Bauchgefühl oder Risikobewertung

So legt man ein Budget für IT-Sicherheit fest

| Autor / Redakteur: Alexander Moiseev / Peter Schmitz

Unternehmen sollten sich bei der Planung ihres Budgets für IT-Sicherheit die nötige Zeit nehmen.
Unternehmen sollten sich bei der Planung ihres Budgets für IT-Sicherheit die nötige Zeit nehmen. (Bild: gemeinfrei / Pixabay)

Die weltweiten Ausgaben für Informationssicherheitsprodukte und -services steigen seit Jahren stetig an. Aber wie legt man das richtige IT-Security-Budget für sein Unternehmen fest? Konzentriert man sich primär auf die unmittelbaren Bedürfnisse der Gegenwart, oder bewertet man mittels Risiko-Analyse die relevantesten Bedrohungen und investiert in deren Beseitigung?

Für das vergangene Jahr 2019 schätzte Gartner die Ausgaben für Informationssicherheitsprodukte und -services auf 124 Milliarden Dollar – ein Anstieg von knapp 9 Prozent im Vergleich zu 2018. Die Entscheidungsträger im Bereich IT-Sicherheit haben daher ebenfalls hohe Erwartungen: 72 Prozent sagen, dass ihr Budget im Jahr 2020 ansteigen wird. Aber wie werden diese Investitionen letztendlich aussehen?

Es gibt zwei Wege, um eine Entscheidung für die Zukunft zu treffen, egal ob beruflicher oder privater Natur. Einerseits kann man sich auf die eigene Intuition und Erfahrungen aus vergleichbaren Situationen stützen – das ist der konventionelle Ansatz. Anderseits kann man seine eigene, spezielle Situation analysieren, in kleine Elemente zerlegen und versuchen abzuschätzen, wie hoch die Wahrscheinlichkeit ist, dass sich diese Elemente in der nahen Zukunft verändern. Das ist der risikobasierte Ansatz.

Der konventionelle Budgetierungsansatz

Der klassische Ansatz für die Budgetierung der IT-Sicherheit basiert oftmals auf den unmittelbaren Bedürfnissen der Gegenwart oder auf früheren Erfahrungen. Dies ist insbesondere für wachsende Unternehmen relevant, die sich schnell mit den notwendigsten Maßnahmen und Tools für Cyber-Sicherheit ausstatten müssen.

Bei solchen Unternehmen folgt die Budgetplanung meist dem Erbschaftsprinzip. Dabei bleibt die aktuelle Budgethöhe für mehrere Perioden weitestgehend unverändert. Es werden weder strategische Ziele festgelegt noch spezifische Risiken beurteilt, Geld wird nur für Dringendes und für Ad-hoc-Support ausgegeben.

Dieser Ansatz funktioniert gut, solange nicht unerwartete und nicht berechnete Anforderungen für das Unternehmen auftreten. Dazu gehören unter anderem die Entscheidung, die digitale Sparte des Unternehmens zu stärken, die Implementierung einer Cloud-basierten CRM-Lösung oder für die Buchhaltung oder die Eröffnung einer neuen Geschäftsstelle. Diese Geschäftsentscheidungen führen dazu, dass sowohl das Budget der IT-Sicherheit als auch das Personal schnell umverteilt werden müssen, um die drängendste Sicherheitslücke zu schließen, während bereits vorgesehene Aufgaben verschoben werden und sich dementsprechend anhäufen.

Beim Eintritt eines unerwarteten Ereignisses steigen dann die Ausgaben für Sicherheit ohne Rücksicht auf die Kosten drastisch an, da dieses umgehend gelöst werden muss. Andererseits kann es sein, dass Unternehmen mit einem reiferen Ansatz im Hinblick auf Risiko-Management mit weniger Ausgaben für Informationssicherheit auskommen.

Der risikobasierte Ansatz

Es wenig überraschend, dass Risiko-Management als eine der drei zentralen Qualitäten eines CISOs genannt wird, da in reiferen Unternehmen die Risiko-Analyse bedeutender Bestandteil der Geschäftsvorgänge ist; dasselbe gilt für IT-Sicherheit.

Diese Unternehmen versuchen nicht, so viele Lücken wie möglich zu schließen. Sie betrachten zunächst die geschäftskritischen Risiken, ob es sich um Ausfallzeiten, Verfügbarkeit von Diensten, Rufschädigung, verpasste Geschäftsmöglichkeiten oder um direkte monetäre Verluste handelt. Cyber-Sicherheit ist daher keine Gewohnheit oder eine Investition, die ein notwendiges Übel darstellt und durch beängstigende Schlagzeilen getätigt wird. Für diese Unternehmen ist Cyber-Sicherheit vernunftgeleitet und basiert auf einer Risikobewertung, die sich aus der Wahrscheinlichkeit eines Ereignisses mit dessen Kosten multipliziert erschließt.

Cyber-Bedrohungen betreffen jedes Unternehmen, auch wenn sich diese je nach Ausrichtung unterscheiden. Für ein Unternehmen, das im Onlinehandel tätig ist und dessen Geschäft daher überwiegend digital abläuft, würde eine DDoS-Attacke auf die Web-Ressourcen einen großen Schaden anrichten, der sich sowohl auf die Finanzen als auch den Ruf auswirken würde. Finanz- und Regierungsorganisationen drohen dagegen erhebliche Sanktionen durch Aufsichtsbehörden, sollten ihre Systeme von einem weitreichenden Cyber-Angriff betroffen sein.

