Das GQMS-Vorgehensmodell für das Messen der Wirksamkeit von Informationssicherheitsmanagementsystemen

Der Sinn eines Managementsystems besteht darin, Abläufe systematisch und gleichbleibend verlässlich zu gestalten. Es sollen Verbesserungspotentiale erschlossen werden, um Verbesserungen vorzunehmen und nachweisbar zu erreichen. Viele Organisationen betreiben mittlerweile Managementsysteme. In Europa haben ca. 8.000 Unternehmen ein zertifiziertes Informationssicherheitsmanagementsystem in Betrieb. Viele Unternehmen haben das Problem, die Effektivität des Systems plausibel und nachvollziehbar bewerten zu können. In dieser Ausarbeitung wird ein Vorgehensmodell präsentiert, das mit der gebotenen Einfachheit und der notwendigen Fundierung ein stringentes Verfahren zur Bewertung der Wirksamkeit des Managementsystems und der Informationssicherheitsleistung bietet. Wesentliche Erfolgsfaktoren bei der Konzeptionierung des Verfahrens waren die Prozessorientierung, der Goal-Question-Metric-Ansatz und die konsequente Ausrichtung an der Norm ISO/IEC 27001.