Sicherheit nach der „Improvement Kata“-Methode messen

Wir setzen seit einiger Zeit Verbesserungs-Katas ein, um unsere Prozesse zu optimieren. Wir haben dazu einen ausführlichen Blogbeitrag verfasst, doch im Wesentlichen geht es darum, dass Sie einen Prozess verbessern, indem Sie kleine, gezielte Änderungen vornehmen und messen, ob Sie Ihrem Ziel näher gekommen sind. Das Messen ist in diesem Prozess unerlässlich; wenn Sie nicht messen, wissen Sie nicht, ob es etwas zu verbessern gibt oder ob Ihre Änderungen wirksam waren. Glücklicherweise ist es relativ einfach, herauszufinden, was gemessen werden soll … in der Regel.

Warum Sicherheit?

Richten wir unseren Fokus nun auf die Sicherheit. Sicherheit ist wichtig. Das wissen wir alle. Wir möchten nicht, dass Ihr Name und Ihre Adresse im Internet verbreitet werden, und wir möchten nicht, dass Sie Ihre Prüfungsergebnisse verlieren. Mehr Sicherheit ist besser. Doch mehr Sicherheitsmaßnahmen bedeuten nicht zwangsläufig mehr Sicherheit. Wenn wir alles, was schiefgehen könnte, mit einem Alarm versehen und jede Bewegung in unseren Systemen überwachen würden, würden wir in ablenkenden Benachrichtigungen versinken. Wir hätten keine Zeit mehr, an irgendetwas anderem zu arbeiten. Deshalb müssen wir entscheiden, was wir tun. Wir müssen Sicherheit messen, wenn wir unsere Sicherheitsprozesse verbessern wollen. Doch wie misst man Sicherheit?

Möglichkeiten zur Messung von Sicherheit

Sicherheit lässt sich nicht ganz einfach messen, insbesondere nicht innerhalb eines kurzen Zeitraums. Bei manchen Prozessen könnten Sie die Zeit messen, die ein Nutzer benötigt, um eine bestimmte Aufgabe auf einer Webseite auszuführen, oder Sie könnten die Anzahl der Fragen zu einem bestimmten Thema erfassen. Anschließend können Sie Änderungen vornehmen und erneut messen, um zu sehen, wie sich die Zahlen verändert haben. Bei Sicherheitsprozessen ist der Durchlauf durch den Prozess jedoch einfach nicht groß genug. So lassen sich beispielsweise aus der Anzahl der Datenpannen keine aussagekräftigen Messwerte ableiten. Wir können uns nicht von 0 verbessern, und das Fehlen von Datenpannen bedeutet nicht, dass keine Möglichkeit für Datenpannen besteht – was wiederum eines der Dinge ist, die uns interessieren. Daher müssen wir uns andere Wege überlegen.

Zählung von Sicherheitsvorfällen

Seien wir ehrlich: Es gibt kein digitales System ohne Sicherheitsprobleme. Dies gilt insbesondere für ein System, das sich ständig verändert. Wenn solche Probleme entdeckt werden, sollten sie gemeldet werden. Dazu gehören alle Meldungen über Sicherheitsprobleme in einem System – von Daten, die sich an einer Stelle befinden, an der sie nicht sein sollten, bis hin zu jemandem, der seinen Schlüssel zum Büro verloren hat. Eine Möglichkeit zur Messung besteht darin, diese Sicherheitsprobleme zu zählen.

Diese Kennzahl kann sehr nützlich sein, aber auch sehr irreführend. Weniger gemeldete Probleme bedeuten nicht unbedingt weniger tatsächliche Probleme, sondern lediglich, dass Sie weniger davon aufspüren können. Es ist wie bei einer Schatzsuche: Wenn Sie nicht im Sand graben, werden Sie nichts Interessantes finden, aber Sie können nicht behaupten, dass es keinen Schatz gibt. In gewisser Weise bedeutet eine steigende Anzahl von Sicherheitsberichten, dass wir einen besseren Überblick über unseren Sicherheitsstatus erhalten. Dies kann ein wichtiges Ziel sein, ist jedoch nicht der richtige Weg, um Sicherheit zu messen.

