Bauchgefühl oder Risikobewertung So legt man ein Budget für IT-Sicherheit fest

Anbieter zum Thema

TXOne Networks

Keeper Security EMEA Ltd.

Outpost24 GmbH

Kaspersky Labs GmbH

Die weltweiten Ausgaben für Informations­sicherheits­produkte und -services steigen seit Jahren stetig an. Aber wie legt man das richtige IT-Security-Budget für sein Unternehmen fest? Konzentriert man sich primär auf die unmittelbaren Bedürfnisse der Gegenwart, oder bewertet man mittels Risikoanalyse die relevantesten Bedrohungen und investiert in deren Beseitigung?

Für das vergangene Jahr 2019 schätzte Gartner die Ausgaben für Informationssicherheitsprodukte und -services auf 124 Milliarden US-Dollar – ein Anstieg von knapp 9 Prozent im Vergleich zu 2018. Die Entscheidungsträger im Bereich IT-Sicherheit haben daher ebenfalls hohe Erwartungen: 72 Prozent sagen, dass ihr Budget im Jahr 2020 ansteigen wird. Aber wie werden diese Investitionen letztendlich aussehen?

Es gibt zwei Wege, um eine Entscheidung für die Zukunft zu treffen, egal ob beruflicher oder privater Natur. Einerseits kann man sich auf die eigene Intuition und Erfahrungen aus vergleichbaren Situationen stützen – das ist der konventionelle Ansatz. Anderseits kann man seine eigene, spezielle Situation analysieren, in kleine Elemente zerlegen und versuchen abzuschätzen, wie hoch die Wahrscheinlichkeit ist, dass sich diese Elemente in der nahen Zukunft verändern. Das ist der risikobasierte Ansatz.

Der konventionelle Budgetierungsansatz

Der klassische Ansatz für die Budgetierung der IT-Sicherheit basiert oftmals auf den unmittelbaren Bedürfnissen der Gegenwart oder auf früheren Erfahrungen. Dies ist insbesondere für wachsende Unternehmen relevant, die sich schnell mit den notwendigsten Maßnahmen und Tools für Cybersicherheit ausstatten müssen. Bei solchen Unternehmen folgt die Budgetplanung meist dem Erbschaftsprinzip. Dabei bleibt die aktuelle Budgethöhe für mehrere Perioden weitestgehend unverändert. Es werden weder strategische Ziele festgelegt noch spezifische Risiken beurteilt, Geld wird nur für Dringendes und für Ad-hoc-Support ausgegeben.

Dieser Ansatz funktioniert gut, solange nicht unerwartete und nicht berechnete Anforderungen für das Unternehmen auftreten. Dazu gehören unter anderem die Entscheidung, die digitale Sparte des Unternehmens zu stärken, die Implementierung einer cloudbasierten CRM-Lösung oder für die Buchhaltung oder die Eröffnung einer neuen Geschäftsstelle. Diese Geschäftsentscheidungen führen dazu, dass sowohl das Budget der IT-Sicherheit als auch das Personal schnell umverteilt werden müssen, um die drängendste Sicherheitslücke zu schließen, während bereits vorgesehene Aufgaben verschoben werden und sich dementsprechend anhäufen.

Beim Eintritt eines unerwarteten Ereignisses steigen dann die Ausgaben für Sicherheit ohne Rücksicht auf die Kosten drastisch an, da dieses umgehend gelöst werden muss. Andererseits kann es sein, dass Unternehmen mit einem reiferen Ansatz im Hinblick auf Risiko-Management mit weniger Ausgaben für Informationssicherheit auskommen.

Der risikobasierte Ansatz

Es wenig überraschend, dass Risikomanagement als eine der drei zentralen Qualitäten eines CISOs genannt wird, da in reiferen Unternehmen die Risikoanalyse bedeutender Bestandteil der Geschäftsvorgänge ist; dasselbe gilt für IT-Sicherheit.

Diese Unternehmen versuchen nicht, so viele Lücken wie möglich zu schließen. Sie betrachten zunächst die geschäftskritischen Risiken, ob es sich um Ausfallzeiten, Verfügbarkeit von Diensten, Rufschädigung, verpasste Geschäftsmöglichkeiten oder um direkte monetäre Verluste handelt. Cybersicherheit ist daher keine Gewohnheit oder eine Investition, die ein notwendiges Übel darstellt und durch beängstigende Schlagzeilen getätigt wird. Für diese Unternehmen ist Cybersicherheit vernunftgeleitet und basiert auf einer Risikobewertung, die sich aus der Wahrscheinlichkeit eines Ereignisses mit dessen Kosten multipliziert erschließt.

