Unternehmen betrachten IT-Sicherheit unter Kostenaspekt

Große Firmen in Europa nutzen bereits heute ein differenziertes Set aus Messkriterien, um ihre Absicherung gegen Cyber-Bedrohungen bewerten und anpassen zu können. Allerdings steht die Kontrolle der Ausgaben für IT-Sicherheit bei vielen Firmen noch im Mittelpunkt ihrer KPI-Systeme (Key Performance Indicator). Immerhin betrachtet mehr als die Hälfte aller Firmen Sicherheit unter einem Kostenaspekt. Die Gefahr ist groß, dass europäische Firmen hier am falschen Ende sparen. Das ist ein Ergebnis einer europaweiten Studie zum Thema Cyber-Security, die Steria und Pierre Audoin Consultants (PAC) durchgeführt haben.

Demnach messen 94 Prozent aller Unternehmen in Europa die Effektivität ihrer IT-Sicherheitsanstrengungen anhand formeller KPIs. Viele nutzen hierzu quantitative Kriterien: 39 Prozent erfassen beispielsweise die Reaktionszeit ab dem Eintreten einer Security-Krise. Immerhin noch ein Drittel aller Firmen misst daneben die Zeit, die vergeht, bis eine kritische Sicherheitslücke geschlossen wird. Die Messung von IT-Sicherheit auf Projektebene ist demgegenüber bereits deutlich niedriger ausgeprägt - diese erfolgt nur durch gut ein Sechstel der Firmen.

Die Wirkung von IT-Sicherheit messen Unternehmen in erster Linie unter Kostenaspekten. Denn mehr als die Hälfte der befragten Firmen nutzt als KPI für die Effektivität von Security-Prozessen die Ausgabendisziplin. Weniger als die Hälfte der Unternehmen bewertet dagegen die Sicherheitsmaßnahmen unter Sicherheitsaspekten. Allein auf Basis des Kostenkriteriums könnten laut Studie Unternehmenscontroller im Ausbleiben von Sicherheitsvorfällen eine Gelegenheit sehen, Mittel für Sicherheitsmaßnahmen einzusparen. Allerdings könnten gerade diese Ausgaben  den Grund dafür darstellen, dass Cyberangriffe an diesen Unternehmen abprallen.