Einhaltung von Gesetzen und Vorschriften

Anstelle von Messungen wird Sicherheit oft anhand spezifischer Standards bewertet. In der EU ist dies in der Regel die DSGVO, das strengste Datenschutzgesetz der Welt. Sie legt Regeln für den Umgang mit verschiedenen Arten von Daten fest. Dies sorgt für ein Mindestmaß an Sicherheit und Rechenschaftspflicht, insbesondere im Hinblick auf den Missbrauch und die missbräuchliche Verwendung von Daten.

Das ist natürlich wichtig. Wenn Sie Probleme im Zusammenhang mit der DSGVO haben, müssen diese gelöst werden. Nicht nur aus rechtlichen Gründen, sondern auch, weil uns die Sicherheit unserer Kunden am Herzen liegt. Wir sind DSGVO-konform und werden dies auch bleiben. Andererseits handelt es sich hierbei um eine Mindestanforderung, über die hinaus noch viel Spielraum und Möglichkeiten für Sicherheitsprobleme bestehen.

Risikobewertungen

Vor einiger Zeit haben wir begonnen, uns mit der Norm ISO 27001 zu befassen. Die Norm beschreibt eine Vorgehensweise im Rahmen eines Informationssicherheits-Managementsystems (ISMS) zur Überwachung und Behandlung von Informationssicherheit. Daher haben wir mit der Umsetzung dieses ISMS begonnen, da es uns einen besseren Rahmen bietet, um zu beurteilen, wie wir in puncto Sicherheit abschneiden.

Als Teil des ISMS haben wir damit begonnen, Sicherheitsrisikobewertungen durchzuführen. In einer Sitzung zur Risikobewertung besprechen wir eine umfangreiche Liste möglicher Sicherheitsrisiken mit einer Gruppe von Mitarbeitern aus verschiedenen Abteilungen: einem Softwareentwickler, dem CTO und dem Datenschutzbeauftragten. Für jedes Risiko bewerten wir die Eintrittswahrscheinlichkeit sowie die Auswirkungen, die im Falle eines Eintritts entstehen würden. So erhalten wir eine Liste verschiedener möglicher Probleme, die verhindert oder gemindert werden müssen, sortiert nach ihrem Expositionsgrad – einer Kombination aus Eintrittswahrscheinlichkeit und Auswirkungen.

Dies mag stark dem Zählen von Sicherheitsproblemen ähneln, weist jedoch einige interessante Unterschiede auf:

1. Sie verfügen über eine Expositionsbewertung, die uns dabei hilft, zu entscheiden, welche Risiken wir mit der größten Wirkung angehen sollten;

2. Die nächste Risikobewertung enthält dieselbe Liste von Risiken, was bedeutet, dass wir den Fortschritt hinsichtlich der Risikoexposition vergleichen können, anstatt die Anzahl der Risiken zu betrachten.

Dies erleichtert die Auswertung der Risikobewertungen erheblich. Wir verfügen nun über einen strukturierten Ansatz zur Beurteilung der Sicherheit von Easy LMS. Wir ergänzen die Risikobewertung mit den Erkenntnissen aus Sicherheitsmeldeberichten und unseren täglichen Beobachtungen und verbessern das System dann Schritt für Schritt.

Zertifizierung

Die Messung anhand der Risikobewertung birgt ein Problem: Sie ist möglicherweise nicht gänzlich objektiv. Wir können nur berichten, was wir beobachten, und die Risiken auf der Grundlage unserer eigenen Erfahrungen und Einschätzungen zu diesem Thema bewerten. Dadurch entsteht im Grunde eine Blase aus dem, was wir wissen und woran wir arbeiten – sie zeigt uns jedoch nicht, was sich außerhalb dieser Blase befindet.

