Startseite > Security > Warum Unternehmen mit IT-(Security)-Budgets nicht zaudern sollten

Gastbeitrag: Die richtige Balance

Warum Unternehmen mit IT-(Security)-Budgets nicht zaudern sollten

16. April 2010, 12:18 Uhr | Lars Bube

Sebastian Rohr plädiert dafür, den Gürtel beim Security-Budget weiter zu schnallen.

Wer kennt das Problem nicht: die Anrufe im Helpdesk über nicht-performante Anwendungen häufen sich, die Beschwerden über zu komplexe Anmeldeprotokolle und zu komplexe Passworte sind Alltag, für dringend benötigte Sicherheitsanpassungen an älterer Individual-Software wurde kein Geld zur Verfügung gestellt und dennoch wird vom Vorgesetzten eine Kürzung der Budgets beziehungsweise eine weitere Einsparung erwartet.

Grundsätzlich ist der Gedanke von der IT als Treiber bei Kosten-Einsparungen korrekt und hat sich seit Jahren durch Effizienzsteigerungen und vereinfachte Arbeitsprozesse beweisen können. Problematisch wird es dann – und dieses Phänomen beobachtet man aller Orten – wenn die IT-Budgets an sich stark gekürzt werden. Der stark ausgeprägte Projekt-Charakter in der Organisation vieler IT-(Sicherheits-)Abteilungen hat dazu geführt, dass trotz ITIL und Projektportfolio-Management der strategische Blick für die IT als Ganzes verloren gegangen ist. Eine große Anzahl der Ressourcen fressenden Projekte entsteht in den Fachabteilungen, die einen bestimmten Bedarf nicht durch die vorhandenen Systeme abgedeckt sehen. Da in diesen Projekten jedoch die sogenannten »Business Needs« gut dargestellt werden, sind Budget und Relevanz des Projektes größer und höher bewertet als bei eigentlich dringender benötigten Projekten IT-Infrastruktur.

Zwei Dinge gilt es deshalb in IT-Abteilungen zu ändern: zum einen ist die konkretere Ausrichtung der IT an den Zielen und Bedürfnissen des Unternehmens wichtig ( so genanntes Business Alignment), zum anderen muss die IT auf Basis einer solchen Ausrichtung wieder die Führung bei der Definition strategischer Projekte der Informationstechnik übernehmen muss und aus der Rolle des von außen Getriebenen heraus zu kommen. Betrachtet man dies konkret für Projekte der IT Sicherheit, wird der Bedarf noch viel konkreter: bei den meisten aus den Fachabteilungen heraus generierten Projekten fehlt eine Betrachtung der Sicherheit fast völlig. Oft wird davon ausgegangen, dass die IT-Abteilung schon eine entsprechende Infrastruktur zur Verfügung stellen kann bzw. »sich um das Problem kümmern wird«. Genau diese Einstellung führt jedoch dazu, dass in der IT eben solche Infrastrukturen aufgebaut werden müssten, die Frage der Finanzierung solcher Infrastrukturen jedoch problematisch wird da der konkrete Bezug zum »Business Need« nicht von der IT dargestellt werden kann – ein klassisches Henne-Ei Problem.