IT-Security in Österreich 2008

Transkript

1 IT-Security in Österreich 2008 Status, Trends und Strategien Abschlussbericht einer Primäruntersuchung der TechConsult Kassel, im März 2008 Ein Research-Projekt mit freundlicher Unterstützung von

2 Copyright Dieser Untersuchungsbericht wurde von der TechConsult GmbH erhoben und erstellt. Die darin enthaltenen Daten und Informationen wurden gewissenhaft und mit größtmöglicher Sorgfalt nach wissenschaftlichen Grundsätzen ermittelt. Für deren Vollständigkeit und Richtigkeit kann jedoch keine Garantie übernommen werden. Alle Rechte am Inhalt dieses Untersuchungsberichts liegen bei der TechConsult GmbH. Vervielfältigungen, auch auszugsweise, sind nur mit schriftlicher Genehmigung der TechConsult GmbH gestattet. Copyright TechConsult GmbH , TechConsult GmbH 1

3 Inhaltsverzeichnis Copyright 1 Inhaltsverzeichnis 2 Abbildungsverzeichnis 3 Abkürzungsverzeichnis 5 1 Management Summary 6 2 Ausgangssituation 11 3 Field Research Methodik und Stichprobe IT-Ausstattung der Stichprobe 18 4 IT-Sicherheit aus Sicht der Unternehmen Organisation und Verantwortlichkeit Security Policies und Compliance Bedrohungspotentiale und Schadensarten Zukünftige Herausforderungen 39 5 Investitionen in die IT-Sicherheit IT-Markt Österreich IT-Security-Budgets Treiber und Hemmnisse für IT-Security-Investitionen 51 6 Technologien und Lösungen für die IT-Sicherheit Auswahl eines Technologieanbieters Einsatz und Planungsgrad für IT-Security-Technologien Mobile Security Security Appliances 63 7 IT-Security-Services Managed Security Services 67 8 Auswahl, Bekanntheit und Bewertung von IT-Security-Anbietern Auswahlkriterien für und Zufriedenheit mit IT-Security-Dienstleistern Bekanntheit und Bewertung von IT-Security-Dienstleistern Auswahlkriterien für und Zufriedenheit mit IT-Security-Lösungsanbietern Bekanntheit und Bewertung von IT-Security-Lösungsanbietern 89 9 Kontakt , TechConsult GmbH 2

