Sparpotenzial Managed Security Services

Patrick Hulliger ist Head Operation und Support bei der Ispin in Bassersdorf.

Der Einsatz von Sicherheitssystemen wie Firewalls, Virenschutz-Gateways oder Intrusion Detection Systemen ist heute nichts Exotisches mehr. Entsprechend haben viele Organisationen und Unternehmen die Anfangs-Euphorie hinter sich gebracht und kämpfen nun mit den täglichen Aufgaben beim Betrieb solcher Systeme. Der Fokus der Unternehmen lag in den letzten Jahren auf der Sicherung des Perimeters und hatte eine verstärkte Nachfrage nach dem Management von Firewalls, Intrusion-Detection-Diensten, Gateway-Antivirenschutz sowie Bedrohungs- und Patch-Warnungen zur Folge. Seit 2006 verschiebt sich der Schwerpunkt immer mehr in Richtung interne Gefahrenabwehr - etwa E-Mail-Filterung am Desktop, Verwaltung der Sicherheitsrichtlinien sowie Indentitäts-Management.

Dem hohen Anspruch eines Unternehmens an die IT-Sicherheit und der nötigen Überwachungsarbeit stehen die oft knappen Ressourcen in der IT-Security-Abteilung gegenüber. Neben dem Know-how-Anspruch steigt auch der Kostendruck. Die Anforderungen an Systemadministratoren und Security-Verantwortliche, die immer komplexeren globalen Netzwerke und Infrastrukturen vor externen und internen Angriffen zu schützen, wird immer höher. Eine funktionsfähige IT ist essenziell für den Erfolg, teilweise gar das Überleben einer Firma.

Wer einst glaubte, nur die Anschaffung von IT-Securitykomponenten wäre ein kostenintensives Vorhaben, der sieht sich heute mit einer Realität konfrontiert, in der die Kosten für Software-Wartungsverträge und den Personalaufwand, der für die ständige Aktualisierung, Konfiguration, Fehlerbehebung und Überwachung betrieben werden muss, die ursprünglichen Anschaffungskosten langsam aber stetig überholen. Der Druck, den geplanten Security-ROI zu erreichen, ist für Unternehmen extrem hoch. Daher werden alle Kosten, die sich um die IT- und Unternehmenssicherheit drehen, genaustens analysiert - seien sie auch noch so versteckt. Gerade die indirekten, auf den ersten Blick nicht sichtbaren Kosten, haben es in sich. Sie sind oft schwer zu messen und werden von den beteiligten Akteuren in ihrer Höhe und ihrer Struktur häufig sehr unterschiedlich bewertet.

Bei Managed Security Services (MSS) geben IT- oder Netzwerk-Organisation die Security-Arbeit ab. Dadurch werden die internen Mitarbeiter entlastet und haben mehr Zeit für andere Aufgaben. Die Kosten für die Security-Management- und die Security-Monitoring-Aufgaben werden auf andere Ressourcen verlagert, also hin zum MSS-Dienstleister. Das Know-how liegt hier beim MSS-Anbieter und muss nicht vom Unternehmen respektive den Mitarbeitern mittels kostspieliger Trainings erlernt und zur Verfügung gestellt werden.

Es ist immer sinnvoll, sich einen realistischen Überblick über die tatsächlich anfallenden Aufgaben und ihre Verknüpfung mit den übrigen organisatorischen Abläufen zu verschaffen.

Das Monitoring von Sicherheitssystemen beim Kunden, das Management von Sicherheitssystemen beim Kunden, der externe Betrieb von Sicherheitssystemen im SOC des Anbieters, Informationsservices über neue Verwundbarkeiten in bestimmten Produkten, neue Viren und neu bekannt gewordene Einbrüche sowie ein dauerhaftes Vulnerability Management sollten immer auf der Angebotsliste des Managed Security Service Providers (MSSP) stehen.