PwC kritisiert Strategien: Security-Konzepte sind von gestern

In einer Studie hat PwC herausgefunden, dass Firmen zwar immer mehr in ihre Security investieren, doch allzu häufig ohne zukunftsweisende Strategie. Trotz steigender Investments werden daher die finanziellen Folgen von Security-Vorfällen immer teurer. [...]

Am Ende hängt ja meistens alles irgendwie am Geld. Bei der IT-Sicherheit ist das zurzeit allerdings nicht unbedingt so, wie eine großangelegte Studie von PricewaterhouseCoopers (PwC) in Zusammenarbeit mit unseren amerikanischen Schwesterpublikationen CIO und CSO zeigt. Demnach werden zwar die finanziellen Folgen von Security-Vorfällen immer teurer. Allerdings investieren die Firmen jährlich auch immer mehr in ihre IT-Sicherheit. Doch offenbar wirken diese Ausgaben bei weitem nicht so, wie sie es sollten.
Es fehlt aktuell also weniger an Geld als an Strategien und ihrer Umsetzung. Die Quintessenz der Analysten lautet entsprechend: Häufig sollen die Herausforderungen der Zukunft mit Mitteln von gestern bewältigt werden – und das klappt naturgemäß nicht.
UNBEKANNTE DATEN-JUWELEN
„Man kann die heutigen Bedrohungen nicht mit alten Strategien bekämpfen“, sagt PwC-Analyst Gary Loveland. „Nötig ist ein neues Modell für die IT-Sicherheit, das von Wissen über Gefahren und Werte sowie Motive und Ziele potenzieller Angreifer getrieben ist.“ Was das heißen soll, lässt sich anschaulich vor Augen führen. Bisher ist die IT oft geschützt worden, indem man einfach eine hohe und feuerfeste Mauer um sie herum errichtet hat.
Mittlerweile bedarf es besserer Konzepte. Juwelen lässt ja man auch nicht einfach so herumliegen, auch wenn die Haustür verschlossen ist und es womöglich eine Alarmanlage gibt. Nein, man tut den wertvollen Schmuck in den Safe. Das Problem vieler Unternehmen ist derzeit aber noch, dass sie überhaupt nicht wissen, welche ihrer Daten kostbar wie Edelsteine sind und für welche Standardschutz ausreicht.
Sehr klar zeigt die Studie, für die knapp 10.000 Antworten verschiedener C-Level-Manager weltweit ausgewertet wurden, eines auf: Vorbei sind die Zeiten, in denen die IT-Sicherheit vernachlässigt wurde. 4,3 Millionen US-Dollar geben die befragten Unternehmen in diesem Jahr für IT-Security aus. In den vergangenen Jahren lag das Budget ziemlich konstant bei 2,7 Millionen Dollar, nur 2010 etwa niedriger. Der erkennbare Sprung zeigt, dass die Unternehmen auf die verschärfte Bedrohungslage reagieren.
Das zeitigt durchaus Erfolge. So wurden in den vergangenen zwölf Monaten laut Studie im Durchschnitt um ein Viertel mehr Vorfälle entdeckt als in den Vorjahren. Den Befund interpretiert PwC so, dass nicht einfach mehr Bedrohungen vorkommen, sondern dass besser nach ihnen gesucht wird.
So weit, so gut also. Leider ist gleichzeitig die Zahl der Firmen, die über Vorfälle in ihrem Haus überhaupt nicht mehr Bescheid wissen, auf 18 Prozent gestiegen – der Anteil ist doppelt so hoch wie noch 2011. „Das kann an fortgesetzten Investitionen in Security-Produkte liegen, die auf veralteten Modellen basieren“, kommentiert PwC.