Kennzahlenmodell für das Management der IT-Sicherheit

Abstract

Der Artikel fundiert auf Ergebnissen unterschiedlicher am Lehrstuhl Wirtschaftsinformatik II der Universität Regensburg und dem Institut für Bankinnovationen durchgeführter Forschungsarbeiten zum Thema Management der IT-Sicherheit.
Eine Umfeldanalyse identifiziert aufgrund der wachsenden Bedeutung der IT bei zunehmenden Bedrohungen für die IT und verstärkten Compliance Anforderungen das Management der IT Sicherheit als unternehmerische Notwendigkeit. Aus diesem Grund wird ein Überblick über den Managementprozess der IT-Sicherheit gegeben und um einen Controlling Prozess in Form eines Kennzahlenmodells für die IT Sicherheit erweitert.
Das entwickelte Kennzahlenmodell richtet sich hierbei gezielt auf die Allokation von Investitionen in Sicherheitsmaßnahmen, welche direkten sowie indirekten Einfluss auf das IT Risiko ausüben können. Aufgrund der Anlehnung der gewählten Dimensionen des Kennzahlens Systems „Organisation“, „Operativ“ sowie „Technik“, an der Taxonomie gängiger IT Sicherheits-Standards wie ISO 27001 oder IT-Grundschutzhandbuch des BSI ist ein Mapping auf diese bzw. eine Kombination mit diesen problemlos möglich. Darüber hinaus wird durch die gewählte Taxonomie eine Zuordnung zu den Kategorien der operationellen Risiken „Organisation“, „Technik“, „Personal“ und „Externe Ereignisse“ nach Basel II möglich. Dadurch trägt das Kennzahlensystem explizit zur Erfüllung aktueller Compliance Anforderungen wie beispielsweise den MaRisk bei und verhilft dem Unternehmen zu einer effizienteren Steuerung der IT Sicherheit und zu erhöhter Qualitätsgewähr.
Neben einem Einblick über das Modell insgesamt, sowie über alle entwickelten Kenzahlen werden in Kapitel 4 exemplarisch zwei Kennzahlen detailliert vorgestellt. Der Artikel schließt mit einem Ausblick über die weiteren Einsatz- und Entwicklungs- Möglichkeiten des Kennzahlenmodells im Sinne eins Return on Security Investments (ROSI) und zeigt in Kombination mit der Balanced Score Card die Möglichkeit auf, anhand der erhobenen Kennzahlen ein einfaches jedoch aussagefähiges Reporting zu generieren.