Kosten-Nutzen von Security. Wirtschaftlichkeitsrechnungen, ROI und Projektanträge

Transkript

1 Wirtschaftlichkeitsrechnungen, ROI und Projektanträge Martin Seeger NetUSE AG Dr.-Hell-Straße Kiel Copyright 2003 by NetUSE AG 1

2 Problemstellung Rahmenparameter Kosten-Nutzen von Security - Agenda - Gefühlter Wert von Security F.U.D Internes Marketing Finanzieller Wert von Security Vermiedene Schäden Einsparungen Neue Möglichkeiten Fazit Copyright 2003 by NetUSE AG 2

3 - Problemstellung - Security ist kein Selbstgänger mehr Das Management möchte ROI-Kalkulationen, Wirtschaftlichkeitsbetrachtungen und Projektpläne bevor es über Projekte entscheidet Security produziert keine Einnahmen Security produziert nur Kosten Der Nutzen ist schwer meß- und darstellbar Copyright 2003 by NetUSE AG 3

4 - Problemstellung - Das Firmenbudget aus Sicht der Security-Abteilung Marketing IT Security Copyright 2003 by NetUSE AG 4

5 Zwischenfazit Kosten-Nutzen von Security - Problemstellung - Security-Abteilungen oder -Teams müssen ihre Kosten in Relation setzen Der Wert von Security muß transparent gemacht werden Wenn dies nicht geschieht: Budget-Streichungen Copyright 2003 by NetUSE AG 5

6 - Rahmenparameter - Rahmenparameter 1: Kosten von Schäden und Schutzmaßnahmen Grundlage hierfür ist eine Schadensabschätzung: Summe über alle möglichen Schadensfälle multipliziert mit der Eintrittswahrscheinlichkeit Die Kosten für die Schutzmaßnahmen dürfen die Kosten der Schadensabschätzung nicht überschreiten Stellt man fest, daß die Kosten für die Schutzmaßnahmen die eigene Schadensabschätzung bereits übersteigen, dann wurden in der Regel bei der Schadensabschätzung in der Regel Punkte übersehen (z.b. Image-Schäden), die man nur intuitiv einkalkuliert Copyright 2003 by NetUSE AG 6

7 - Rahmenparameter - Rahmenparameter 2: Kosten der Schutzmaßnahmen und Nutzen des geschützten Objektes Aus dem zu schützenden Objekt (z.b. Internet-Anschluß) zieht das Unternehmen einen meßbaren Nutzen Die Kosten für die Schutzmaßnahmen dürfen den Nutzen des Objektes nicht übersteigen Häufig entfällt diese Betrachtung: Eine Projekt wird realisiert obwohl die Kosten für einen angemessenen Schutz den Nutzen übersteigen würden. Folge: Auf die Schutzmaßnahmen wird verzichtet Copyright 2003 by NetUSE AG 7

8 - Gefühlter Wert von Security - Menschen bewerten den Nutzen von Maßnahmen häufig aufgrund des eigenen Empfindens Gerade bei zahlenmässig schwer zu fassenden Bereichen wie der Security überwiegt das subjektive Empfinden die Bewertung Die Bewertung findet in der Regel aufgrund von persönlichen Erfahrungen statt: Wessen Rechner bereits einmal gehackt wurde, der mißt der Security höhere Bedeutung bei Zur Zeit wird Security in der Regel über den gefühlten Wert verkauft (siehe Versicherungen) Copyright 2003 by NetUSE AG 8

9 - Gefühlter Wert von Security - Die Standardmethode um den gefühlten Wert von Security zu erhöhen ist F.U.D. F.U.D. Steht für Fear, Uncertainty, Doubt Dem Kunden oder Nutzter wird ein Horror -Szenario vorgestellt, was alles ohne Security passieren könnte Security wird wie eine Versicherung angepriesen: Ein Schutz für einen Fall der hoffentlich nicht eintritt Problem: Desensibilisierung durch wiederholte Darstellung, F.U.D. eignet sich schlecht als wiederkehrendes Argument Positiv: Die Medien unterstützen F.U.D. Copyright 2003 by NetUSE AG 9

