Zukünftige Herausforderungen an Managed Security Lösungen für Small- und Large-Enterprises

Transkript

1 Zukünftige Herausforderungen an Managed Security Lösungen für Small- und Large-Enterprises September 2010 Dipl.-Ing. (FH) Oliver KRAUCHER B2B Produktmanagement 1

2 Kurzüberblick Oliver Kraucher Studium - Fachhochschule Technikum Wien Elektronische Informationsdienste 2001 / 02 Telekom Austria Backoffice Agent 2004 Nextra Customer Care Agent 2005 EUnet (ehemals Nextra) Produktmanagement 2006 etel (ehemals EUnet) Produktmanagement (Corporate Data) 2008 / 09 Mobitel Wireless Communications Leitung von Produkt- und Sales-Konzeptionierung 2009 / heute UPC Business B2B Produktmanagement 2

3 Grundthematik der heutigen Unternehmen Die meisten Unternehmen verfolgen die gleichen Grundziele: mit minimalem Risiko und Aufwand, maximalen Gewinn zu erwirtschaften. Ökonomische Ziele, Formal- oder Wertziele: Produktivität, Wirtschaftlichkeit, Umsatzrentabilität, Gewinn, RoI, hoch mittel Idealvorstellung Gewinn Risiko Wie kann Ihr Provider Sie bei dieser Thematik unterstützen? Höhere Bandbreiten höhere Produktivität Preissenkungen / Aktionen geringere Kosten garantierte Verfügbarkeit geringeres Risiko und vieles mehr niedrig Kosten Wie können Managed Security Services Ihren Gewinn erhöhen? 3

4 Wie können Managed Security Services Ihren Gewinn erhöhen? Unternehmen haben erkannt, dass die teuerste Ressource der Mitarbeiter selbst ist Andererseits qualifizierte Mitarbeiter stellen gleichzeitig den Grundbaustein (aber auch das Potenzial) eines jeden Unternehmens dar Ziel von Managed Security Services (MSS) ist es, dem Mitarbeiter die Security Tasks abzunehmen bzw. ihn zu unterstützen, damit sich dieser zu 100% auf das Kerngeschäft konzentrieren kann. Beispiel aus der Praxis: Mitarbeiter: ~15 Kerngeschäft: Software-Entwicklung Entscheidung: Interne Security wird zukünftig von dem Provider mit MSS betrieben Resultate: Mitarbeiter können früher unternehmens-relevante Projekte abschließen Interne Security wird nun von Experten definiert und betrieben IT-Reporting erfolgt wie gewohnt und Mitarbeiter / Geschäftsführer haben jederzeit den Überblick und die Kontrolle Fazit: niedrigeres Risiko und höherer Umsatz 4

5 Outsourcing Statistik Quelle: Ernst & Young 12th annual global information security survey (2009)

6 Was sind Managed Security Services (MSS)? Der Begriff Managed Security wird heutzutage oft (zu leichtfertig) verwendet Viele Anbieter werben mit Managed Security Services (MSS) bzw. sind bereits ein Managed Security Service Provider (MSSP) Frage an das Publikum: Was verstehen SIE darunter, wenn man Ihnen Managed Security Services verkaufen will? Presales Produkt-Beratung + Konzepterarbeitung Projektplan (Umsetzung) Prozesse / Eskalationen Vor Ort Installation durch Experten Initiale Konfiguration der Devices Backup-Thematik bzgl. Konfigurationen Änderungs-Anfragen bzgl. Konfigurationen Support-Thematik (Verfügbarkeit und Kompetenz) Disaster Recovery (Dauer und Vollständigkeit) Upgrade-Prozesse bzgl. Firmware und Signaturen Wartungsarbeiten Monitoring Logging und Reporting Vorgehensweise im Falle einer Attacke Überschaubare Kostenstruktur Und vieles mehr 6 Fazit: Managed Security Services sind nicht genau definiert Vorsicht bei der Produktwahl (Was beinhaltet das Paket?)

7 Unternehmenspyramide 100 MA u.m.: (0,9%) MA: (0,9%) MA: (3,3%) 5-19 MA: (20,5%) 5-49 MA: (23,8%) Large Enterprises Medium Enterprises Small Enterprises 2-4 MA: (35,5%) 1 MA: (38,9%) 1-4 MA: (74,4%) Small / Home Offices Gesamt: (100%) 7 Quelle: INTEGRAL Austrian Internet Monitor Business (AIM-Business) 2009

8 Unternehmenspyramide Zielgruppen Large Enterprises (0,9%) Medium Enterprises (0,9%) Small Enterprises (23,8%) Client Security Managed Firewall Security Solutions Small / Home Offices (74,4%) Produkt - Portfolio 8 Quelle: INTEGRAL Austrian Internet Monitor Business (AIM-Business) 2009

9 Unternehmensprofile als Beispiel Business 1: Online Business 2: Construction Mitarbeiter: 10 Mitarbeiter: 100 Umsatz: 2 Millionen / Jahr Umsatz: 30 Millionen / Jahr Branche: Online Service Branche: Baugewerbe Standorte: 1 Standorte: 5 Kerngeschäft: Internet Sportwetten Kerngeschäft: Tiefbau Internet Access Anforderung: - Sehr hohe Bandbreiten mit zuverlässiger symmetrischer Technologie (z.b. Glasfaser) - Backup Leitungen - Service Level Agreements Security Anforderung: (hoch) - Firewall / Web Application Firewall ausgelegt für hohe Bandbreiten - Redundanz-Systeme zur Ausfallsicherheit - Durchgehender Schutz vom Gateway bis zu den Clients 9 Internet Access Anforderung: - 4 der Standorte sind Lager für Baustoffe bzw. Baumaschinen und benötigen keinen Access - 1 Standort ist ein kleines Büro mit geringen Access Ansprüchen (asym. xdsl-leitung) Security Anforderung: (niedrig) - Firewall im mittleren Preis-Segment zur generellen Grund-Absicherung der EDV - Client-Security ohne individuelle Ansprüche

