Sicherheitskonzepte in der Krise So holen CISOs mehr aus ihren Security-Budgets heraus

Bislang stiegen die Security-Budgets von Jahr zu Jahr stetig weiter an. Das scheint in unsicheren wirtschaftlichen Zeiten nicht mehr zu gelten. Jetzt müssen die CISOs jeden Cent drei Mal umdrehen, um vielleicht sogar mit weniger mehr zu erreichen. Auf was müssen CISOs ihr Augenmerk dabei richten?

Anbieter zum Thema

Arvato Systems

Rapid7 Germany

Keeper Security EMEA Ltd.

Einem großen Teil des deutschen Mittelstands sind die Bedrohungen durch Hacker-Angriffe noch immer nicht vollständig bewusst. Zu diesem Ergebnis kam die Studie „Cyber Security im Mittelstand“ von Deloitte.

Gerade für Mittelständler können solche Angriffe besonders schnell existenzbedrohend werden. Insgesamt 42 Prozent der Befragten gaben an, dass das Thema IT-Security für sie nur eine mittlere bis sehr niedrige Priorität besitzt.

Dem gegenüber stiegen die Cyber-Kriminalität im Zusammenhang mit COVID-19 und die daraus entstandenen Schäden weltweit stark an. Budgetkürzungen werden das Dilemma nicht verbessern. An welchen Stellen können CISOs ansetzen, um die Performance zu optimieren?

Automatisierung erhöhen

Für die Beschleunigung von Prozessen und die Verbesserung der Effizienz sollten sich IT-Abteilungen der robotergestützten Prozessautomatisierung (RPA) zuwenden. Denn dadurch wird es den Mitarbeitern in der Regel erspart, sich mit ständig wiederholenden Aufgaben zu beschäftigen, während gleichzeitig das Personal ihren Fokus auf höherwertige Aufgaben verlagern könnte.

Die Automatisierung von Teilen des Identitäts- und Zugriffsmanagements (IAM), bei dem in der Regel intensive manuelle Aufgaben anfallen, liefern besonders gute Ergebnisse, ebenso wie die Automatisierung der Reaktionen auf manche Vorfälle. Ein Nebeneffekt: Die Automatisierung trägt dazu bei, einige der Herausforderungen bei der Suche nach qualifizierten Security-Experten zu erleichtern, was zu weiteren finanziellen Einsparungen führen kann.

Risiken überprüfen und sich neu ausrichten

Es ist angezeigt, die größten Risiken, denen Unternehmen ausgesetzt sind, zu identifizieren und regelmäßig neu zu bewerten als auch die Investitionen für die IT-Security auf diese Risiken neu auszurichten. Das heißt, die Unternehmen müssen sich auf ihre Hauptrisiken fokussieren und ihre Budgets darauf konzentrieren, weil es in diesem Bereich den größten Nutzen bringt.

Neuverhandlung mit Anbietern

Angesichts der sich abschwächenden Konjunktur könnten die CISOs die verwendeten Security-Produkte neu bewerten und bestimmen, welche davon am wichtigsten sind, welche den besten Nutzen bieten und welche es tatsächlich wert sind, für bessere Bedingungen und günstigere Preise eingekauft zu werden. Vielleicht ist gerade jetzt ein guter Zeitpunkt, niedrigere Preise zu verhandeln oder sich auch mal Konkurrenzanbieter am Markt anzusehen.

Ausgliederung des Security-Budgets von der IT

Wenn das Security-Budget einem größeren IT-Budget untergeordnet ist, das in der Regel von einem CIO verantwortet wird, so stehen die allgemeinen IT-Ziele und Aufgaben meist im Vordergrund. Daher ist es angeraten, dass sich CISOs für einen autonomen Security-Haushalt stark machen, um verlässlichere Ausgabenpläne und Zielsetzungen erstellen sowie längerfristige Investitionen in Personal und Technologie tätigen zu können.

Das heißt, es muss eine Planung erstellt werden, die nicht nur dazu beiträgt, gute Vertragsbedingungen und ein qualifiziertes Team zu erhalten, sondern auch die Erreichung der Security-Ziele gewährleistet.

