Security-Ratings Sicherheit als als Einkaufsbedingung

Sicherheitskriterien spielen bei der Auswahl von IT-Lösungen eine große Rolle. Doch wie kann man die IT-Sicherheit bei einem Angebot bewerten? Professionelle und transparente Security-Ratings mit ihren Kennzahlen können bei der Lösungssuche und Anbieterauswahl helfen. So können Unternehmen schon vor der Angebotsphase die für sie optimal passende Shortlist erstellen.

Anbieter zum Thema

SEPPmail - Deutschland GmbH

FTAPI Software GmbH

Outpost24 GmbH

Kommt es zu einem IT-Sicherheitsvorfall, drohen bekanntlich immense finanzielle Schäden: Laut Bitkom entsteht der deutschen Wirtschaft jährlich ein Schaden von 55 Milliarden Euro. Zu diesem Schaden tragen Imageverlust und abwandernde Kunden wesentlich bei.

Der Grund für den Umsatzverlust nach einer Datenpanne liegt auf der Hand: Den Kunden sind Sicherheit und Datenschutz wichtig, wie zum Beispiel die aktuelle Bitkom-Umfrage zu Smart Home wieder zeigte. Der Wunsch nach Transparenz in Sicherheitsfragen ist mehr als berechtigt. Doch wie erfährt man als Anwender, ob die IT-Lösung der Wahl auch sicher ist? Formale Sicherheits- und Datenschutz-Zertifizierungen sind eine mögliche Antwort. Doch auch die sogenannten Security-Ratings können hilfreich sein.

Security-Transparenz: Gut für Anwender und Anbieter

Security-Ratings, also Übersichten und Bewertungen zu der IT-Sicherheit verschiedener Lösungen, nutzen Anwender und Anbieter. Anwenderunternehmen brauchen die Security-Transparenz bei der Lösungssuche, um Compliance-Vorgaben und vertragliche Pflichten einhalten zu können: Ist die eingesetzte Software oder Hardware unsicher, kann es zu einem IT-Sicherheitsvorfall im eigenen Unternehmen kommen, mit den bekannten negativen Konsequenzen für Unternehmensimage und Umsatzentwicklung.

Als Anbieter ist die Transparenz in Sachen Security ebenfalls ein großer Vorteil: Sicherheit von Grund auf (Security by Design) erhöht die Reputation des Anbieters und senkt langfristig die Produktionskosten, wie der Verband der Internetwirtschaft eco unterstreicht. Die Reputation profitiert dabei besonders, wenn die gute IT-Sicherheit einer Lösung auch weithin sichtbar wird, zum Beispiel über Security-Ratings.

Security-Ratings brauchen selbst Transparenz

Doch Zertifikat ist nicht gleich Zertifikat und Rating nicht gleich Rating. Für Datenschutz-Zertifikate zum Beispiel sieht die Datenschutz-Grundverordnung (DSGVO) vor: Die Zertifizierung muss über ein transparentes Verfahren zugänglich sein. Es hilft somit wenig, wenn ein Zertifikat oder aber ein Rating eine IT-Lösung einstuft, aber die Kriterien und Bedingungen nicht nachvollziehbar sind.

Aus dem Consumer-Bereich ist bekannt, dass so manche Bewertung auf Online-Marktplätzen nicht seriös zustande gekommen ist, sprich gekauft wurde. Professionelle Security-Ratings zu IT-Lösungen müssen einen solchen Verdacht unbedingt vermeiden. Deshalb sollten nicht nur gesetzlich oder behördlich geregelte Zertifizierungen, sondern sämtliche Ratings und Zertifikate transparent sein. Nur dann können sie selbst für Transparenz sorgen.

Security-Ratings für Organisationen, Cloud-Services, Apps

Security muss als zentrale Einkaufsbedingung in jedem Unternehmen verstanden werden. Damit der Einkauf jeweils weiß, wie es um die IT-Sicherheit eines Anbieters oder einer speziellen IT-Lösung bestellt ist, können Ratings helfen, wie diese Beispiele zeigen:

BitSight Technologies betreibt die BitSight Security Rating Platform, die unter anderem sicherheitsrelevante Daten aus verschiedenen Quellen über Organisationen sammelt, auswertet und zu einem Rating zusammenfasst. Dabei spielen Informationen über Security Events, Daten aus Social Media und News Feeds über die jeweilige Organisation eine Rolle, um einige der Datenquellen zu nennen. Ein weiteres, bekanntes Beispiel für solche Security Ratings von Organisationen ist SecurityScorecard.

Im Bereich der IT-Sicherheitslösungen gehört AV-Test zu den bekannten Anbietern von Testergebnissen, die auch Ratings darstellen. Die Testverfahren beschreibt das Testinstitut auf seiner Webseite. Eine weitere international renommierte Quelle für Testergebnisse sind die NSS Labs.

Im Cloud-Bereich liefern meistens die Cloud Access Security Broker (CASB) Ratings zu der Security von Cloud-Apps und Cloud-Services. Ein Beispiel ist hier Netskope Cloud Confidence Audit. Auch zu einzelnen Sicherheitsfunktionen wie der Verschlüsselung bei Websites gibt es Ratings, wie den Qualys SSL Server Test.

Appvisory, ein Service auf der mediaTest digital Application Security Management Platform, liefert Ratings zu Apps (App Security Score).

Fazit: Security-Ratings können Einkäufern, Nutzern und Anbieter helfen

Professionelle und nachvollziehbare Security-Ratings helfen bei der Lösungssuche, bei der Anbieterauswahl, aber auch im Marketing, wenn Anbieter die Ergebnisse nutzen (dürfen). Sie sind nicht als Ersatz für Zertifikate zu sehen, sondern ermöglichen oftmals den Vergleich von Anbietern und Lösungen auf Basis von Kennzahlen.

Damit wird es auch einmal möglich werden, bestimmte Security-Ratings in Verträgen als Minimum zu definieren, wie es bei anderen SLAs (Service Level Agreements) bereits der Fall ist. Gerade im Bereich der Cyber-Versicherungen ist dies ein spannender Ansatz.

(ID:44930398)