Wirtschaftlichkeit Wie bewertet man die Wirtschaftlichkeit von IT-Sicherheit Thomas Neururer

Transkript

1 IT-Sicherheit in der Praxis Wirtschaftlichkeit Wie bewertet man die Wirtschaftlichkeit von IT-Sicherheit Thomas Neururer Seminar: Aktuelle Themen der Wirtschaftsinformatik und des Electronic Government (SS 16) Dozent: David Kotarski

2 2 Inhalt 1 Was ist Wirtschaftlichkeit im Themenfeld der IT-Sicherheit 2 Wirtschaftlichkeitsberechnungen 3 Fazit 4 Literatur 5 Diskussion

3 3 1.1 Wirtschaftlichkeit a) Absolute Wirtschaftlichkeit: Für eine bestimmte Handlung ermittelte Beziehung zwischen dem Handlungsergebnis und dem dafür erforderlichen Mitteleinsatz. Der Wert des Handlungsergebnisses und des Mitteleinsatzes wird durch die jeweils relevanten Ziele festgelegt, in einem erwerbswirtschaftlichen Unternehmen durch Erträge und Aufwendungen oder Erlöse und Kosten gemessen. Ein Investitionsprojekt ist z.b. dann absolut wirtschaftlich, wenn sein Kapitalwert größer als Null ist. Weber (2016)

4 4 1.2 Anwendbarkeit der Definition? Welche Wertschöpfung wird durch Investitionen in IT Sicherheit erreicht? Was ist der konkrete monetäre Nutzen?

5 5 1.2 Anwendbarkeit der Definition? Risiken: indirekte Verluste -reduktion -diversifikation Risiko -vermeidung => Definition ist anwendbar, aber die Variablen sind schwer zu bestimmen. -vorsorge -transfer Eigene Darstellung (2016) nach Prokein (2008)

6 6 1.3 Frage in den Raum Wie würdet ihr IT-Sicherheit aus wirtschaftlicher Sicht bewerten?

7 7 Inhalt 1 Was ist Wirtschaftlichkeit im Themenfeld der IT-Sicherheit 2 Wirtschaftlichkeitsberechnungen 3 Fazit 4 Literatur 5 Diskussion

8 8 2.1 RoSI Return on Security Investment Sonnenreich, W.; Albanese, J.; Stout, B.(2006)

9 9 2.1 RoSI Die Quantifizierung der Risiken ist eine Rückwärtsgewandte Betrachtung, der bisher eingetretenen Schäden ohne Anpassung für die Zukunft Die anteilige Risikoreduktion ist die geschätzte Abwendung von bisherigen Schäden durch das neue System Das Ergebnis der Rechnung ist die Dauer, nach welcher sich die Investition amortisiert hat Demme (2015)

10 RoSI Geeignet für: Einfache kurzperiodische Entscheidungen, bei denen die zukünftigen Vorteile bekannt sind. Positiv einfache Handhabung verständlicher Rechenweg klare Aussage Negativ keine multiperiodische Betrachtung Keine Opportunitätskosten Keine qualitativen Aussagen Qualität der Eingabewerte ist kritisch Demme (2015)

11 dynamische RoSI/ RoSI Faisst Reduzierung der Schadenshöhe Opportunitätskosten Kronschnabl,S.A. (2010), Demme (2015)

12 dynamische RoSI/ RoSI Faisst Das Ergebnis der Berechnung ist der Kapitalwert Der Schadenswert wird zwar durch historische Daten ermittelt, kann aber durch Annahme an die Zukunft weitergedacht werden Die Zinssätze können das Ergebnisse stark beeinflussen. Demme (2015)

13 dynamische RoSI/ RoSI Faisst Geeignet für: Einfache mehrperiodische Entscheidungen, bei denen die zukünftigen Vorteile bekannt sind. Positiv relativ einfache Handhabung verständlicher Rechenweg klare Aussage Dynamisches Verfahren (multiperiodische Betrachtung) Berücksichtigung von Opportunitätskosten Negativ Qualität der Eingabewerte ist kritisch Keine qualitativen Aussagen Demme (2015)

14 WiBe Quantitativ monetäre WiBe KN Kosten-Nutzen WiBe KN/R mit Risikozuschlag Qualitativ WiBe E externe Effekte WiBe Q qualitativ-strategische Bedeutung WiBe D Dringlichkeit (entfällt seit 4.1) link WiBe 4.1 (2007), Wibe.de (2015a), Wibe.de (2015b):

15 WiBe Das Ergebnis der Berechnung ist der Kapitalwert Die qualitative Betrachtung wird erst durchgeführt, wenn die monetäre Betrachtung die Investition nicht zulässt. Die qualitative Betrachtung ersetzt dann die monetäre Betrachtung Die Variablen werden nach einem ausführlichen Leitfaden gesammelt um alle Bereiche abzudecken. Demme (2015)

16 WiBe Geeignet für: komplexe, großvolumige Investitionsentscheidungen, bei denen Transparenz der Datengrundlage wichtig ist. Positiv Relativ einfache Handhabung verständlicher Rechenweg multiperiodische Betrachtung möglich Sehr detaillierte Daten Negativ Sehr aufwendige Datenerhebung Qualitative Bewertung wird erst nach nicht bestandener monetärer Prüfung relevant, erst diese dann aber gänzlich Demme (2015)

