Viele Unternehmen haben Ausgaben für IT-Security nicht im Griff

Viele der großen Unternehmen überdehnen ihre Budgets für IT-Security, agieren in IT-Sicherheitsfragen häufig zu reaktiv und jagen den Sicherheitsrisiken der Vergangenheit hinterher. Das ist das Ergebnis einer Erhebung von Forrester Research unter IT-Security-Entscheidern in insgesamt 50 US-amerikanischen Unternehmen mit mehr als einer Milliarde Dollar Umsatz Jahresumsatz.

Demnach können 28 Prozent der befragten Unternehmen ihre IT-Sicherheitsausgaben nicht näher beziffern. Rund vierzehn Prozent der Unternehmen verfügen nicht über ein konsolidiertes Budget für IT-Security. Fast ein Drittel der Unternehmen hatte in 2002 zudem ihr Sicherheitsbudget überschritten. Das Gros der Unternehmen gibt bis zu 5 Millionen US-Dollar jährlich für die Sicherheit ihrer Informationstechnologie aus, bei lediglich zwei Prozent liegt diese Summe jenseits der 50 Millionen Dollar-Grenze.

Eines der wesentlichen Probleme der Budgetierung von IT-Security sei, so die Ergebnisse der Umfrage, die durch die Unternehmen kaum bestimmbare Größenordnung künftiger Sicherheitsbedrohungen. Vielmehr reagiere man, so Forrester-Analystin Laura Koetzle, stark reaktiv. Darüber hinaus könne man bei der Budgetplanung selten von definierten Standards ausgehen, da beim Thema IT-Sicherheit viele im Unternehmen eine Entscheidungsberechtigung, jedoch nicht alle auch die notwendige Fachkenntnis hätten.

Forrester-Analystin Koetzle rät, die mit der „Planbarkeit“ von IT-Security verbundenen Unsicherheitsfaktoren systematisch einzugrenzen und nicht lediglich ad-hoc zu reagieren. Darüber hinaus sollten sich Unternehmen auch von dem Gedanken frei machen, in Gegenmaßnahmen für alle potentiellen Risiken zu investieren. Vielmehr komme es darauf an, den Schnittpunkt der optimalen IT-Sicherheitsausgaben zu definieren — dieser ergebe sich aus dem Maximum akzeptablen Risikos, den Komplettkosten und der tatsächlichen Auswirkung aller IT-Security-Investitionen. Die mit Abstand größte Bedrohung beim Ausnutzen von IT-Sicherheitslücken innerhalb von Unternehmen ist der Diebstahl von „intellectual property“ (30 Prozent), gefolgt von Böswilligkeit (30 Prozent) und Unterschlagung (22 Prozent).