IT-Risikomanagement

Managed Security Services - Trend oder echte Alternative?

Die Verlagerung des IT-Risikomanagements an einen externen Spezialisten in Form von Managed Security Services wird derzeit heiß diskutiert. Doch wie unterscheiden sich die Anbieter voneinander? Wir geben Antworten.

Die Fülle des Angebots im Bereich Managed Security Services (MSS) ist Chance und Problem zugleich. Denn es gibt fast so viele unterschiedliche Interpretationen des Begriffs wie Offerten. Unternehmen, die sich für MSS entscheiden, sollten deshalb Kompetenzen und Referenzen der Anbieter genau prüfen. Ist der Dienstleister wirklich ein breit aufgestellter Risikomanagement-Spezialist, der die Risikominimierung ganzheitlich, das heißt mit unterschiedlichen Maßnahmen (onsite und über die Cloud) und aus unterschiedlichen Blickwinkeln (lokal und global), angeht? Oder ist er einer unter den vielen Security-Anbietern, die gerade einmal ein paar Firewall-Einstellungen, einen VPN-Router und ein paar Security-Software-Pakete einspielen und verwalten können? Und last but not least: Liegt das Rechenzentrum des Dienstleisters in Deutschland, in der Schweiz oder sogar in einem anderen Land?

Managed Security Services als neue Banken für Daten

Wenn wir über Risikomanagement sprechen, sprechen wir über Datenmanagement beziehungsweise Datenschutz. Daten werden heute immer mehr zum dominierenden, branchenübergreifenden Erfolgsfaktor. Der Schutz sensibler und geschäftskritischer Informationen sollte deshalb beim Risikomanagement der Unternehmen höchste Priorität erhalten. Adäquate Schutzmaßnahmen sind komplex und erfordern großes Fachwissen in mehreren Disziplinen: in der IT-Security, bei den Prozess-Spezifika der jeweiligen Branche sowie in Bezug auf die regulativen Rahmenbedingungen. Nicht zuletzt benötigt ein effizienter Schutz von Unternehmensdaten selbst eine umfangreiche und topaktuelle Sammlung von Risikodaten, die Aufschluss über potenzielle Angriffsarten und häufig benutzte sowie sich dynamisch verändernde Angriffsvektoren geben.

Für immer weniger Unternehmen rechnet es sich deshalb, die notwendigen Ressourcen und Kapazitäten zu unterhalten - beispielsweise ein eigenes Security-Monitoring- und Incident-Response-Team für adäquates Risikomanagement. Versierte Fachkräfte in diesem Bereich sind rar, und das Geld für entsprechende Investitionen wird vermehrt in das Kerngeschäft investiert - und das ist in der Regel nicht die IT-Sicherheit. Wird ein Unternehmen gezielt angegriffen, hören Kriminelle nicht einfach auf, sobald sie die gewünschten Primärziele erreicht, also die gewünschten Informationen erbeutet haben. Im Gegenteil: Sie setzen ihre Angriffe fort, um weitere Daten zu erhalten, und schrecken auch nicht vor Kollateralschäden zurück. Immer mehr Unternehmen erkennen die Vorteile von Managed Security Services und verlagern daher ihr Risikomanagement.