Ausgabendisziplin dominiert die IT-Sicherheit in europäischen Unternehmen

Allerdings steht die Kontrolle der Ausgaben für IT-Sicherheit bei vielen Firmen noch im Mittelpunkt ihrer KPI-Systeme (Key Performance Indicator). Immerhin betrachtet mehr als die Hälfte aller Firmen Sicherheit unter einem Kostenaspekt. Die Gefahr ist groß, dass europäische Firmen hier am falschen Ende sparen. Das ist ein Ergebnis einer europaweiten Studie zum Thema Cyber-Security, die Steria und Pierre Audoin Consultants (PAC) durchgeführt haben.

Die gute Nachricht: 94 % aller Unternehmen in Europa messen die Effektivität ihrer IT-Sicherheitsanstrengungen bereits heute anhand formeller KPIs. Viele nutzen hierzu quantitative Kriterien: 39 % erfassen beispielsweise die Reaktionszeit ab dem Eintreten einer Security-Krise. Immerhin noch ein Drittel aller Firmen misst daneben die Zeit, die vergeht, bis eine kritische Sicherheitslücke geschlossen wird. Die Messung von IT-Sicherheit auf Projektebene ist demgegenüber bereits deutlich niedriger ausgeprägt – diese erfolgt nur durch gut ein Sechstel der Firmen.

Die Wirkung von IT-Sicherheit messen Unternehmen in erster Linie unter Kostenaspekten. Denn mehr als die Hälfte der befragten Firmen nutzt als KPI für die Effektivität von Security-Prozessen die Ausgabendisziplin. Weniger als die Hälfte der Unternehmen bewertet dagegen die Sicherheitsmaßnahmen unter Sicherheitsaspekten. Allein auf Basis des Kosten-Kriteriums könnten Unternehmenscontroller im Ausbleiben von Sicherheitsvorfällen eine Gelegenheit sehen, Mittel für Sicherheitsmaßnahmen einzusparen. Allerdings könnten gerade diese Ausgaben den Grund dafür darstellen, dass Cyberangriffe an diesen Unternehmen abprallen.

„Die meisten Unternehmen, die wir betrachtet haben, sind auf einem guten Weg“, sagt Dr. Gerald Spiegel, Leiter Information Security Solutions bei Steria Mummert Consulting. „Sie wollen nicht nur wissen, ob ihre IT-Sicherheit funktioniert, sondern nutzen Messkriterien, die eine Aussage zulassen, an welcher Stelle sich Security-Prozesse verbessern lassen. Schwierig wird es nur, wenn Entscheider nach der Maxime verfahren ‘Wir stellen keine Sicherheitsereignisse fest, also können wir an Sicherheitsmaßnahmen sparen‘. Sie begeben sich damit auf ein gefährliches Terrain.“

Über die Studie
Steria hat in Zusammenarbeit mit dem Beratungs- und Analystenhaus Pierre Audoin Consultants (PAC) 270 Entscheider in mittelständischen Unternehmen und Konzernen in verschiedenen Branchen befragt. Im Mittelpunkt standen hierbei Lösungsstrategien und -modelle, mit denen die Unternehmen aktuell und in den kommenden drei Jahren auf IT-Gefahren reagieren. Die Studie betrachtet auch 72 deutsche Unternehmen. Der vollständige Studienreport ist erhältlich unter www.steria.com/cybersecurityreport