10 Unternehmenspyramide Zielgruppen Large Enterprises (0,9%) Medium Enterprises (0,9%) Small Enterprises (23,8%) Small / Home Offices (74,4%) Business 1: Online Mitarbeiter: 10 Umsatz: 2 Millionen / Jahr Branche: Online Service Standorte: 1 Kerngeschäft: Internet Sportwetten Security Anforderung: hoch Client Security Managed Firewall Security Solutions Business 2: Construction Mitarbeiter: 100 Umsatz: 30 Millionen / Jahr Branche: Baugewerbe Standorte: 5 Kerngeschäft: Tiefbau Security Anforderung: niedrig Produkt - Portfolio 10 Quelle: INTEGRAL Austrian Internet Monitor Business (AIM-Business) 2009

11 Security - Requirements Die Kategorisierung der Unternehmen kann demnach bei Security-Produkten nicht durch folgende Parameter vorgenommen werden: Mitarbeiter Umsatz Branche Anzahl der Standorte Einzig und allein die Security-Anforderung des einzelnen Kunden bzgl. der Geschäftsprozesse ist ausschlaggebend: 11 Small Security Requirements (z.b.: Absicherung der Internetleitung und der Clients durch einen kostengünstigen Basis-Schutz, ) Medium Security Requirements (z.b.: oft dedizierte Firewall-Hardware, Absicherung von Web/File/ - Servern, guter Client-Schutz, ) Large Security Requirements (z.b.: meist dedizierte Hardware für alle geschäftskritischen Bereiche FW, IPS, Proxy, AV, ) Fazit: Bevor Sie dem Kauf von Security Produkten zustimmen (besonders bei Managed Security Services), müssen Ihnen die Anforderungen genau bekannt sein!

12 Wohin werden sich die MSS entwickeln? Die Kunden Anforderungen müssen noch konkreter definiert werden Falls der Kunde die Anforderungen nicht definieren kann, so wird es im Rahmen des Produktes angeboten Die Security Anforderungen sind eine Momentaufnahme, welche in regelmäßigen Abständen aktualisiert werden Small Security Requirements (z.b.: Absicherung der Internetleitung und der Clients durch einen kostengünstigen Basis-Schutz, ) Medium Security Requirements (z.b.: oft dedizierte Firewall-Hardware, Absicherung von Web/File/ - Servern, guter Client- Schutz, ) Large Security Requirements (z.b.: meist dedizierte Hardware für alle geschäftskritischen Bereiche FW, IPS, Proxy, AV, ) Je geringer die Anforderung des Kunden, desto höher der MSS-Anteil der Security Lösung (Reporting ist besonders wichtig) Je höher die Anforderung des Kunden, desto höher die System-Unterstützung (die internen Abteilungen müssen operative Tätigkeiten jederzeit selbst durchführen können; MSS wird zur Unterstützungen z.b. für Backup-Thematik und Logging-Auswertung, verwendet) 12

13 Wohin werden sich die MSS entwickeln? Der Rahmen der Services wird transparenter dem Kunden angeboten Presales Produkt-Beratung + Konzepterarbeitung Projektplan (Umsetzung) Prozesse / Eskalationen Vor Ort Installation durch Experten Initiale Konfiguration der Devices Backup-Thematik bzgl. Konfigurationen Änderungs-Anfragen bzgl. Konfigurationen Support-Thematik (Verfügbarkeit und Kompetenz) Der Kunde wählt die für ihn aktuell interessanten Services Disaster Recovery (Dauer und Vollständigkeit) Upgrade-Prozesse bzgl. Firmware und Signaturen Wartungsarbeiten Monitoring Logging und Reporting Vorgehensweise im Falle einer Attacke 13

14 Wohin werden sich die MSS entwickeln? Der Kunde kann die einzelnen MSS während der Vertragslaufzeit flexibel wechseln dies macht einen strukturierten Umstieg von einer eigener IT-Security-Abteilung zu MSS (oder umgekehrt) einfach 14

15 Summary: Managed Security Services Vorteile zukünftiger MSS: Kunden Anforderungen werden konkreter erfragt (Security Requirements) Falls Kunden die Security- Anforderungen nicht definieren können Unterstützung Intensivere Beratung des Kunden im Pre-Sales Prozess MSS wird viel granularer / transparenter in abgrenzbaren Leistungs-Paketen angeboten Der Wechsel von Leistungs-Paketen innerhalb von MSS wird flexibel und rasch umsetzbar sein Aufbau, sowie Reduzierung von MSS möglich Anregungen: Wie sehr ist IT-Security mein Kerngeschäft? Wie viel Zeit investieren meine Mitarbeiter monatlich in IT-Security? Wie professionell wird das Thema intern behandelt? welches Risiko ergibt sich? Wie viele umsatzrelevante Projekte könnten mit mehr HR-Ressourcen rascher beendet werden? Weiterentwicklung eines bereits erfolgreichen Services qualifizierte Mitarbeiter, Prozesse, Dokumentation, Support, Consulting, uvm. 15

16 Konzentrieren Sie sich auf Ihr Kerngeschäft Überlassen Sie Security den Experten VIELEN DANK FÜR IHRE AUFMERKSAMKEIT Phone: +43 (1) Mobile: