Informationssicherheitsziele halten fest, was Ihre Organisation bis wann erreichen will, wer dafür verantwortlich ist und woran Sie den Fortschritt messen (ISO/IEC 27001, Kapitel 6.2). Dieser Artikel erklärt, wie Sie in Varmo Ziele festlegen, Messwerte erfassen und Ziele auswerten. Er richtet sich an ISMS-Verantwortliche und an Personen, die für ein Ziel verantwortlich sind.

Bevor Sie beginnen

  • Sie finden die Ziele unter ISMS-Steuerung › Ziele.
  • Ziele festlegen, ändern und auswerten dürfen Personen mit dem Recht „Ziele: Verwalten“, standardmässig die ISMS-Verantwortlichen. Lesen dürfen standardmässig auch die Oberste Leitung und „Revision & Audit (nur lesen)“.
  • Wer für ein Ziel verantwortlich ist, sieht es auch ohne dieses Recht unter Meine Ziele, erfasst Messwerte und wertet es aus.
  • Ziele sind in allen Paketen enthalten.

Ziel festlegen

  1. Öffnen Sie Ziele und klicken Sie auf Ziel festlegen.
  2. Benennen Sie das Ziel, zum Beispiel „Sensibilisierung aller Mitarbeitenden“. Unter Warum? Bezug zur Politik halten Sie fest, welches Anliegen der Informationssicherheitspolitik oder welches Risiko das Ziel adressiert. Optional verknüpfen Sie eine Richtlinie.
  3. Legen Sie die Messung fest: Kennzahl (z. B. „Schulungsquote“), Ausgangswert, Zielwert, Einheit, ob Höher ist besser oder Tiefer ist besser gilt, den Rhythmus unter Messung (monatlich, quartalsweise, halbjährlich oder jährlich) und Erste Messung bis.
  4. Wählen Sie, wer Verantwortlich ist, und den Termin Erreichen bis.
  5. Beschreiben Sie die Planung (ISO/IEC 27001, 6.2): Was wird getan?, Ressourcen und Wie wird ausgewertet?.
  6. Klicken Sie auf Speichern.

Konkrete Massnahmen ordnen Sie danach auf der Seite des Ziels unter Massnahmen zum Ziel zu. Umgekehrt können Sie auch auf einer Massnahme im Abschnitt „Ziele“ festhalten, zu welchem Ziel sie beiträgt, siehe Massnahmen umsetzen und nachweisen.

Messwerte erfassen

  1. Öffnen Sie das Ziel und klicken Sie auf Messwert erfassen.
  2. Geben Sie den Wert, Gemessen am und optional eine Bemerkung ein, etwa die Quelle der Zahl.
  3. Speichern Sie. Varmo setzt den nächsten Messtermin nach dem Rhythmus.

Die Seite des Ziels zeigt alle Messwerte und den Fortschritt zum Zielwert.

Ziel auswerten

Am Termin werten Sie das Ziel aus:

  1. Klicken Sie auf Ziel auswerten.
  2. Wählen Sie das Ergebnis: Erreicht, Nicht erreicht oder Aufgegeben (nicht mehr relevant).
  3. Begründen Sie die Auswertung, zum Beispiel „97 % erreicht; Pflichtschulung ist etabliert.“ Die Begründung ist Pflicht.

Was danach passiert

  • Die verantwortliche Person erhält die Pendenz Massnahmen zum Ziel festlegen, solange dem Ziel keine Massnahme zugeordnet ist.
  • 7 Tage vor jedem Messtermin erhält sie die Pendenz Messwert erfassen, danach Messung überfällig. Am Termin folgt Ziel auswerten.
  • Fehlt die verantwortliche Person, erhalten Personen mit dem Recht, Ziele zu verwalten, die Pendenz Verantwortliche Person festlegen.
  • Messwerte und Ergebnisse fliessen in die nächste Managementbewertung ein, siehe Managementbewertung vorbereiten und durchführen.

Häufige Fragen

Wie viele Ziele brauche ich?

Die Norm nennt keine Anzahl. Wichtig ist, dass die Ziele zur Informationssicherheitspolitik passen, messbar sind und überwacht werden. Für den Anfang genügen oft wenige Ziele, etwa zu Schulung, Vorfällen und offenen Schwachstellen.

Kann ich ein Ziel nach der Auswertung ändern?

Nein. Legen Sie für die nächste Periode ein neues Ziel fest.

Wer erfasst die Messwerte?

Die verantwortliche Person oder Personen mit dem Recht, Ziele zu verwalten.