ISMS kontinuierliche Verbesserung: Wirksamkeit messen und erhöhen

Aus Erkenntnissen wirksame Verbesserungen ableiten

Kontinuierliche Verbesserung im ISMS beginnt mit der Frage, warum eine Abweichung oder ein Sicherheitsproblem entstanden ist. Ein Vorfall, eine Auditfeststellung oder eine auffällige Kennzahl liefert einen Anlass. Entscheidend ist, daraus eine passende Änderung abzuleiten und deren Wirkung zu prüfen.

Eine sofortige Korrektur beseitigt den konkreten Fehler. Eine weitergehende Maßnahme soll verhindern, dass derselbe Fehler erneut entsteht. Beides kann notwendig sein und sollte im Bearbeitungsstand unterschieden werden.

Ursachen und Folgen nachvollziehbar untersuchen

Beispiel: Ein ausgeschiedenes Teammitglied besitzt weiterhin einen Zugang. Die Sperrung korrigiert den einzelnen Fall. Die Untersuchung zeigt anschließend, dass externe Projektkonten im Austrittsprozess nicht berücksichtigt werden. Erst die Anpassung dieses Prozesses behandelt die wiederkehrende Ursache.

Für die Bearbeitung werden festgehalten:

• beobachtete Abweichung und mögliche Auswirkungen;
• unmittelbare Korrektur;
• untersuchte Ursache und weitere betroffene Bereiche;
• beschlossene Änderung mit Verantwortlichem;
• spätere Prüfung anhand geeigneter Fälle.

Kennzahlen als Entscheidungshilfe verwenden

Eine Kennzahl sollte eine konkrete Frage beantworten. Der Anteil fristgerecht geprüfter privilegierter Konten kann zum Beispiel zeigen, ob ein Kontrollprozess zuverlässig arbeitet. Steigt nur die Zahl dokumentierter Prüfungen, ist ohne Bezugsgröße noch keine Verbesserung belegt.

Ziele, Datenquelle und Auswertung werden deshalb gemeinsam festgelegt. Veränderungen in der Erfassung müssen bei Vergleichen berücksichtigt werden.

Verbesserungen in den Regelbetrieb zurückführen

Nach der Umsetzung wird geprüft, ob die neue Vorgehensweise funktioniert und ob sie unerwünschte Nebenwirkungen verursacht. Das Ergebnis fließt in Regeln, Schulungen oder Arbeitsmittel ein. Größere Ressourcenfragen werden der Leitung zur Entscheidung vorgelegt.

Der im Informationssicherheitsmanagement verwendete Verbesserungszyklus verbindet damit Planung, Anwendung, Prüfung und Anpassung. Eine regelmäßig erneuerte Aufgabenliste allein schließt diesen Kreislauf noch nicht.

Einen Verbesserungszyklus vollständig durchlaufen

Praktisches Beispiel: In mehreren Austrittsfällen wurden Kundenkonten erst verspätet entfernt. Als Sofortmaßnahme werden die betroffenen Rechte geprüft. Für eine dauerhafte Verbesserung wird zusätzlich untersucht, warum diese Konten nicht im bisherigen Ablauf auftauchten.

Mögliche Schritte sind:

1. Die Ursache mit Personalbereich, Serviceverantwortlichen und IT-Betrieb klären.
2. Den Austrittsprozess um die Erfassung externer Kundenkonten ergänzen und Zuständigkeiten festlegen.
3. Die Änderung anwenden und den Beteiligten erläutern.
4. Bei späteren Austritten prüfen, ob die Konten nun vollständig und rechtzeitig bearbeitet werden.
5. Bei verbleibenden Lücken Ablauf, Informationen oder Kontrollen nachbessern.

Eine passende Kennzahl könnte den Anteil vollständig bearbeiteter Austrittsfälle in einer festgelegten Stichprobe zeigen. Dafür müssen Umfang, Prüfkriterium und Zeitraum nachvollziehbar sein. Die Zahl allein erklärt noch keine Ursache. Die kontinuierliche Verbesserung im ISMS verbindet daher Messung und Prüfung mit einer konkreten Änderung und ihrer erneuten Bewertung.

Geplante Änderungen werden über den Maßnahmenplan mit Wirksamkeitsprüfung verfolgt. Die Managementbewertung des ISMS behandelt übergreifende Entwicklungen und Entscheidungen, die das Team nicht selbst treffen kann.

Quellen und fachliche Grundlagen

• BSI-Standard 200-1 – Managementsysteme für Informationssicherheit – Bundesamt für Sicherheit in der Informationstechnik
• ISO/IEC 27001:2022 – Informationssicherheitsmanagement – ISO