Daher haben wir uns entschlossen, den ISO 27001-Standard in seiner Gesamtheit weiter zu verfolgen, der auch einen Prozess zur Zertifizierung beschreibt. Eine externe Stelle wird unsere Umsetzung der Sicherheitsmaßnahmen und des ISMS bewerten; im Grunde handelt es sich um eine Überprüfung, ob andere der Ansicht sind, dass wir dort stehen, wo wir glauben zu stehen.

Wir arbeiten also intensiv daran, uns auf diesen Zertifizierungsprozess vorzubereiten, und hoffen, uns irgendwann im Jahr 2023 als ISO 27001-zertifiziert bezeichnen zu können!

Wie wir Sicherheitsmaßnahmen nachhaltig umsetzen

Nun verfügen wir über einen Prozess zur Verbesserung unserer Sicherheit. Wir haben die Bereiche ausgewählt, in denen Verbesserungsbedarf besteht, und mit der Umsetzung in unserem Unternehmen begonnen. Allerdings sind wir noch nicht ganz am Ziel. Wir müssen auch sicherstellen, dass die Umsetzung erfolgreich verläuft.

Die Sache ist die: Jeder weiß, dass Sicherheit wichtig ist, aber die Menschen beschäftigen sich nicht gerne damit. Es kann schnell so werden wie bei der Steuer: Man muss es erledigen, aber es ist eine lästige Pflicht. Wie stellen wir sicher, dass dies nicht zum Problem wird?

Hindernisse beseitigen

Der Hauptgrund, warum Sicherheitsmaßnahmen möglicherweise nicht funktionieren, ist, dass die Mitarbeiter sie umgehen. Dieses Problem liegt bei der Maßnahme selbst, nicht bei den Mitarbeitern. Das bedeutet, dass das Finden von Umgehungsmöglichkeiten einfach bequemer ist, als sich tatsächlich an die Regeln und Prozesse zu halten. Der Prozess weist zu viele Hindernisse auf, und es liegt in unserer Natur, den Weg des geringsten Widerstands zu wählen. Dies kann katastrophale Folgen haben.

Ein extremes Beispiel wäre die Katastrophe von Bhopal im Jahr 1984, bei der mehrere Sicherheitsmaßnahmen vernachlässigt wurden. Eine Stadt wurde mit giftigem Gas überschwemmt, wodurch Tausende Menschen ums Leben kamen und mehr als eine halbe Million Menschen verletzt wurden. Natürlich hätten Sicherheitsvorfälle bei Easy LMS nicht diese extremen Auswirkungen, doch dies zeigt, wie leicht Sicherheitsmaßnahmen trotz möglicher Folgen umgangen werden können.

Am besten ist es, die Einhaltung von Sicherheitsverfahren so einfach wie möglich zu gestalten. Genauer gesagt: Versuchen Sie, die Einhaltung einfacher zu machen als die Umgehung der Maßnahmen. Es kann einige zusätzliche Schritte geben, die aus Sicherheitsgründen erforderlich sind, jedoch sollten es nicht zu viele sein. Es sollte keine zusätzlichen Wartezeiten geben. Sicherheitsverfahren sollten Ihre Mitarbeiter nicht daran hindern, ihre Arbeit zu erledigen; sie sollten ihnen vielmehr zeigen, wie sie diese sicherer ausführen können.

Sicherheitsverfahren sollten Ihre Mitarbeiter nicht daran hindern, ihre Arbeit zu erledigen; sie sollten ihnen vielmehr zeigen, wie sie diese sicherer ausführen können.

