Kosten & Nutzen von IT-Sicherheit

Editorial

Zwei Jahre nach dem ersten Heft zum Thema "IT-Sicherheit" (HMD 236) ist es an der Zeit zu erfahren, was sich in der Zwischenzeit getan hat. Vielleicht erinnern Sie sich daran, 2004 hatten wir so gut wie keine Autoren und Autorinnen gefunden, die sich des neuen Themas "Kosten und Nutzen" annehmen wollten.

Nicht die technische Seite von IT-Sicherheit - meist verbunden mit ewigen Ermahnungen -, sondern die Kosten und der Nutzen von Maßnahmen zur IT-Sicherheit stehen hier im Fokus der Betrachtung.

Es zeigt sich, dass die Untersuchung der Kosten-Nutzen- Relation von IT-Sicherheit nach wie vor erst an ihrem Anfang steht:

• Die IT-Sicherheit ist fast überall ein Thema und wird mehr oder weniger intensiv bearbeitet - oft allerdings nicht systematisch, sondern eher exemplarisch.
• Kosten und Nutzen der Maßnahmen zur IT-Sicherheit werden inzwischen hinterfragt - aber immer noch weiß niemand so richtig damit umzugehen.
• Leider ist es wieder nicht gelungen, zu einem Artikel zu motivieren, der sich mit dem Aufwand auseinander setzt, der durch die konsequente Anwendung des Grundschutztools vom BSI verursacht wird. Gilt er doch in Deutschland gewissermaßen als Standard, an dem sich zu messen alle bereit sind. Könnte es sein, dass der Aufwand für die konsequente Anwendung einfach zu groß ist?
• In der Wissenschaftsgemeinde der Wirtschaftsinformatik findet das Thema Kosten und Nutzen der IT-Sicherheit immer noch keine ausreichende Beachtung, andere Themen scheinen griffiger zu sein. Das Thema hinkt nach wie vor den in der Praxis angewandten Verfahren hinterher.
• Unternehmen, die ihre Kernkompetenz in der IT- Sicherheit sehen, sind inzwischen bereit, sich öffentlich zu diesem Thema zu äußern. Der Grundlagenartikel zum Beispiel ist von einem Mitarbeiter von CA.
• Zur Beurteilung des Nutzens gehört auch das Thema, wie die erreichte Sicherheit gemessen werden kann. Dazu könnten sich regelmäßig wiederholte Penetrationstests durchsetzen, die in den permanenten Prozess zur Wahrung der IT-Sicherheit eingebunden werden. Der Artikel über Penetrationstests beleuchtet dies ganz praktisch.

Wie komplex und unerforscht das Thema noch immer ist, zeigt sich auch daran, dass es außerordentlich schwierig war, eine ausgewogene Darstellung aller involvierten Themen in diesem Heft zu erreichen, wofür wir um Nachsicht bitten möchten. Wir kommen daher zur Überzeugung, dass uns das Thema - gerade auch als Thema der Wirtschaftsinformatik - noch lange beschäftigen wird. Das vorliegende Heft bietet - so betrachtet - einen aktuellen Zwischenbericht.

In diesem Sinne wünschen wir viel Spaß beim Lesen.

Michael Mörike Stephanie Teufel