Abgeleitete Messgröße (Kennzahlen im ISMS, ISO/IEC 27004)

Eine abgeleitete Messgröße ist ein Wert, der nicht direkt gezählt oder gemessen, sondern aus zwei oder mehr Basismessgrößen berechnet wird. Basismessgrößen sind zum Beispiel die Zahl der Beschäftigten und die Zahl derer, die die Sicherheitsschulung absolviert haben; die abgeleitete Messgröße ist die Schulungsquote in Prozent. Wird sie einem Zielwert gegenübergestellt und bewertet, entsteht daraus ein Indikator, also eine Kennzahl mit Aussage. Die Begriffe stammen aus dem Messmodell der Software- und Systemtechnik und wurden in die erste Ausgabe des Leitfadens ISO/IEC 27004 zur Messung der Informationssicherheit übernommen.

Praktisch wichtig ist das für die ISO/IEC 27001: Abschnitt 9.1 verlangt festzulegen, was überwacht und gemessen wird, mit welchen Methoden, wann und durch wen, damit die Wirksamkeit des ISMS beurteilt werden kann. Typische abgeleitete Messgrößen sind der Anteil fristgerecht eingespielter Sicherheitsupdates, die Klickrate bei Phishing-Tests oder die mittlere Zeit bis zur Behebung eines Sicherheitsvorfalls – jeweils gemessen an den Informationssicherheitszielen.

Welche Kennzahlen für Ihr ISMS sinnvoll sind und wie sie in Managementbewertung und interne Audits einfließen, erarbeiten wir mit Ihnen im Rahmen unserer Beratung zu Informationssicherheit nach ISO 27001.