4 Abbildungsverzeichnis Abbildung 1: Stichprobe nach Unternehmensgrößen 14 Abbildung 2: Stichprobe nach Branchen 15 Abbildung 3: Umsatz der Stichprobe in Abbildung 4: Stichprobe nach Interviewpartnern 17 Abbildung 5: Anzahl der IT-Arbeitsplätze (stationär und mobil) 18 Abbildung 6: Anteil stationärer und mobiler IT-Arbeitsplätze derzeit 19 Abbildung 7: Anteil stationärer und mobiler IT-Arbeitsplätze zukünftig 20 Abbildung 8: Anzahl der Server im Unternehmen 21 Abbildung 9: Struktur der IT-Sicherheitsorganisation 23 Abbildung 10: Anzahl Mitarbeiter des IT-Security-Teams 24 Abbildung 11: Anzahl Manntage für IT-Security-Aufgaben 25 Abbildung 12: Teilbereiche der IT-Security-Aufgaben 26 Abbildung 13: Verantwortlichkeit für IT-Security-Projekte Initiatoren 27 Abbildung 14: Verantwortlichkeit für IT-Security-Projekte Budgetverantwortliche 28 Abbildung 15: Verantwortlichkeit für IT-Security-Projekte Anbieter-/Produktauswahl 29 Abbildung 16: Anteil fixierter IT-Security-Policies 30 Abbildung 17: Anteil dedizierter Mobile-Security-Policies 31 Abbildung 18: Durchsetzung von IT-Security-Policies 32 Abbildung 19: Compliance Regulative Vorgaben der Unternehmen 33 Abbildung 20: Wege zur Einhaltung von Compliance nach Größenklassen 34 Abbildung 21: Wege zur Einhaltung von Compliance nach Branchen 35 Abbildung 22: Einschätzung von Bedrohungspotentialen nach Größenklassen 36 Abbildung 23: Einschätzung von Bedrohungspotentialen nach Branchen 37 Abbildung 24: Erfahrungen mit Schadensarten 38 Abbildung 25: Zukünftige Herausforderungen im Umfeld IT-Security 39 Abbildung 26: IT-Markt Österreich 2007 bis Abbildung 27: IT-Markt Österreich 2008 nach Branchen 42 Abbildung 28: IT-Markt Österreich 2008 nach Unternehmemsgrößenklassen 43 Abbildung 29: IT-Budget pro Mitarbeiter Abbildung 30: Anteil IT-Security-Ausgaben an Gesamt-IT-Budget Abbildung 31: Absolutes IT-Security-Budget Abbildung 32: Entwicklung des IT-Security-Budgets Abbildung 33: Entwicklung des IT-Security-Budgets in Prozent 48 Abbildung 34: IT-Security-Marktvolumen Österreich Abbildung 35: Anteil Datenschutz/Datensicherheit an IT-Security-Ausgaben 50 Abbildung 36: Anteil HW, SW, Personal, Services an IT-Security-Ausgaben 51 Abbildung 37: Treiber für IT-Security-Ausgaben nach Größenklassen 53 Abbildung 38: Treiber für IT-Security-Ausgaben nach Branchen 54 Abbildung 39: Hemmnisse für IT-Security-Ausgaben nach Größenklassen 55 Abbildung 40: Hemmnisse für IT-Security-Ausgaben nach Branchen 56 Abbildung 41: Auswahlkriterien für Technologieanbieter 58 Abbildung 42: Einsatz und Planungsgrad für IT-Security-Technologien (1) 59 Abbildung 43: Einsatz und Planungsgrad für IT-Security-Technologien (2) , TechConsult GmbH 3

5 Abbildung 44: Treiber für den Einsatz von Mobile-Security-Lösungen nach Größenklassen 61 Abbildung 45: Treiber für den Einsatz von Mobile-Security-Lösungen nach Branchen 62 Abbildung 46: Einsatz und Planungsgrad für Features von Security Appliances 63 Abbildung 47: Treiber für den Einsatz von Security Appliances nach Größenklassen 64 Abbildung 48: Treiber für den Einsatz von Security Appliances nach Branchen 65 Abbildung 49: Einsatz und Planungsgrad für IT-Security-Dienstleistungen 66 Abbildung 50: Einsatz und Planungsgrad für Arten von Managed-Security-Services 68 Abbildung 51: Auswahlkriterien für IT-Security-Dienstleister nach Wichtigkeit und Zufriedenheit (1) 70 Abbildung 52: Auswahlkriterien für IT-Security-Dienstleister nach Wichtigkeit und Zufriedenheit (2) 71 Abbildung 53: Auswahlkriterien für IT-Security-Dienstleister nach Größenklassen (1) 72 Abbildung 54: Auswahlkriterien für IT-Security-Dienstleister nach Größenklassen (2) 73 Abbildung 55: Auswahlkriterien für IT-Security-Dienstleister nach Branchen (1) 74 Abbildung 56: Auswahlkriterien für IT-Security-Dienstleister nach Branchen (2) 75 Abbildung 57: Zufriedenheit mit Kriterien für IT-Security-Dienstleistern nach Größenklassen (1) 76 Abbildung 58: Zufriedenheit mit Kriterien für IT-Security-Dienstleister nach Größenklassen (2) 77 Abbildung 59: Zufriedenheit mit Kriterien für IT-Security-Dienstleister nach Branchen (1) 78 Abbildung 60: Zufriedenheit mit Kriterien für IT-Security-Dienstleister nach Branchen (2) 79 Abbildung 61: Bekanntheit und Leistungsfähigkeit von IT-Security-Dienstleistern (1) 80 Abbildung 62: Bekanntheit und Leistungsfähigkeit von IT-Security-Dienstleistern (2) 81 Abbildung 63: Bewertung von IT-Security-Dienstleistern nach Größenklassen (1) 82 Abbildung 64: Bewertung von IT-Security-Dienstleisterb nach Größenklassen (2) 83 Abbildung 65: Bewertung von IT-Security-Dienstleistern nach Branchen (1) 84 Abbildung 66: Bewertung von IT-Security-Dienstleistern nach Branchen (2) 85 Abbildung 67: Auswahlkriterien für Anbieter von IT-Security-Lösungen nach Größenklassen 86 Abbildung 68: Auswahlkriterien für Anbieter von IT-Security-Lösungen nach Branchen 87 Abbildung 69: Zufriedenheit mit Anbietern von IT-Security-Lösungen nach Größenklassen 88 Abbildung 70: Zufriedenheit mit Anbieter von IT-Security-Lösungen nach Branchen 89 Abbildung 71: Bekanntheit und Leistungsfähigkeit von Anbietern von IT-Security-Lösungen (1) 90 Abbildung 72: Bekanntheit und Leistungsfähigkeit von Anbietern von IT-Security-Lösungen (2) 91 Abbildung 73: Bewertung von Anbietern von IT-Security-Lösungen nach Größenklassen (1) 92 Abbildung 74: Bewertung von Anbietern von IT-Security-Lösungen nach Größenklassen (2) 93 Abbildung 75: Bewertung von Anbietern von IT-Security-Lösungen nach Größenklassen (3) 94 Abbildung 76: Bewertung von Anbietern von IT-Security-Lösungen nach Branchen (1) 95 Abbildung 77: Bewertung von Anbietern von IT-Security-Lösungen nach Branchen (2) 96 Abbildung 78: Bewertung von Anbietern von IT-Security-Lösungen nach Branchen (3) , TechConsult GmbH 4