Wen fragen?

Des Weiteren können Software-Entwickler und Dienstleister ein Angriffsziel oder Teil einer Supply-Chain-Attacke auf ihre Kunden werden. Es gibt demnach fast so viele Gefahren- wie Unternehmensmodelle und jedes hat seine spezifischen und sich ständig verändernden Risiken.

Da Risiken immer eine bestimmte Wahrscheinlichkeit implizieren, ist IT-Sicherheits-Expertise ein wichtiger Teil des Risikobewertungsprozesses. Dabei evaluieren Experten, darunter auch externe, die Möglichkeiten und tragen zu einer besseren, ausgewogeneren Entscheidungsfindung bei – und optimieren so das Ergebnis.

Wird schlussendlich über den Kauf einer Cyber-Sicherheitslösung oder eines -Services entschieden, erfolgt ein transparenter Bewilligungsprozess mit der Unternehmensführung. Dadurch wird vermieden, dass ein IT-Sicherheitsmitarbeiter sich nicht für die kostengünstigste und effizienteste und adäquateste Lösung entscheidet, sondern für eine andere Lösung, weil er oder sie beispielsweise in der Vergangenheit mit dieser Plattform gearbeitet hat.

Zwar unterscheiden sich die Risikobewertungsprozesse in Unternehmen und werden fortwährend verbessert, dennoch sind Expertise, Risikobewertung und ein transparentes Entscheidungsverfahren maßgeblich, um die Budgetplanung effektiv zu gestalten und sicherzustellen, dass die Investitionen in die IT-Sicherheit den geschäftlichen Erfordernissen entsprechen.

Zu gewinnende Erkenntnisse

Die Planung des Sicherheitsbudgets ist vergleichbar mit der Art, wie Menschen die Wartungsarbeiten an ihrem Auto für das kommende Jahr angehen. Als Fahrzeughalter kann man die durchschnittliche Summe für regelmäßige Ausgaben, Reifen, die technische Inspektion und andere Überholungsarbeiten nur grob schätzen. Als Rennsportliebhaber weiß ich beispielsweise, dass ich mich im Voraus für die Saison vorbereiten und sicherstellen muss, dass ich ausreichend Budget für alle Autoteile habe, da sie sich auf der Rennstrecke deutlich schneller abnutzen.

Dieser zweite Ansatz ist reifer und spart letztendlich Geld. Er erfordert aber auch Fachwissen, Zeit und Engagement.

Unternehmen sollten daher auf Folgendes achten, wenn es um das IT-Sicherheitsbudget geht:

  • Bei der Risikobewertung sollten die für deren Branche und Unternehmensgröße relevantesten Bedrohungen untersucht und das Budget dementsprechend geplant werden. Hierzu ist der Zugriff auf aktuelle und individuelle Threat Intelligence Reports von unschätzbarem Wert.
  • Um die Risiken und den potenziellen Wert von Cyber-Sicherheitslösungen und -services bewerten zu können, ist es wichtig, Expertise (intern, extern oder in Kombination von beidem) zu nutzen. Kaspersky bietet zum Beispiel verschiedene Schulungen an, die Unternehmen dabei helfen, ihr internes Fachwissen zu verbessern.
  • Outsourcing kann Unternehmen, die noch nicht über genügend internes Fachwissen oder Prozesse zur Risikobewertung verfügen, helfen. Ausgaben für IT-Sicherheit können so einfacher unter Kontrolle gehalten werden, sofern eine SLA (garantierte Service-Level-Vereinbarung) besteht und die Ausgaben von CapEx auf OpEx verlagert werden.
  • Zudem können Tools wie Kaspersky IT Security Calculator einen ersten Anhaltspunkt liefern, um sich mit Bedrohungen, Maßnahmen und Zahlen zu befassen, die für das jeweilige Unternehmen relevant sind.
  • Unternehmen sollten sich bei der Planung ihres Budgets für IT-Sicherheit die nötige Zeit nehmen, sich gut vorbereiten und gegebenenfalls externe Expertise zu Rate ziehen. Denn wie sagt man so schön? Mit Bedacht und Beständigkeit gewinnt man das Rennen.

Über den Autor: Alexander Moiseev ist Chief Business Officer bei Kaspersky.

Was meinen Sie zu diesem Thema?

Schreiben Sie uns hier Ihre Meinung ...
(nicht registrierter User)

Zur Wahrung unserer Interessen speichern wir zusätzlich zu den o.g. Informationen die IP-Adresse. Dies dient ausschließlich dem Zweck, dass Sie als Urheber des Kommentars identifiziert werden können. Rechtliche Grundlage ist die Wahrung berechtigter Interessen gem. Art 6 Abs 1 lit. f) DSGVO.
Kommentar abschicken
copyright

Dieser Beitrag ist urheberrechtlich geschützt. Sie wollen ihn für Ihre Zwecke verwenden? Kontaktieren Sie uns über: support.vogel.de/ (ID: 46394565 / Services)