicherheit (ISMS). Sie übersetzen die allgemeinen Schutzziele der Vertraulichkeit, Integrität und Verfügbarkeit in den spezifischen Kontext eines Unternehmens. Laut BSI-Standard 200-2 bilden sie die Basis, aus der später konkrete Sicherheitsanforderungen abgeleitet werden. Die Anforderung ISMS.1.A3 des IT-Grundschutz-Kompendiums (Edition 2023) fordert, dass die Leitungsebene Sicherheitsziele als Teil der Leitlinie zur Informationssicherheit verabschiedet.
Von den Geschäftszielen zu den Sicherheitszielen
Der erste Schritt, um Sicherheitsziele festzulegen, ist die Analyse Ihrer Geschäftsziele und -prozesse. Stellen Sie sich folgende Fragen:
- Welche Informationen, Prozesse und IT-Systeme sind für den Erfolg unseres Unternehmens unverzichtbar («Kronjuwelen»)?
- Welche Schäden (finanziell, rechtlich, Reputationsverlust) würden entstehen, wenn diese Werte nicht mehr verfügbar, verfälscht oder in falsche Hände geraten?
- Welche gesetzlichen, vertraglichen oder regulatorischen Anforderungen müssen wir erfüllen?
Die Antworten auf diese Fragen helfen Ihnen, den Stellenwert der Informationssicherheit für Ihr Unternehmen zu bestimmen. Sie bilden die Brücke zwischen den allgemeinen Geschäftszielen und den spezifischen Zielen für die Informationssicherheit. Dieser Prozess erfordert zunächst keine detaillierte technische Analyse, sondern eine strategische Betrachtung aus Unternehmenssicht.
Beispiele für Sicherheitsziele formulieren
Die Sicherheitsziele sollten kurz, verständlich und auf Ihr Unternehmen zugeschnitten sein. Sie orientieren sich an den grundlegenden Schutzzielen. Hier einige praxistaugliche Beispiele:
- Vertraulichkeit: Personenbezogene Daten von Kunden und Mitarbeitenden sowie interne Entwicklungsunterlagen sind wirksam vor unbefugtem Zugriff und Offenlegung geschützt.
- Integrität: Die Korrektheit und Vollständigkeit von Finanz- und Buchhaltungsdaten wird jederzeit gewährleistet, um Fehlentscheidungen und Betrug zu verhindern.
- Verfügbarkeit: Die für die Auftragsabwicklung kritischen IT-Systeme können nach einem schwerwiegenden Ausfall innerhalb von acht Arbeitsstunden wiederhergestellt werden.
- Compliance und Nachweisbarkeit: Die Einhaltung aller relevanten gesetzlichen (z. B. DSGVO, NIS-2) und vertraglichen Anforderungen an die Informationssicherheit wird sichergestellt und ist jederzeit nachweisbar.
Diese übergeordneten Ziele werden in der Leitlinie zur Informationssicherheit verankert und allen Mitarbeitenden bekannt gemacht. Sie dienen als strategische Vorgabe für alle weiteren Sicherheitsmaßnahmen.
Sicherheitsziele messbar machen
Um den Erfolg Ihrer Sicherheitsstrategie bewerten zu können, müssen die übergeordneten Ziele in messbare Kennzahlen (Key Performance Indicators, KPIs) übersetzt werden. Ein messbares Ziel enthält typischerweise folgende Elemente:
- Kennzahl: Was genau wird gemessen?
- Messmethode: Wie und wo werden die Daten erhoben?
- Zielwert: Welcher Schwellenwert soll erreicht oder unterschritten werden?
- Zeitraum: Bis wann oder in welchem Intervall wird gemessen?
- Verantwortlichkeit: Wer ist für die Erreichung des Ziels zuständig?
Beispiel 1: Ziel zur Verfügbarkeit
- Übergeordnetes Ziel: Kritische IT-Systeme sollen schnell wiederhergestellt werden.
- Messbares Ziel: Die Wiederanlaufzeit (RTO) für das ERP-System nach einem Totalausfall beträgt maximal 4 Stunden.
- Kennzahl: Zeit in Stunden vom Ausfall bis zur Wiederherstellung der Grundfunktionen.
- Messmethode: Zeitmessung bei jährlichen Notfallübungen und bei realen Vorfällen.
- Zielwert: ≤ 4 Stunden.
- Verantwortlich: IT-Leitung.
Beispiel 2: Ziel zur Vertraulichkeit
- Übergeordnetes Ziel: Kundendaten sind vor unbefugtem Zugriff geschützt.
- Messbares Ziel: Die Anzahl der Sicherheitsvorfälle mit bestätigtem unbefugtem Zugriff auf Kundendaten wird auf null reduziert.
- Kennzahl: Anzahl der Vorfälle pro Quartal.
- Messmethode: Auswertung des Ticketsystems für Sicherheitsvorfälle und der Protokolldaten der Zugriffskontrollsysteme.
- Zielwert: 0.
- Verantwortlich: Informationssicherheitsbeauftragter (ISB).
Überprüfung und kontinuierliche Verbesserung
Sicherheitsziele sind nicht statisch. Sie müssen regelmäßig, mindestens einmal jährlich, sowie bei wesentlichen Änderungen im Unternehmen (z. B. neue Geschäftsbereiche, neue IT-Systeme) überprüft werden. Die Ergebnisse der Zielmessung fließen in den kontinuierlichen Verbesserungsprozess (KVP) des ISMS ein. Werden Ziele verfehlt, müssen die Ursachen analysiert und die Maßnahmen angepasst werden. Diese regelmäßige Überprüfung stellt sicher, dass Ihre Sicherheitsstrategie wirksam bleibt und sich an die sich wandelnden Anforderungen anpasst.
Häufige Fragen
Wie viele Sicherheitsziele sollte ein Unternehmen haben?
Für den Einstieg genügen drei bis sechs übergeordnete Sicherheitsziele. Diese sollten die für Ihr Unternehmen wichtigsten Aspekte der Vertraulichkeit, Integrität und Verfügbarkeit abdecken.
Wer ist für die Festlegung der Sicherheitsziele verantwortlich?
Die oberste Leitungsebene (Geschäftsführung) trägt die Gesamtverantwortung. Sie sollte die Ziele in Zusammenarbeit mit dem Informationssicherheitsbeauftragten (ISB) und den Leitern der Fachabteilungen definieren und verabschieden.
Müssen Sicherheitsziele immer messbar sein?
Ja, denn nur messbare Ziele sind überprüfbar. Ohne Messbarkeit können Sie nicht objektiv feststellen, ob Ihre Sicherheitsmaßnahmen wirksam sind und ob Sie die angestrebte Verbesserung erreichen.
Wo werden die Sicherheitsziele dokumentiert?
Die übergeordneten Sicherheitsziele sind ein verpflichtender Bestandteil der Leitlinie zur Informationssicherheit. Detaillierte, messbare Ziele und die zugehörigen Kennzahlen werden typischerweise im übergeordneten IT-Sicherheitskonzept oder einem separaten Zieldokument festgehalten.