IT-Sicherheit - eine komplexe Materie

Oftmals orientieren sich Budgets für IT-Sicherheit nicht an der Notwendigkeit, sondern vielmehr am Gesamtbudget der IT (xx% des IT-Budgets ist für Sicherhheit ausreichend bzw. angemessen). Den angemessenen Bedarf an Sicherheit und somit auch das erforderliche Budget darf sich aber nicht an gefühlten- oder "Pi-Mal-Daumen"-Größen bemessen, sondern am tatsächlichen Bedarf an IT-Sicherheit.

Nicht jeder Geschäftsführer oder Vorstand eines Unternehmens ist sich im Zweifel bewusst, welche Gefahren und Risiken für "sein" Business von unzureichender IT-Sicherheit ausgehen. Unternehmen, in denen externe Aufsichtsgremien existieren (z.B. BAFIN - Banken und Versicherungen), müssen ausreichende IT-Sicherheit nachweisen. Dort werden u.a. im Bezug auf die IT-Sicherheit Vorgaben gemacht (bei Banken und Versicherungen die sog. MaRisk) und deren Einhaltung in strikter Weise überwacht. Bei Abweichung bzw. Nichteinhaltung drohen aufsichtsrechtliche Konsequenzen.

Mit diesen Vorgaben werden die Unternehmen dazu angehalten, sowohl Unternehmens- als auch Sicherheitsrisiken aktiv und gezielt zu managen.