Cyberbedrohungen betreffen jedes Unternehmen, auch wenn sich diese je nach Ausrichtung unterscheiden. Für ein Unternehmen, das im Onlinehandel tätig ist und dessen Geschäft daher überwiegend digital abläuft, würde eine DDoS-Attacke auf die Web-Ressourcen einen großen Schaden anrichten, der sich sowohl auf die Finanzen als auch den Ruf auswirken würde. Finanz- und Regierungsorganisationen drohen dagegen erhebliche Sanktionen durch Aufsichtsbehörden, sollten ihre Systeme von einem weitreichenden Cyberangriff betroffen sein. Des Weiteren können Softwareentwickler und Dienstleister ein Angriffsziel oder Teil einer Supply-Chain-Attacke auf ihre Kunden werden. Es gibt demnach fast so viele Gefahren- wie Unternehmensmodelle und jedes hat seine spezifischen und sich ständig verändernden Risiken.

Da Risiken immer eine bestimmte Wahrscheinlichkeit implizieren, ist IT-Sicherheits-Expertise ein wichtiger Teil des Risikobewertungsprozesses. Dabei evaluieren Experten, darunter auch externe, die Möglichkeiten und tragen zu einer besseren, ausgewogeneren Entscheidungsfindung bei – und optimieren so das Ergebnis.

Wird schlussendlich über den Kauf einer Cybersicherheitslösung oder eines -Services entschieden, erfolgt ein transparenter Bewilligungsprozess mit der Unternehmensführung. Dadurch wird vermieden, dass ein IT-Sicherheitsmitarbeiter sich nicht für die kostengünstigste und effizienteste und adäquateste Lösung entscheidet, sondern für eine andere Lösung, weil er oder sie beispielsweise in der Vergangenheit mit dieser Plattform gearbeitet hat.

Zwar unterscheiden sich die Risikobewertungsprozesse in Unternehmen und werden fortwährend verbessert, dennoch sind Expertise, Risikobewertung und ein transparentes Entscheidungsverfahren maßgeblich, um die Budgetplanung effektiv zu gestalten und sicherzustellen, dass die Investitionen in die IT-Sicherheit den geschäftlichen Erfordernissen entsprechen.

Zu gewinnende Erkenntnisse

Die Planung des Sicherheitsbudgets ist vergleichbar mit der Art, wie Menschen die Wartungsarbeiten an ihrem Auto für das kommende Jahr angehen. Als Fahrzeughalter kann man die durchschnittliche Summe für regelmäßige Ausgaben, Reifen, die technische Inspektion und andere Überholungsarbeiten nur grob schätzen. Als Rennsportliebhaber weiß ich beispielweise, dass ich mich im Voraus für die Saison vorbereiten und sicherstellen muss, dass ich ausreichend Budget für alle Autoteile habe, da sie sich auf der Rennstrecke deutlich schneller abnutzen. Dieser zweite Ansatz ist reifer und spart letztendlich Geld. Er erfordert aber auch Fachwissen, Zeit und Engagement.

Unternehmen sollten daher auf Folgendes achten, wenn es um das IT-Sicherheitsbudget geht:

• Bei der Risikobewertung sollten die für deren Branche und Unternehmensgröße relevantesten Bedrohungen untersucht und das Budget dementsprechend geplant werden. Hierzu ist der Zugriff auf aktuelle und individuelle Threat Intelligence Reports von unschätzbarem Wert.

• Um die Risiken und den potenziellen Wert von Cybersicherheitslösungen und -services bewerten zu können, ist es wichtig, Expertise (intern, extern oder in Kombination von beidem) zu nutzen. Kaspersky bietet zum Beispiel verschiedene Schulungen an, die Unternehmen dabei helfen, ihr internes Fachwissen zu verbessern.

• Outsourcing kann Unternehmen, die noch nicht über genügend internes Fachwissen oder Prozesse zur Risikobewertung verfügen, helfen. Ausgaben für IT-Sicherheit können so einfacher unter Kontrolle gehalten werden, sofern eine SLA (garantierte Service-Level-Vereinbarung) besteht und die Ausgaben von CapEx auf OpEx verlagert werden.

• Zudem können Tools wie Kaspersky IT Security Calculator einen ersten Anhaltspunkt liefern, um sich mit Bedrohungen, Maßnahmen und Zahlen zu befassen, die für das jeweilige Unternehmen relevant sind.

• Unternehmen sollten sich bei der Planung ihres Budgets für IT-Sicherheit die nötige Zeit nehmen, sich gut vorbereiten und gegebenenfalls externe Expertise zu Rate ziehen. Denn wie sagt man so schön? Mit Bedacht und Beständigkeit gewinnt man das Rennen.

Über den Autor: Alexander Moiseev ist Chief Business Officer bei Kaspersky.

(ID:46380562)