Was sind KRI und worin unterscheiden sie sich von KPI?
Key Risk Indicators (KRI) sind Metriken, die frühzeitig auf ein wachsendes Risiko hinweisen, bevor sich ein Vorfall ereignet. Im Gegensatz zu KPIs, die die Leistung messen, fokussieren sich KRIs auf potenzielle Bedrohungen. Im IT-Sicherheitskontext sind sie ein Frühwarnsystem, das proaktives statt reaktives Handeln ermöglicht.
Zentrale KRIs für die IT-Sicherheit
Die wichtigsten KRIs umfassen: Prozentsatz ungepatchter kritischer Systeme, durchschnittliche Zeit zur Schwachstellenbehebung (MTTR), Anzahl fehlgeschlagener Anmeldeversuche, Prozentsatz der Mitarbeiter ohne absolvierte Sicherheitsschulung, Anzahl der Vorfälle pro Monat im Zeitverlauf und Prozentsatz der Systeme ohne aktuelle Backups.
Festlegung von Schwellenwerten
Jeder KRI benötigt definierte Schwellenwerte: Grün (akzeptables Risiko), Gelb (erhöhte Aufmerksamkeit, Präventivmaßnahmen), Rot (inakzeptables Risiko, sofortiges Handeln). Die Schwellenwerte sollten auf historischen Daten, Branchenstandards (NIST, ISO 27001) und der Risikotoleranz der Organisation basieren.
Automatisierung der Messung
Manuelle KRI-Erfassung ist fehleranfällig und zeitaufwändig. Die Automatisierung umfasst: Integration mit Schwachstellenscannern (automatisch zählt ungepatchte Systeme), SIEM-Korrelation (fehlgeschlagene Anmeldungen, Anomalien), Konfigurationsmanagement (Compliance-Abweichungen) und HR-Systemintegration (Schulungsstatus).
KRI-Dashboard und Berichterstattung
Ein effektives KRI-Dashboard zeigt: Echtzeit-Status aller Indikatoren (Ampeldarstellung), Trendlinien (verbessert/verschlechtert sich das Risiko?), Drill-down zu den Details (welche Systeme sind betroffen?) und Empfehlungen (was tun, wenn der Schwellenwert überschritten wird?).
Implementierungsschritte
- Identifizieren Sie die 10–15 wichtigsten KRIs für Ihre Organisation
- Definieren Sie Schwellenwerte auf Basis historischer Daten
- Automatisieren Sie die Datenerfassung aus bestehenden Systemen
- Konfigurieren Sie Alerts und Eskalationsregeln
- Überprüfen Sie die KRIs und Schwellenwerte quartalsweise