IT-Security-Outsourcing: Ja oder Nein?

Wirft man einen Blick in den jährlichen Security-Report von Cisco, fällt auf, dass der Anteil derjenigen Unternehmen, die keinen Aspekt ihrer IT Sicherheit ausgelagert haben, innerhalb eines Jahres von 21 Prozent (2014) auf 12 Prozent (2015) gesunken ist. 53 Prozent der Unternehmen, die Security outsourcen, geben eine gesteigerte Kosteneffizienz als Grund dafür an. 49 Prozent setzen auf ausgelagerte Security Services, um eine unparteiische Sicht auf die Dinge zu gewinnen.

Natürlich hätte jedes Unternehmen gerne die Kontrolle über sein eigenes Security-Programm in den Händen. Aber die meisten Firmen können es sich schlicht nicht leisten, alle Elemente, die beispielsweise ein Security Operations Center (SOC) bietet, selbst zu betreiben, wie Asher DeMetz, Sicherheitsberater bei Sungard Availability Services, weiß: "Für Unternehmen, deren Größe und Risikolevel diese Services erforderlich machen ist es unerlässlich rund um die Uhr Monitoring zu betreiben. Wird eine Attacke nicht rechtzeitig erkannt, können die Folgen verheerend sein."

Carl Herberger, Vice President bei Radware, sieht die sich im Wandel befindliche Bedrohungslage und den Fakt, dass KMUs immer stärker in den Fokus von Cyberkriminellen rücken, als wesentliche Herausforderung für die IT-Sicherheit an: "Ein Ecommerce-Unternehmen hat vielleicht nicht die Möglichkeit, in entsprechend fähige Fachkräfte zu investieren, um Angreifer abzuhalten. Hier helfen Managed Security Services - und das Unternehmen kann sich auf sein Kerngeschäft konzentrieren."

Kennet Westby, President und Mitbegründer von Coalfire rät Unternehmen, bei der Entscheidung über das Outsourcing der IT-Sicherheit insbesondere drei Kriterien zu beachten:

• Kompetenz / Kosten: Sie sollten herausfinden, ob Security Services von extern möglicherweise mit höherer Kompetenz und unter geringerem Kostenaufwand realisiert werden können, als es intern der Fall ist.

• Kompatibilität: Achten Sie darauf, dass der Managed Security Services Provider Ihrer Wahl mit Ihrer IT sowie Ihren Management- und Security-Teams zusammenarbeitet - und nicht bloß unsichtbarer Zulieferer von IT-Sicherheits-Services ist.

• Vertrauen: Dieses Element ist für MSSPs ganz besonders wichtig. Sie sollten sicherstellen, dass Ihr Anbieter in Sachen Security Controls einen Standard an den Tag legt, der das Nötige übersteigt. Schließlich müssen Sie den Mitarbeitern des Managed Security Services Providers im Zweifel sogar mehr vertrauen als Ihren eigenen Leuten.

Security-Analyst Richard Henderson beschreibt das größte Hindernis auf dem Weg zur Auslagerung der IT Security: "Es braucht schon eine Menge Vertrauen und Überzeugungsarbeit, um auf das MSSP-Modell zu wechseln. Aber wie der Boom in diesem Bereich zeigt: Diejenigen Unternehmen, die eine Partnerschaft mit Managed Security Services Providern eingehen, sind begeistert. Jede IT-Sicherheitsabteilung innerhalb eines kleinen oder mittleren Unternehmens sollte sich zumindest über die Möglichkeiten informieren, die ihr mit der Integration von MSSP-Angeboten offenstehen."

Darüber hinaus, so Henderson, sei inzwischen sehr deutlich geworden, dass Fachkräfte im Bereich IT-Sicherheit oft schwer zu finden, schwer zu halten und schwer zufrieden zu stellen sind: "Viele Jobs im Security-Umfeld sind äußerst undankbar. Wenn einmal etwas schiefgeht, kann der Druck, der auf einzelnen Mitarbeitern lastet, immens werden. Wenn das Unternehmen dann noch in einer ‚uncoolen‘ Stadt zuhause ist, kann es wirklich schwer werden, geeignetes IT-Security-Personal zu finden."

IT-Sicherheit komplett oder in Teilen auslagern?

Stellt sich die Frage: In welchem Umfang sollte man seine IT-Sicherheit outsourcen? Der aktuelle Security Report von Cisco will herausgefunden haben, dass die meisten Unternehmen, die auf eine Partnerschaft mit einem MSSP setzen, mindestens 20 Prozent ihrer sicherheitsrelevanten Aufgaben an Dritte ausgelagert haben. Und: Diese Unternehmen planen für die Zukunft die Nutzung von Managed Security Services zu intensivieren.

Rod Murchison, Vice President Product Management bei Crowdstrike weiß warum: "Einige MSSPs können mit den Lösungen anderer Anbieter per API kommunizieren und machen so maßgeschneiderte Lösungen möglich, die echten Mehrwert bei sinkender Komplexität für die User verwirklichen. Ein solches Level an Integration kann die Kunden von Managed Security Service Providern mit einer perfekt auf ihr Netzwerk zugeschnittenen Kombination aus Schutzmaßnahmen ausstatten."

Doch Managed Security Services Provider können Unternehmen auch dabei unterstützen, eigene Ressourcen aufzubauen - vorausgesetzt, die finanziellen Ressourcen sind vorhanden. Wenn nicht, können MSSPs auch punktuellen Support leisten, wie Scottie Cole von AppRiver weiß: "Ein MSSP verfügt in der Regel über einen größeren Pool von IT-Sicherheitsexperten, die er - je nach den Bedürfnissen und Notwendigkeiten der Kunden und Branchen - zur Problemlösung entsenden kann."

Boaz Shunami, CEO bei Komodo Security Consulting sieht MSSPs vor allem in den Bereichen Penetration Testing, Threat Intelligence, Incident Response und Forensik im Vorteil. Der Einsatz interner Mitarbeiter sei weit weniger effektiv, weise steilere Lernkurven auf und würde generell mehr Zeit in Anspruch nehmen.

Bei der Entscheidung darüber, ob Sie ihre IT-Sicherheit outsourcen sollen oder nicht, sollten Sie laut Javvad Malik, Security-Berater bei AlienVault nicht nur auf technische Expertise Wert legen: "Bei der Suche nach dem richtigen MSSP spielt auch dessen Unternehmenskultur - beziehungsweise deren Kompatibilität zum eigenen Leitbild - eine große Rolle. In jedem Fall sollten Sie jedoch eine gut informierte Entscheidung treffen - auf Basis Ihres Budgets, der eigenen Expertise und den gewünschten Ergebnissen." (fm)

Dieser Artikel basiert in Teilen auf einem Beitrag unserer US-Schwesterpublikation csoonline.com.