6 Abkürzungsverzeichnis CEO CIO HW IDS/IPS IT KMU MA OS PDA SW TCO VPN Chief Executive Officer Chief Information Officer Hardware Intrusion Detection / Prevention Informationstechnologie Kleine und mittelständische Unternehmen Mitarbeiter Operating System (Betriebssystem) Personal Digital Assistant Software Total Cost of Ownership Virtual Private Network 2008, TechConsult GmbH 5

7 2 Ausgangssituation Das Thema Sicherheit der Unternehmens-IT gewinnt aufgrund zunehmender Bedrohungen von außerhalb der Betriebe als auch im Hinblick auf Gefahren für den Datenschutz, die innerhalb der Organisationen liegen, immer größere Bedeutung. Der Markt für Lösungen und Dienstleistungen in diesem Umfeld ist deshalb seit Jahren durch ein kontinuierlich starkes Wachstum gezeichnet. Österreich gilt als ein wichtiger Fokusmarkt vieler internationaler Anbieter im ITK- Bereich. Die Bedeutung dieses zentraleuropäischen Marktes zeigt sich unter anderem in der Resonanz der Austeller auf lokaler Messen, im Besonderen der ITnT, Österreichs größter IT-Messe und Treffpunkt der Führungsriege der heimischen IT-Branche. Der Ausstellungsort Wien gilt zudem als Drehscheibe für Emerging Markets in Süd- und Osteuropa. Nationale und internationale Anbieter erhoffen sich durch die kürzlich erfolgte Erweiterung des Schengenraumes die zusätzliche Kundenansprache in diesen Regionen. Ein klassisches Thema der ITnT ist schon seit einigen Jahren die IT-Sicherheit, dem sich heuer mittlerweile über hundert Anbieterunternehmen widmen. Und auch die Besucherumfragen zeigen, dass sich IT-Security neben dem aktuell großen Hype-Thema Green-IT und der Geschäftslösungs-orientierten Thematik (heuer vor allem CRM) großem Interesse erfreut. Dedizierte Veranstaltungen für IT-Security- & Service-Management wie das im Frühjahr 2008 stattfindende 4. Information-Security-Symposium - ebenfalls in Wien - verdeutlichen noch einmal die besondere Bedeutung von IT-Security in diesem Markt. Neben den klassischen IT-Security-Systemen, z.b. Antiviren-Lösungen, Virtual Private Networks (VPN) und Firewalls sowie Speziallösungen im Bereich von Identity Management, Intrusion Prevention oder Content Security, kommen zunehmend die Security Appliances in den Anwenderfokus. Sie vereinen ausgewählte Sicherheitskomponenten in einer Hardware-Box, sind daher leicht zu integrieren und bieten ein gutes Preis-Leistungsverhältnis. Unter Berücksichtigung der immer stärkeren Nutzung mobiler Endgeräte nehmen auch die Anforderungen an Mobile Security Solutions zu. Die in nicht unerheblicher Anzahl der Öffentlichkeit bekannt gewordenen Meldungen von Datenverlusten durch nicht ausreichend geschützte Mobile Devices wie Laptop, Personal Digital Assistant (PDA), Smartphone aber auch externe Festplatte oder USB-Stick, die der Eigenschaft Mobilität 2008, TechConsult GmbH 11

