Messung und Bewertung der Effizienz von IT-Sicherheit

Beschreibung

Die Themen

• Ökonomie der IT-Sicherheit
• Wirtschaftliche Steuerung der IT-Sicherheit
• Effektive und effiziente Informationssicherheitsmanagementsysteme (ISMS)
• Vulnerability Management - Beitrag zu Reporting und Messung von IT-Sicherheit

Bericht zum Workshop und Details zu den Vorträgen

Dirk Schadt (CA): 
Über die Ökonomie der IT-Sicherheit - Betrachtungen zum Thema ’Return on Security Investment’

In der Vergangenheit wurden Investitionen in die IT- Sicherheit oft als ’Versicherungsprämie’ zum Schutz vor Schäden und Missbrauch der Computersysteme betrachtet. Mittlerweile fließt aber nicht nur die exakte Kalkulation der Kosten, sondern auch eine Abwägung des Nutzens dieser Investitionen in Wirtschaftlichkeitsbetrachtungen ein. Neben der Methode ’Return on Security Investment’ (ROSI) der Universität Idaho beginnen sich dafür mittlerweile auch praktikablere Verfahren zu etablieren. Die Risikomatrix sowie die Technik der Simulation sind zwei brauchbare Alternativen zu ROSI bei der Risikoanalyse.  

Prof. Dr. Erhard Petzel (ibi research): 
Thema: "Ansätze zur wirtschaftlichen Steuerung der IT-Sicherheit

Die wirtschaftliche Steuerung der IT-Sicherheit ist eine wichtige Teilaufgabe im IT-Risikocontrolling, um eine effiziente Gefahrenabwehr zu ermöglichen. Im Vortrag werden verschiedene Modelle zur Wirtschaftlichkeitsbetrachtung vorgestellt (u.a. ROSI) und bewertet. Speziell wird auf das neu entwickelte ibi-Kennzahlensystem zur wirtschaftlichen Steuerung der IT-Sicherheit eingegangen.  

Dr. Wolfgang Böhmer (TU Darmstadt):
Effektive und effiziente Informationssicherheitsmanagementsysteme (ISMS) - Ein Methodenvorschlag

Ziel dieses Vortrages ist es, eine Methodik für die Bestimmung der Führungsgrößen Effektivität und Effizienz in einem ISMS vorzustellen. Die Methodik soll es ermöglichen, die Effektivität (Wirksamkeit) und die Effizienz (Wirtschaftlichkeit) eines ISMS zu bestimmen. Damit soll zugleich ein Instrumentarium vorgestellt werden, das zur Unternehmenssicherheitssteuerung im Sinne einer IT-Governance eingesetzt werden könnte. Denn erst wenn geeignete Führungs- und Kontrollinstrumente der Unternehmensführung zur Verfügung gestellt werden, kann diese ihrer von behördlicher Seite initiierten Pflicht entsprechend nachkommen. 

Holger Wöhle (Arcor):
Vulnerability Management

Praxisbericht zur Einführung eines tool-unterstüzten Sicherheits-Schwachstellen-Management-Prozesses (Vulnerability Management) und seine Auswirkungen mit Blick auf Reporting und Messung von IT-Sicherheit.