Verstärkt externe Ressourcen nutzen

Die meisten CISOs klagen über Personalprobleme, da viele Teams entweder unterbesetzt sind oder unbesetzte Stellen aufweisen. Talente sind nicht nur schwer zu finden, sondern auch teuer und nicht leicht zu halten. CISOs, die ihr Budget optimieren wollen, sollten ihren Personalbedarf prüfen und feststellen, ob einige Positionen oder Funktionen eventuell ausgelagert werden könnten.

Zum Beispiel können CISOs feststellen, dass die Berufung von Managed-Service-Providern für einige hochspezialisierte Aufgaben, die nicht in Vollzeit benötigt werden, Kosten reduzieren kann. Zudem wäre zu überlegen, ob nicht spezialisiertes Fachwissen oder bestimmte Dienstleistungen von bestehenden Anbietern als Teil bereits bestehender Verträge übernommen werden könnten.

Vorhandene Tools optimieren

Warum nicht bei dieser Gelegenheit noch einmal die Tools und Systeme überprüfen, die bereits im Einsatz sind? Nicht wenige davon werden betrieben, nur um ein „Kästchen in einer Liste anzukreuzen“ oder irgendeine Art von Anforderung zu erfüllen. Aber woher weiß man eigentlich, wie effizient sie tatsächlich funktionieren? Daher sollte man sie erneut testen, bewerten und sicherstellen, dass sie das tun, was sie eigentlich tun sollen. Der CISO kann so feststellen, dass es vielleicht Lösungen gibt, welche die gleiche Aufgabe besser oder billiger erfüllen. Da in manchen Produktkategorien immer mehr Anbieter die Märkte betreten, hat man auch zusehends mehr Einfluss bei den Kostenverhandlungen.

Wechsel zu Best-of-Suite

Seit Jahren suchen IT-Security-Abteilungen nach Best-of-Breed-Tools für die verschiedenen Funktionen innerhalb ihrer Sicherheitsumgebung. Wobei ein Best-of-Suite-Ansatz, bei dem nur ein Produkt gleich mehrere Tools umfasst, durchaus die bessere finanzielle Option sein kann. Das heißt, der Best-of-Suite-Ansatz könnte nicht nur die Kosten dämpfen, sondern auch die Zeit für die Schulung der Mitarbeiter verkürzen, da sie dafür nur ein Produkt – und nicht mehrere oder viele – zu erlernen brauchen. Dies hätte die Konsequenz, dass die CISOs gegebenenfalls auch weniger Personal (und damit weniger Kosten) für die Überwachung und Verwaltung eines einzigen Best-of-Suite-Produkts gegenüber mehreren Best-of-Breed-Lösungen beschäftigen müssten.

Überprüfung auf zusätzliche Sicherheitskosten

Viele Unternehmen, insbesondere größere Organisationen, integrieren oft ihre Security-Tools auf Abteilungsebene und nicht an zentralen Stellen. Das kann zu einem mehrfachen Einsatz von gleichen Security-Systemen innerhalb des Unternehmens führen. Das bedeutet, dass sie oft mehrfach erworben wurden, was die Kosten schnell in die Höhe treibt.

Das heißt aber auch, dass in den einzelnen Abteilungen oder Standorten eines Unternehmens unterschiedliche Sicherheitsteams mit den gleichen Tools für verschiedene Funktionen arbeiten. Die Zentralisierung des Erwerbs und der Verwaltung von Security-Tools wird nicht nur die Kosten deutlich senken, sondern auch die Verhandlungsbasis für den Erwerb der Tools entscheidend verbessern.

Ein ähnliches Szenario ist häufig bei Cloud-Implementierungen der Fall, wofür verschiedene Abteilungen ihre eigenen Cloud-Dienste oder SaaS-Angebote mit integrierten Security-Funktionen und Tools erworben haben. Die einzelnen Security-Teams verwalten diese Tools natürlich dann selbst, was für sie wiederum zusätzliche Komplexität und Kosten bedeutet. Die CISOs können in all diesen Fällen den Bestand auf Abteilungsebene überprüfen und dann Mehrfach-Anschaffungen und Komplexitäten eliminieren. Gleichzeitig sollten die CISOs Standards und Rahmenbedingungen schaffen, welche die Geschäftsführer dabei helfen, zusätzliche Kosten in Zukunft zu vermeiden.

(ID:46836568)