8 nach naturgemäß einem größeren Bedrohungspotential als stationäre Systeme ausgesetzt sind, warnen Unternehmen und treiben diesbezüglichen Handlungsbedarf. In Zeiten, wo das Firmen-Budget optimal verwendet werden muss, zeigt sich der Outsourcing-Trend auch im Umfeld der IT-Sicherheit. Managed Security Services können dabei für Anwender zunehmend interessant werden. Die Auslagerung von Sicherheitseinheiten wie z.b. Content Filtering an externe Service Provider kann Zeit und Kosten sparen. Um diesen aktuellen Technologiethemen und dem für Zentraleuropa wichtigen Markt Österreich Bedeutung zu schenken, hat sich das Analystenhaus und Marktforschungsunternehmen TechConsult in der vorliegenden Studie folgenden Inhalten gewidmet: Eruierung des aktuellen Markt-Status, der Markt-Entwicklung und von aktuellen Strategien der Anwenderunternehmen im Umfeld der IT-Sicherheit Fokusbetrachtung der wachstumsstarken Marktsegmente für Mobile Security, Security Appliances und Managed Security Services Analyse der Anwender-Budgets für IT-Security Treiber und Hemmnisse für IT-Security-Investitionen Struktur bestehender und geplanter Lösungen/Services für die IT-Sicherheit Kriterien zur Auswahl eines Anbieter für die IT-Sicherheit Im Auftrag von Check Point, Citrix, IBM, Internet Security AG, Kapsch, Kaspersky, Novell, Phion, Schoeller, SEC Consult, Telekom Austria und mit Unterstützung der Computerwelt.at befragte TechConsult dazu IT-Entscheidungsträger in insgesamt 100 österreichischen Unternehmen ab 250 Mitarbeiter. 2008, TechConsult GmbH 12

9 3 Field Research Methodik und Stichprobe IT-Sicherheit ist sowohl ein branchen- als auch größenklassen-übergreifendes Thema. Um den Schwerpunkt auf mittelständische und größere Anwenderunternehmen zu legen, die nach Erfahrungswerten früherer TechConsult-Untersuchungen eine größere abzufragende Bandbreite von IT-Sicherheitslösungen und Dienstleistungen einsetzen bzw. in Anspruch nehmen, wurden als Zielgruppe der aktuellen Befragung alle Unternehmensgrößen ab 250 Mitarbeiter in Österreich festgelegt. TechConsult führte für diese Studie im Januar/Februar 2008 Gespräche mit insgesamt 100 IT-Entscheidern. Der Fokus der vorliegenden Untersuchung liegt auf folgenden drei Größenklassen. Unternehmen mit 250 bis unter 500 Mitarbeiter Unternehmen mit 500 bis unter Mitarbeitern Unternehmen mit und mehr Mitarbeitern Die realisierte Branchenverteilung orientiert sich nicht am tatsächlichen Branchenquerschnitt in Österreich, sondern wurde bewusst disproportional gewählt, um für die einzelnen Branchen eine hinreichende Fallzahl für Branchenaussagen zu realisieren. Die Branchenbetrachtung konzentriert sich auf die folgenden vier Segmente: Dienstleistungen Handel Industrie Öffentliche Verwaltungen / Non-Profit Unternehmen Durchgeführt wurde die Feldphase im TechConsult-eigenen Call Center durch Interviewer, die sich durch mehrjährige Tätigkeit in einer Vielzahl an IT-Projekten in diesem Bereich ein sehr hohes Wissen aufgebaut haben. Die Befragung erfolgte anhand eines programmierten Fragebogens mit ca. 30 Fragen (exklusive Filterfragen). Die Stichprobe der Studie setzt sich wie folgt zusammen: 2008, TechConsult GmbH 13