Nehmen wir das Beispiel der Meldung eines Sicherheitsproblems. Angenommen, dies muss über ein benutzerdefiniertes Meldeverfahren erfolgen, bei dem viele Einzelheiten gesucht und eingegeben werden müssen, von denen die meisten ohnehin nicht verwendet werden, was den Mitarbeiter 15 Minuten seiner Zeit kostet. Das mag anfangs noch genutzt werden, ist aber auf Dauer nicht tragbar. Es ist einfacher, es später zu erledigen und dann zu vergessen. Nehmen wir nun ein anderes System, bei dem ein Mitarbeiter eine einfache Nachricht über Slack mit einer kurzen Beschreibung des Problems senden kann, woraufhin sich jemand darum kümmert. Der Mitarbeiter muss zwar noch einige Schritte durchführen, doch dies ist sehr einfach und mit geringem Aufwand verbunden. Vielleicht noch wichtiger ist, dass der Mitarbeiter nicht mehr für die Behebung des Problems verantwortlich ist. Er sendet die Nachricht und kann seinen Arbeitstag fortsetzen, was wesentlich einfacher ist, als sich mit den unvermeidlichen Folgen eines Sicherheitsvorfalls auseinanderzusetzen. Anstatt also die Mitarbeiter zu zwingen, ineffizient zu arbeiten, und ihnen anschließend Fehler vorzuwerfen, sollten Sie untersuchen, was daran ineffizient ist, und es dann verbessern, damit es einfacher wird.

Natürlich gibt es Maßnahmen, die ergriffen werden müssen, um die Sicherheit zu erhöhen, doch Hindernisse, die Ihren Mitarbeitern im Weg stehen, erschweren deren Arbeit unnötig. Viele dieser Hindernisse lassen sich durch Automatisierung oder die einfache Delegation von Aufgaben beseitigen.

Sicherheit für Menschen

Wir haben bereits im Zusammenhang mit Fehlern über die Sicherheit der Menschen gesprochen . Dies lässt sich auch auf die Sicherheit im weiteren Sinne übertragen. Menschen müssen in der Lage sein, über Sicherheit zu sprechen, Sicherheitsprobleme anzusprechen und das Verhalten anderer zu korrigieren, ohne dass dies negative Konsequenzen nach sich zieht. Wenn Mitarbeiter das Gefühl haben, nicht über Sicherheit sprechen zu können, oder nicht wissen, wo sie dies tun sollen, werden Sicherheitsmaßnahmen für sie zu einem Hindernis. Alle Mitarbeiter verfügen über ihr eigenes Fachwissen und ihre eigene Erfahrung in ihrem Bereich, sodass sie wissen, womit sie arbeiten.

Die Menschen müssen in der Lage sein, über Sicherheit zu sprechen, Sicherheitsprobleme anzusprechen und das Verhalten anderer zu korrigieren, ohne dass dies negative Folgen nach sich zieht.

Sie können helfen, indem sie Maßnahmen für bestimmte Sicherheitsprobleme vorschlagen, Feedback zu bereits umgesetzten Maßnahmen geben und Sie über Hindernisse informieren, auf die sie stoßen. Als wir also hörten, dass jemand seine Schlüssel verloren hatte oder dass der Papierkram rund um die Vorbereitung eines Kundengesprächs zu aufwendig war, reagierten wir weder verärgert noch abweisend. Wir waren froh, dass sie mit diesen Informationen zu uns gekommen sind. Wenn Sie dieses Feedback nicht als wertvoll ansehen oder nichts damit anfangen, verlieren Sie das Interesse Ihrer Mitarbeiter an sicherem Arbeiten.

Stetige Verbesserung

Wir haben bereits über die Verbesserung unserer Informationssicherheit gesprochen, doch es ist ebenso wichtig, die Sicherheitsprozesse für unsere Mitarbeiter kontinuierlich zu verbessern. Wenn Sie Ihren Mitarbeitern nicht aktiv zuhören und nicht ändern, was nicht funktioniert, werden die Sicherheitsmaßnahmen irgendwann ihre Wirkung verlieren. Die Mitarbeiter werden sich, genau wie das Unternehmen selbst, ständig weiterentwickeln. Easy LMS wird sich weiterentwickeln, ebenso wie unsere Sicherheitsverfahren – nicht nur, um sie zu verbessern, sondern auch, um sie einfacher zu gestalten.