10 - Gefühlter Wert von Security - Typische F.U.D.-Aussagen Alleine 20 Milliarden Euro Schaden durch MyDoom 23% aller auditierten Unternehmen hatten einen erfolgreichen Angriff 80% aller Angriffe erfolgen von Innen Der typische Schaden eines erfolgreichen Angriffs betrug in 2003 etwa US$ 50% aller im Internet ist SPAM Ein Wurm wie CodeRed verbreitet sich in Minuten um die Welt Copyright 2003 by NetUSE AG 10

11 - Gefühlter Wert von Security - Internes Marketing kann den gefühlten Wert von Security deutlich erhöhen Das Marketing funktioniert in verschiedene Richtungen: Management, Nutzer und Kunden Es sollte den Wert (tatsächlicher Schutz) der Security transparent machen Statt mit einer großen Bedrohung (F.U.D.) wird mit einer Darstellung der vielen kleinen Erfolge gearbeitet Jede Kommunikation mit dem Kunden, Nutzer oder Management ist Marketing Das Marketing kann auch negativ sein Copyright 2003 by NetUSE AG 11

12 - Gefühlter Wert von Security - Schlechtes Marketing 200 Mails vom Typ From: virenscanner@typische-company.de To: Endnutzer@typische-company.de Subject: Virus gefunden In einer Mail an Sie wurde ein Virus gefunden Datum: Absender: unbekannt@massenmailer.de Typ: Sobig.Omega Aktion: Virus gelöscht Copyright 2003 by NetUSE AG 12

13 Gutes Marketing 1 Mail vom Typ Kosten-Nutzen von Security - Gefühlter Wert von Security - From: security-abteilung@typische-company.de To: Endnutzer@typische-company.de Subject: Information über den letzten Monat Sehr geehrter Herr Nutzer, im letzten Monat hat unser System insgesamt Viren gestoppt. Davon waren 42 an Sie addressiert. Eine detailliertere Aufstellung finden Sie im Intranet unter... Copyright 2003 by NetUSE AG 13

14 Gutes Marketing Kosten-Nutzen von Security - Gefühlter Wert von Security - Darstellungen der Form Entwicklung der Viren-Problematik Gefundene Viren / / / / /2003 Sobig.F MyDoom Copyright 2003 by NetUSE AG 14

15 - Finanzieller Wert von Security - Der Hauptzweck von Security ist die Vermeidung von Schäden Wichtig für die interne Argumentation ist eine Dokumentation über vermiedene Schäden Am einfachsten geschieht die noch bei spektakulären Fällen (z.b. MyDoom), wo man den tatsächlichen Aufwand (z.b. Pflege von Mailservern und Virenscannern) in Relation zu den Kosten eines Infektionsfalles (z.b. Ausfall -System) setzen kann Die hier gewonnenen Zahlen können sehr gut im Marketing für die Security verwendet werden Copyright 2003 by NetUSE AG 15

16 - Finanzieller Wert von Security - Security-Maßnahmen können auch konkrete und leicht meßbare Einsparungen zur Folge haben Beispiele: VPN: Die Kosten für ein VPN (inkl. Hard- und Software, Dienstleistung und Pflege) liegen in der Regel um ein mehrfaches unter denen einer Fest- oder Wählverbindung. Im Vergleich zu eine Festverbindung ist aber die Verfügbarkeit verringert. Versicherungen: Für Restrisiken und Haftpflicht werden häufig Versicherungen abgeschlossen. Ggf. können die getroffenen Sicherheitsvorkehrungen als Argument für eine Verringerung der Prämie genutzt werden. Copyright 2003 by NetUSE AG 16

17 - Finanzieller Wert von Security - Häufig werden durch die Security erst neue Geschäftsmöglichkeiten geschaffen Beispiele hierfür: Integration von Partnern, Kunden und Lieferanten in ein Extranet Erbringung von Leistungen über Internet Verkauf von Daten und Informationen Copyright 2003 by NetUSE AG 17

18 - Fazit - Die Betrachtung von Security alleine als notwendiges Übel / notwendiger Kostenfaktor greift zu kurz Für die Darstellung des Wertes von Security sind Dokumentation und Marketing notwendig Copyright 2003 by NetUSE AG 18