Illustration Absmeier foto freepik

Ein Budget für den Bereich Cybersicherheit richtig zu dimensionieren und zuzuweisen bleibt ein Dauerthema. Sicherheitsexperten sollten überdenken, wie sie die entsprechenden Budgets am besten priorisieren, um diese an die aktuelle Bedrohungslandschaft anzupassen. Eine erste Erkenntnis hierbei ist, Identity and Access Management (IAM) ist im Vergleich zu anderen, glamouröser anmutenden Sicherheitsinitiativen chronisch unterfinanziert [1].

Im Folgenden wollen wir IAM-Führungskräfte darin unterstützen, den traditionellen Budgetierungsansatz in Frage zu stellen. Stattdessen wollen wir die Bereitstellung eines Kostenrahmens für IAM-Programme diskutieren, die Sie gegenüber Vorständen, Führungsteams und anderen Entscheidungsträgern plausibel machen können.

Der geschäftliche Wert von IAM

Traditionell werden Investitionen in ein IAM legitimiert, in dem man ihren Wert für die betriebliche Effizienz in den Vordergrund rückt. Ein Grund dafür mag sein, dass IAM stets eng mit dem internen IT-Support verknüpft war. Die Kosten dafür werden pro Support-Ticket oder Anruf beim Helpdesk berechnet. Initiativen für mehr betriebliche Effizienz haben deshalb das Ziel, deren Anzahl zu senken. Das war in den vergangenen 20 Jahren so – und ist häufig immer noch der Fall.

Das geschäftliche Umfeld hat sich allerdings deutlich verändert. In einer Welt nach Ransomware, nach einer Pandemie und mit Arbeitsmodellen abseits der typischen Büroumgebung braucht man bessere Argumente für Investitionen in IAM. Es ist an der Zeit, sich auf den konkreten geschäftlichen Nutzen zu konzentrieren, den IAM für ein Unternehmen hat [2].

Normalerweise geht es dabei meist um die breit gefächerten Möglichkeiten im Sinne von mehr geschäftlicher Flexibilität, Kostensenkungen und die Erhöhung der Produktivität der Mitarbeiter. Hier soll es jedoch eher um die dahinter liegende Denkweise gehen und weniger um die daraus resultierenden Vorteile selbst. Der entscheidende Unterschied in dieser Denkweise besteht darin, dass die geschäftliche, unternehmerische Seite die Bedingungen vorgibt. Jedes Unternehmen setzt individuelle Prioritäten, wenn es um die Geschäftsziele für das Quartal, das Jahr und die absehbare Zukunft geht. Jede Initiative, einschließlich die eines IAM, sollte sich auf genau diese Ziele hin ausrichten.

Dazu muss man verstehen, welchen Fokus geschäftliche Initiativen haben. Konzentrieren sie sich beispielsweise auf Risikominderung, KPI-Wachstum oder steht die digitale Transformation im Mittelpunkt? IAM-Investitionen sollten immer mit dem unternehmensweiten Mandat übereinstimmen. Dementsprechend sollte sich das komplette IAM-Programm an den unternehmerischen Initiativen orientieren. Das könnte auch zu einer Verschiebung der eigenen Prioritäten führen. Man könnte bestimmte Elemente eines IAM-Projekts anderen vorziehen, andere könnten entfallen. Oft reicht es jedoch, Formulierungen zu ändern, um die IAM-Vorteile korrekt den Geschäftsinitiativen zuzuordnen.

In einigen Fällen läuft das vergleichsweise unkompliziert. Schon, weil die digitale Transformation in den meisten Unternehmen ein Schwerpunktbereich ist, der einem Entscheidungsträger auf der C-Ebene wie einem CTO, CIO oder CMO obliegt. Hier gehen Sie als Verantwortlicher für IAM auf diese Personen zu. Legen Sie dar, wie Investitionen in das Identity und Access Management zugleich eine Voraussetzung für die digitale Transformation bilden und in Abhängigkeit dazu stehen – und wie Sie die digitale Transformation in vielerlei Hinsicht unterstützen können. Allgemeiner ausgedrückt besteht das Ziel darin, die geschäftlichen Anforderungen zu ermitteln und das IAM-Programm daran auszurichten.

IAM und geschäftliche Prioritäten in Einklang bringen

Als nächstes sollten Sie Kontakt zu den relevanten Entscheidungsträgern aufnehmen und Allianzen bilden. Ein gutes Vertrauensverhältnis aufzubauen, hat sich bewährt. Zudem empfiehlt es sich, aktiv auf C-Level-Führungskräfte zuzugehen, das vorgeschlagene IAM-Programm im Detail zu erläutern und Entscheider zu Befürwortern zu machen. Gerade Führungskräfte werden daran gemessen, was sie erreicht haben. Machen Sie klar, wie IAM-Initiativen dazu beitragen können, deren Zielvorgaben zu erreichen.

