Bewertung von Sicherheitsanforderungen

Diplomarbeit von Wolfgang Schneider

Problemstellung:

Durch die immer stärkere Vernetzung der Computer, erhöht sich die Anzahl der Angriffe immer mehr. Da die Computer für das Überleben eines Unternehmens immer wichtiger und die Schäden durch die Angriffe immer größer werden, muss sich jedes Unternehmen Gedanken über Sicherheitsanforderungen machen.

Leider berücksichtigen viele Unternehmen die IT-Sicherheit viel zu wenig, da Investitionen in die IT-Sicherheit meistens sehr teuer sind und keine direkten Einnahmen bringen. Die Sicherheitsinvestitionen werden deshalb häufig nur als Kostenfaktor angesehen. Andere Projekte mit direkten Einnahmen werden meistens bevorzugt.

Daher ist eine Methode, mit der die Sicherheitsanforderungen bewertet werden können, notwendig.

In dieser Arbeit werden zuerst die Grundlagen vorgestellt und dann eine Methode entwickelt, mit der die Sicherheitsanforderungen bewertet werden können. Zuerst wird dargestellt, was Design Patterns und Security Patterns sind. Außerdem wird aufgezeigt, wie der Return on Investment (RoI) und der Return on Security Investment (RoSI) berechnet werden. Es werden dann auch noch Angriffsbäume beschrieben.

Die entwickelte Methode zur Bewertung von Sicherheitsanforderungen baut auf dem Return on Security Investment (RoSI) auf. Der RoSI ist die am weitesten verbreitete Kennzahl für Investitionen in die IT-Sicherheit.

Es wird aufgezeigt, wie man sowohl einzelne Security-Patterns als auch ganze Security-Pattern-Systeme bewerten kann. Für die vorgestellten Methoden werden umfangreiche Beispiele gezeigt.

Inhaltsverzeichnis:

Inhaltsverzeichnis:

Textprobe:

Kapitel 2.4.1.4.3, Vorteile der Berechnungsmethode: Der größte Vorteil der Berechnungsmethode ist, dass eine Verhältniszahl berechnet wird und keine absolute Kennzahl. Dadurch kommt der auf diese Weise berechnete RoSI dem RoI viel näher. Die Entscheidungsträger in den Unternehmen erwarten bei einer auf dem RoI aufbauenden Kennzahl eine Verhältniszahl. Daher wird ein nach dieser Methode berechneter RoSI viel stärker akzeptiert werden.

Ein weiterer Vorteil ist, dass der auf diese Weise berechnete RoSI die Rendite darstellt. Dadurch ist die Aussage dieselbe wie beim RoI. Wenn der RoSI höher ist als der Vergleichszins, ist eine Investition sinnvoll.

Es ist auch vorteilhaft, dass die Berechnung sehr einfach ist und sich leicht nachvollziehen lässt. Eine nachvollziehbare Berechnungsmethode erhöht die Akzeptanz einer Kennzahl. Außerdem können mit dieser Kennzahl mehrere Projekte miteinander verglichen werden. Das Projekt mit dem höchsten RoSI ist am sinnvollsten. Bei dieser Kennzahl macht ein Vergleich sogar mehr Sinn, als bei einer absoluten Kennzahl, da hier der Gewinn durch die Schadensverminderung schon im Verhältnis zu den Kosten dargestellt ist.

Auch vorteilhaft ist, dass mit dieser Methode der Nutzen einzelner Investitionsentscheidungen berechnet werden kann. Man muss nicht alle Sicherheitsprojekte des Unternehmens kennen, um den RoSI eines Projekts berechnen zu können.

Ein Nachteil ist, dass bei dieser Berechnungsmethode die Manipulationsmöglichkeiten immer noch vorhanden sind. Die einzelnen Werte sind schwer zu ermitteln und können leicht manipuliert werden. Ein weiterer Nachteil ist, das die Zuverlässigkeit des RoSI überschätzt werden kann. Beim RoI werden einfach die Werte aus der Bilanz und der GuV (Gewinn- und Verlustrechnung) benutzt. Dadurch ist die Manipulationsmöglichkeit so gut wie nicht gegeben. Die Gefahr besteht jetzt, dass dieser Kennzahl die gleiche Zuverlässigkeit zugetraut wird, wie dem RoI. Allerdings müssen beim RoSI die Zahlen häufig geschätzt werden und es liegen der Berechnung längst nicht so zuverlässige Quellen, wie die Bilanz oder die GuV, zugrunde.

Das größte Problem beim RoSI ist, dass die meisten Firmen nicht wissen, welchen potentiellen Risiken sie ausgesetzt sind. Meistens wissen die Firmen gar nicht, welche Risiken auftreten können und wie hoch die Wahrscheinlichkeit ist, dass diese Risiken auftreten. Es ist auch meistens schwer abzuschätzen, wie hoch der potentielle Schaden einer solchen Bedrohung ist. Das macht die Berechnung des RoSI ziemlich schwierig.