17 VaR Value at Risk Schierenbeck, H.; Lister, M.; Kirmße, S.(2008)

18 VaR Das Ergebnis ist der zu erwartende Verlust mit der Investition, der dem zu erwartenden Verlust ohne die Investition gegenüber steht. Da der Durchschnittswert der bisher entstanden Verluste als Grundlage für die zukünftigen Verluste herangezogen wird ist die Qualität dieser Daten außerordentlich wichtig. Demme (2015)

19 VaR Geeignet für: Höheres Management - stark kondensierte Kennzahl Positiv C-Level freundlich multiperiodische Betrachtung Negativ Keine qualitativen Aussagen Keine Opportunitätskosten relative Aussage Qualität der Eingabewerte ist kritisch Periodizität wird nicht automatisch berücksichtigt Demme (2015)

20 QUANTSEC Quantifying Security Chehrazi, Schmitz, Hinz (2015)

21 QUANTSEC Das Konzept errechnet den monetären Nutzen der Investition Es benutzt dazu aber auch qualitative Merkmale die monetarisiert werden. Besonders betrachtet es die Ersparnisse, welche die Implementierung der Security zu unterschiedlichen Zeitpunkten bringt. Aufwendiges Konzept zur Berechnung der Schäden die vor bzw. nach Maßnahmeneinführung entstehen. Chehrazi, Schmitz, Hinz (2015)

22 QUANTSEC Geeignet für: SW Entwicklungen mit Security by Design. Positiv klare Aussage Bewertung der Sicherheitsimplementierungen vor und nach Release Qualitative Bewertung Schadenshöhe wird sehr differenziert berechnet Negativ keine multiperiodische Betrachtung Keine Opportunitätskosten Datenaufwendig Chehrazi, Schmitz, Hinz (2015)

23 23 Inhalt 1 Was ist Wirtschaftlichkeit im Themenfeld der IT-Sicherheit 2 Wirtschaftlichkeitsberechnungen 3 Fazit 4 Literatur 5 Diskussion

24 24 3. Fazit Alle Konzepte müssen sich am Ende die Frage gefallen lassen, wie Belastbar sie sind -> zentrale Variablen werden durch Schätzung ermittelt Besser ein begrenztes statt keines Konzepts? -> Ja. Denn nur so lassen sich überhaupt objektive Entscheidungen treffen. Gibt es das Konzept? -> Nein, eher nicht. Die Auswahl des Konzeptes ist Situationsabhängig. Bei einer Investitionsentscheidung sollte deswegen auch das Wirtschaftlichkeitskonzept begründet werden.

25 25 Inhalt 1 Was ist Wirtschaftlichkeit im Themenfeld der IT-Sicherheit 2 Wirtschaftlichkeitsberechnungen 4 Literatur 5 Diskussion

26 26 4 Literatur Chehrazi, G.; Schmitz, C.; Hinz, O. (2015): QUANTSEC - Ein Modell zur Nutzenquantifizierung von IT- Sicherheitsmaßnahmen, in: Thomas. O.; Teuteberg, F. (Hrsg.): Proceedings der 12. Internationalen Tagung Wirtschaftsinformatik (WI 2015), Osnabrück, S Demme, M. (2005): Vergleich bestehender Wirtschaftlichkeitsbetrachtungen zur Bewertung von Investitionen im Bereich der IT-Sicherheit Bachelorarbeit Uni Potsdam (nicht veröffentlicht) Prokein, O.(2008): T-Risikomanagement. Identifikation, Quantifizierung und wirtschaftliche Steuerung. Gabler. Wiesbaden. Schierenbeck, H.; Lister, M.; Kirmße, S.(2008): Ertragsorientiertes Bankmanagement. Band 2: Risiko-Controlling und integrierte Rendite-/Risikosteuerung, 9. Auflage, Wiesbaden Sonnenreich, W.; Albanese, J.; Stout, B.(2006): Return on Security Investment (ROSI) A Practical Quantitative Model. Feb. In: Journal of Research and Practice in IT, Vol. 38, No.1 Weber, J. (2016): Wirtschaftlichkeit. Springer Gabler Verlag (Herausgeber), Gabler Wirtschaftslexikon, Stichwort: Wirtschaftlichkeit, online im Internet: 35/Archiv/3570/wirtschaftlichkeit-v5.html (abgerufen am )

27 27 4 Literatur Kronschnabl,S.A. (2010): Konzeption eines Modells zur Bestimmung des optimalen Investitionsbeitrags in IT-Sicherheits- bzw. IT-Notfallmaßnahmen unter Berücksichtigung Compliance-bedingter Anforderungen: In: MKWI 2010 Integriertes ERM in automatisierten Geschäftsprozessen. online im Internet: ags.pdf (abgerufen am ) WiBe 4.1 (2007): Empfehlung zur Durchführung von Wirtschaftlichkeitsbetrachtungen in der Bundesverwaltung, insbesondere beim Einsatz der IT. Version 4.1, Schriftenreihe der KBSt, Band 92, Januar online im Internet: Standards/wibe_fachkonzept_download.pdf? blob=publicationfile (aufgerufen ) Wibe.de (2015a): WiBe Version 5.0 online im Internet: (abgerufen am ) Wibe.de (2015b): WiBe 5.0 Standardkriterienkatalog. online im Internet: (abgerufen am )

28 28 5 Diskussion Welches Konzept würdet ihr nutzten? Was haltet ihr von dem Datenaufwand bei WiBe? Was haltet ihr von der komplexen Risikobewertung bei Quantsec?

29 Vielen Dank für die Aufmerksamkeit!