Wann sich Investitionen in die IT-Sicherheit lohnen

Wer die Finanzmärkte beobachtet und mitunter in Unternehmen investieren möchte, muss sich mit den unterschiedlichsten Kennzahlen befassen. So ist die IT-Sicherheit für den Bereich der Informationswirtschaft eine fundamentale Säule geworden und gehört zu den wichtigsten Teilbereichen in einem Unternehmen. Das Wissen in Form digitaler Informationen bildet eine wertvolle Komponente im Unternehmen und ist immer wieder auch der entscheidende Bestandteil, wenn es um den Wert des Betriebs geht. Fakt ist, dass das Wissen als gespeicherte Information sehr wohl einen Wettbewerbsvorteil bedeuten kann, sodass es zu einer nachhaltigen Stärkung der Marktposition des Unternehmens gegenüber den Konkurrenten kommt. Besonders wichtig ist dabei der Umstand, wie gut das Wissen gesichert wurde.

Investitionen in die IT-Sicherheit sorgen auch für einen Wettbewerbsvorteil

Wissen, das digital abgespeichert wurde, ist für ein Unternehmen in vielerlei Hinsicht von wesentlicher Bedeutung: So stellt es die zentrale Komponente in der Wertschöpfungskette dar, ist ein Teil des Unternehmenswerts und kann sogar für einen Wettbewerbsvorteil sorgen. Jedoch stellt es das Unternehmen vor die Herausforderung der angemessenen Sicherung. Zahlreiche Studien haben nämlich schon belegt, dass immer mehr Geld in den Bereich der IT-Sicherheit fließt. Doch die Studienergebnisse haben auch gezeigt, dass viele Unternehmen eine separate und somit eindeutig erkennbare Kostenstelle mit der IT-Sicherheit errichtet haben, um ganz genau überprüfen zu können, wie viel Geld in den Bereich schon geflossen ist. Problematisch ist dabei der Umstand, dass Reporting, Controlling und Steuerung der IT-Sicherheitsinvestitionen erschwert werden, sodass sich die Unternehmer vor der zentralen Herausforderung befinden, wie man am Ende handelt, wenn es um den Schutz vor den Cyberkriminellen geht.

Das RoSI-Verfahren

Hier beginnt das „Return on Security Investment“-Verfahren – kurz: RoSI. Das RoSI-Verfahren basiert auf den Konzepten der „Total Cost of Ownership“- oder klassischen „Return on Investments“-Verfahren und ist eine Art Entscheidungshilfe für die Budgetplanung geworden. An dieser Stelle ist jedoch zu beachten, dass klassische IT-Sicherheitsinvestitionen immer präventiv getätigt werden, sodass es extrem schwer ist, die exakten Kennzahlen zu ermitteln. Das heißt: Die Investitionssumme darf niemals höher als der Schaden sein, der mitunter eintreten könnte, wenn auf die Investition verzichtet worden wäre. Die Berechnung des RoSI-Verfahrens lautet: RCn – ((RCn – ESn) + IC). Das heißt: RoSI = Wiederherstellungskosten – ((Wiederherstellungskosten/Anzahl der Jahre – zu erwartenden Einsparungen/Anzahl der Jahre) + Investitionskosten).

RoSI-Verfahren darf nicht die einzige Entscheidungshilfe sein

Entscheidet man sich für langfristige Maßnahmen, so geht es um die Investitionen in IT-Infrastruktur und -Security. Aufgrund der Tatsache, dass der Gefahrenfall aber nie eintreten muss, kann nicht immer das RoSI-Verfahren als einzige Entscheidungshilfe herangezogen werden. Genau deshalb ist es ratsam, wenn man das Risiko derart einschätzt, dass zuvor der Grad festgelegt wird, indem man die Eintrittswahrscheinlichkeit dem Ausmaß multipliziert. Aufgrund der Tatsache, dass eine Risikoeinschätzung oftmals auch subjektiv belastet ist, sind Schwierigkeiten vorprogrammiert. Noch „gefährlicher“ wird es, wenn auch das Management über ein unvollständiges Wissen verfügt. Das heißt, das RoSI-Verfahren kann nicht Abhilfe schaffen, da man nur die Höhe der Ausgaben, jedoch nicht den Nutzen berechnen kann. Wer sich mit IT-Sicherheitsinvestitionen befasst, der sollte sich bewusst sein, dass es von Seiten des Unternehmens eine ganzheitliche und professionelle Auseinandersetzung mit dem Thema geben muss. Des Weiteren muss man sich auch bewusst sein, dass das Thema Sicherheit nie klar in Kosten abgerechnet werden kann.