10 Wie viele Mitarbeiter beschäftigt Ihr Unternehmen in Österreich? und mehr Mitarbeiter 20% 250 bis 499 Mitarbeiter 50% 500 bis 999 Mitarbeiter 30% TechConsult, Kassel 2008 Basis: 100 Unternehmen Abbildung 1: Stichprobe nach Unternehmensgrößen Die Hälfte der befragten Unternehmen gehört zum unteren Mittelstandsbereich dieser Stichprobe mit 250 bis unter 500 Mitarbeitern. Etwa ein Drittel der Befragten stammt aus dem mittleren Mittelstandssegment mit 500 bis unter Mitarbeitern. Bei 20% handelt es sich um Organisationen des gehobenen Mittelstands mit und mehr Mitarbeitern. 2008, TechConsult GmbH 14

11 Welcher Branche gehört Ihr Unternehmen an? Öffentliche Verwaltung/ Non-Profit Unternehmen 18% Industrie 43% Dienstleistung 26% Handel 13% Basis: 100 Unternehmen TechConsult, Kassel 2008 Abbildung 2: Stichprobe nach Branchen Der Großteil der befragten Betriebe dieser Studie stammt aus dem produzierenden Gewerbe, einer der sicherheitskritischsten Wirtschaftssektoren. Dienstleister bilden rund ein Viertel der Stichprobe. Aus dem Sektor öffentliche Hand stammen 18% der Befragten und den geringsten Anteil an der Stichprobe machen die österreichischen Groß- und Einzelhandelsunternehmen aus. 2008, TechConsult GmbH 15

12 Wie hoch war der Umsatz Ihres Unternehmens in Österreich 2007? 500 Mio. bis unter 1. Mrd. Euro 6% 1. Mrd. bis unter 10 Mrd. Euro 8% 10 Mio. bis unter 20 Mio. Euro 6% 20 Mio. bis unter 50 Mio. Euro 26% 100 Mio. bis unter 500 Mio. Euro 34% 50 Mio. bis unter 100 Mio. Euro 20% Basis: 50 Unternehmen TechConsult, Kassel 2008 Abbildung 3: Umsatz der Stichprobe in 2007 Der Untersuchungsschwerpunkt auf mittelständischen Unternehmen spiegelt sich in der Umsatzstruktur der Stichprobe wider. So erzielte rund ein Drittel der Betriebe einen Umsatz in 2007, der zwischen 100 und 500 Mio. Euro lag und der Median liegt bei 81 Mio. Euro. 2008, TechConsult GmbH 16

13 Welche Position nehmen Sie in Ihrem Unternehmen ein? Leiter Netzwerkplanung / Systemadministration 12% Sonstiges 5% Leiter IT-Security 16% IT-Leiter / CIO 67% Basis: 100 Unternehmen TechConsult, Kassel 2008 Abbildung 4: Stichprobe nach Interviewpartnern Die Zielgruppe dieser Studie rekrutiert sich vor allem aus IT-Entscheidern auf Leiter- und CIO-Ebene. Ziel der Untersuchung war es, Ansprechpartner im Umfeld der IT-Sicherheit zu identifizieren, die sich entweder dediziert mit dem Thema beschäftigen oder in deren Aufgabenbereiche IT-Security als ein wesentliches Element fällt. 16% der Interviewpartner waren dedizierte IT-Security-Leiter, die sich hauptsächlich mit dem Thema Sicherung der Unternehmens-IT beschäftigen. 2008, TechConsult GmbH 17

14 9 Kontakt Autor dieser Studie: Denis Mrksa TechConsult GmbH Am Platz der Deutschen Einheit Leipziger Strasse Kassel Germany Telefon: +49(0)561 / Fax: +49(0)561 / Mail: 2008, TechConsult GmbH 98