Es gibt etliche Beispiele für IAM-Programme, die sich ganz natürlich an den geschäftlichen Prioritäten orientieren. Eine vom CMO ausgehende Marketinginitiative profitiert beispielsweise von einer Investition in das Customer Identity Access Management (CIAM). Dabei werden alle Kundenidentitäten in das IAM-Programm einbezogen. So erhält die Marketingabteilung eine ganzheitliche Sicht auf jeden Benutzer. Das ist im E-Commerce oder im Einzelhandel ein unschätzbarer Wettbewerbsvorteil. Ähnliches gilt beispielsweise für Dienstleister im Gesundheitswesen, denen es primär darum geht, Risiken zu senken und die Cybersicherheit insgesamt zu verstärken. IAM hat ein enormes Potenzial, den Return on Invest für Sicherheitsinitiativen zu beschleunigen und sich positiv auf die Geschäftsergebnisse auszuwirken.

Fast alle Unternehmen messen den Erfolg von Initiativen anhand bestimmter Kennzahlen. Die KPIs (oder Schlüsselindikatoren im Risikomanagement) bilden diese Verbindung ab. IAM-Experten sollten gegenüber Entscheidungsträgern plausibel machen, wie sich IAM-Ergebnisse direkt auf die KPIs auswirken. Ein Beispiel. Bei einem CIAM-Anwendungsfall sorgt eine bessere User Experience für ein einfacheres Kunden-Onboarding, Kunden wandern seltener ab und geben pro Kontaktaufnahme mehr aus. Für einen CMO sind das extrem wichtige Kennzahlen.

Ähnliches gilt für Zertifizierungen im Bereich Cybersicherheit. Hier sind meist erhebliche Investitionen in das Privileged Access Management (PAM) oder Access Management (AM) erforderlich [3] [4]. Will sich ein Unternehmen für eine Cyberversicherung qualifizieren (eine beim CFO aufgehängte Initiative) ist dagegen vielleicht eine Multi-Faktor-Authentifizierung notwendig. Man sollte unbedingt bedenken, dass die KPIs des einen nicht mit den KPIs eines anderen übereinstimmen müssen. Jedes IAM-Projekt wird anhand bestimmter Metriken gemessen. Etwa wie lange es dauert, bis sich die Investition amortisiert hat, mit welcher Geschwindigkeit das Projekt eingeführt/umgesetzt werden kann und wie es insgesamt akzeptiert wird. Für andere Unternehmensbereiche sind diese Metriken möglicherweise weniger relevant.

Initiativen auf Vorstands- oder ELT-Ebene fallen normalerweise in eine der folgenden drei Kategorien:

Risikobasierte Initiativen konzentrieren sich auf Geschäftskontinuität, Ausfallsicherheit und den Schutz von Benutzer- und Unternehmensdaten. Access Management, PAM und Log-Management (zur Erkennung und Eindämmung von Sicherheitsverletzungen) lassen sich problemlos diesen Initiativen zuordnen.
Qualitätsbasierte Initiativen konzentrieren sich auf Geschäftsprozesse, die Produktivität von Mitarbeitern, Effizienz und Kostensenkung. Hier lassen sich Automatisierung und das User Lifecycle Management einbeziehen, ebenso wie die mit Hilfe von SSO erreichte Reduzierung von Lizenzen (durch verhaltensorientierte Governance).
Wachstumsorientierte Initiativen im Sinne einer Umsatz-/Gewinnsteigerung, Investitionen in Personal oder durch Unternehmens-Akquisitionen, hängen ebenfalls in Ihren Voraussetzungen vom Identity Access Management ab. Das kann die UX, den Bereich Automatisierung und/oder das erfolgreiche Umsetzen einer Fusion betreffen.

Die Denkweise dauerhaft verändern

Diese neue Herangehensweise sollte in Budgetgesprächen kein Einzelfall bleiben. Es lohnt sich, die Haltung eines IAM-Teams dahingehend zu verändern, dass ein IAM-Programm neben den geschäftlichen Anforderungen und Initiativen vorausschauend an den Unternehmensvorgaben ausrichtet wird. Für Techniker ist es längst nicht immer selbstverständlich, die Dinge aus dieser Perspektive zu betrachten. Wer sich aber auf der Karriereleiter als angehender Leiter des Bereichs IAM positionieren will, für den sollte diese Herangehensweise zumindest einer der zentralen Aspekte seiner Arbeit sein.

Larry Chinski, VP of Global Strategy at One Identity

[1] https://www.oneidentity.com/community/blogs/b/one-identity/posts/we-need-to-talk-about-cybersecurity-spending

[2] https://www.onelogin.com/learn/iam

[3] https://www.oneidentity.com/what-is-privileged-access-management/

[4] https://www.onelogin.com/learn/access-management-iam

1591 Artikel zu „Sicherheit Budget“

News | Trends 2023 | Trends Security | IT-Security | Tipps

Fehlendes Budget führt zu Cybersicherheitsvorfällen in 18 Prozent der Unternehmen

14. Dezember 2023

Ein nicht unerheblicher Teil der Cybersicherheitsvorfälle in Deutschland (18 Prozent) sind auf fehlende Cybersicherheitsinvestitionen zurückzuführen, wie eine aktuelle Umfrage zeigt [1]. Dennoch hält hierzulande die große Mehrheit (79 Prozent) den vorhandenen Etat für ausreichend. Im Europa-Vergleich wird deutlich, dass vor allem die Fertigungsindustrie und kritische Infrastrukturen deswegen mit Sicherheitsvorfällen zu kämpfen haben. Acht von zehn…