Informationssicherheitsziele: Schutzziele und messbare Ziele nach ISO 27001

Informationssicherheitsziele sind auf zwei Ebenen zu verstehen. Die übergeordneten Schutzziele Vertraulichkeit, Integrität und Verfügbarkeit beschreiben, was Informationssicherheit grundsätzlich erreichen soll – sie gelten für jedes Unternehmen. Die konkreten Sicherheitsziele, die ein Unternehmen im Rahmen seines ISMS festlegt, übersetzen diese Schutzziele in messbare Vorgaben für einen Zeitraum: Patch-Quote, Schulungsabdeckung, Wiederanlaufzeit, Anzahl der Vorfälle. Die ISO/IEC 27001 verlangt beides – die Ausrichtung an den Schutzzielen und die Festlegung, Planung und Überprüfung eigener Ziele.

Die drei Schutzziele

Vertraulichkeit: Informationen sind nur für Berechtigte zugänglich – siehe Vertraulichkeit.
Integrität: Informationen sind richtig, vollständig und werden nicht unbemerkt verändert; das gilt auch für Systeme und Prozesse, die sie verarbeiten.
Verfügbarkeit: Informationen und Systeme stehen zur Verfügung, wenn Berechtigte sie brauchen.

Ergänzend werden oft Authentizität (Echtheit von Absender und Daten), Nichtabstreitbarkeit und Zurechenbarkeit genannt; im Datenschutz kommen Transparenz, Nichtverkettung und Intervenierbarkeit hinzu. Für jede Information und jedes System wird der Schutzbedarf je Schutzziel festgelegt – Grundlage der Risikobeurteilung und der Auswahl von Maßnahmen.

Sicherheitsziele nach ISO/IEC 27001, Abschnitt 6.2

Die Norm verlangt, Informationssicherheitsziele für relevante Funktionen und Ebenen festzulegen. Sie müssen mit der Leitlinie übereinstimmen, wo möglich messbar sein, geltende Anforderungen und die Ergebnisse der Risikobeurteilung berücksichtigen, überwacht, kommuniziert und bei Bedarf aktualisiert werden und als dokumentierte Information vorliegen. Für jedes Ziel ist zu planen, was getan wird, welche Ressourcen nötig sind, wer verantwortlich ist, bis wann es erreicht sein soll und wie das Ergebnis bewertet wird. Die Erreichung wird über Kennzahlen (siehe abgeleitete Messgröße) verfolgt und in der Managementbewertung bewertet.

Beispiele für messbare Informationssicherheitsziele

Kritische Sicherheitsupdates auf allen Servern und Clients innerhalb von 14 Tagen nach Veröffentlichung eingespielt – Zielwert 98 Prozent.
Alle Beschäftigten absolvieren jährlich die Sicherheitsschulung; Klickrate in Phishing-Simulationen unter 5 Prozent.
Wiederherstellung des ERP-Systems aus dem Backup innerhalb von vier Stunden, halbjährlich getestet.
Berechtigungen aller Konten jährlich rezertifiziert; Konten ausgeschiedener Beschäftigter am letzten Arbeitstag deaktiviert – Zielwert 100 Prozent.
Alle Dienstleister mit Zugriff auf vertrauliche Daten haben eine Sicherheitsvereinbarung; jährliche Bewertung der kritischen Dienstleister.
Sicherheitsvorfälle innerhalb von 24 Stunden bewertet, meldepflichtige Datenschutzvorfälle innerhalb von 72 Stunden gemeldet.

Gute Ziele leiten sich aus der Risikobeurteilung ab: Wo die größten Risiken liegen, sitzen die Ziele. Ziele, die ohne Risikobezug aus einer Vorlage übernommen werden, erkennt der Auditor daran, dass niemand sagen kann, warum sie gelten.

Häufige Fragen zu Informationssicherheitszielen

Was sind die drei Schutzziele der Informationssicherheit?

Vertraulichkeit – nur Berechtigte haben Zugriff –, Integrität – Informationen sind richtig und unverändert – und Verfügbarkeit – Informationen und Systeme stehen bereit, wenn sie gebraucht werden. Sie werden oft als CIA-Triade bezeichnet (Confidentiality, Integrity, Availability) und um Authentizität und Nichtabstreitbarkeit ergänzt.

Müssen Informationssicherheitsziele messbar sein?

Die ISO 27001 verlangt Messbarkeit, wo sie praktikabel ist, sowie Überwachung und Bewertung der Zielerreichung. In der Praxis sollte jedes Ziel eine Kennzahl mit Zielwert und Termin haben, etwa eine Patch-Quote, eine Schulungsabdeckung oder eine Wiederherstellungszeit. Rein qualitative Ziele wie „Sicherheit erhöhen“ genügen nicht.