Die anhaltend angespannte Bedrohungslage für Datennetzwerke sorgt dafür, dass IT-Sicherheit zum erfolgskritischen Faktor für den Geschäftserfolg und den Fortbestand von Unternehmen geworden ist. Eine Folge: Der Markt für <Managed Security Service Provider (MSSP) ist zu einer unübersichtlichen Größe angewachsen. Um den passenden Dienstleister anhand klarer Standards auszuwählen, empfiehlt sich ein Leitfaden mit den entscheidenden Faktoren und Abwägungen.

Sicherheit hat ihren Preis – und genau deshalb fällt die kostenbewusste Auswahl eines geeigneten Partners vielen Unternehmen schwer. Vielerorts fordern Vorstände, dass Entscheidungen nach objektiven und evidenzbasierten Kriterien getroffen werden. Acht Aspekte erleichtern die Entscheidung.

1. Effektive Detektion und Abwehr von Angriffen versus reine Compliance-Erfüllung

Das Ziel gibt den Weg vor: Entweder das Unternehmen will lediglich gesetzliche Vorschriften einhalten oder die Zahl der Angriffe tatsächlich verringern. Leider zeigt die Wirklichkeit der aktuellen Bedrohungslage, dass die Compliance in der Regel erst ex post an reale Bedrohungen angepasst wird. Wer risikobewusst auf die bloße Einhaltung von Vorschriften setzt, sollte daher den preisgünstigsten Anbieter auswählen.

Die entgegensetzte Strategie zielt darauf ab, Risiken und Angriffe bestmöglich zu erkennen und darauf zu reagieren, weil die gesamte Organisation davon profitiert? Hierfür sind höhere Kosten zu erwarten, aber zugleich auch eine wirksame Minimierung des Schadensrisikos.

2. Optimierte Gefahrenerkennung und Reaktion durch Transparenz

Eine effektive Überwachung und Erkennung von Bedrohungen ist auf eine praktikable Sicherheitstelemetrie und Transparenz angewiesen. Für einen objektiveren Überblick aufseiten der Entscheider ist es ratsam, einen unabhängigen Experten zur Bewertung hinzuzuziehen. Eine gute Basis legt, wer darauf achtet, dass der MSSP-Anbieter blinde Flecken identifiziert und entfernt, um Transparenz zu schaffen und die gesetzten Ziele zu erreichen. Ein breiter Erfahrungsschatz wirkt dabei wie eine Visitenkarte. Das schließt Know-how auf verschiedenen Feldern ein – von On Premises-Infrastrukturen über Cloud-Umgebungen und Endpoints bis hin zu Industrial Control Systems (ICS) und Operational Technology (OT). Ebenfalls bewährt es sich, wenn der Security-Anbieter bereits Expertise für das eingesetzte System mitbringt.

3. Budget nur für wirklichen Bedarf freimachen

Die sachliche und fachliche Eignung des Dienstleisters sollte an erster Stelle stehen, erst danach folgt die keineswegs triviale Frage nach dem Budget. Es gilt der Grundsatz: Alles ist verhandelbar, insbesondere der Vertragsumfang. Unverzichtbare Funktionen sind die Erkennung von und Reaktion auf Angriffe. Leistungen auf niedrigerer Ebene – beispielsweise die Verwaltung von Kennwortrücksetzungen, Schwachstellenmanagement oder eine IAM-Lösung – lassen sich aus dem Vertrag streichen, ohne dass die Sicherheit darunter leidet. Elementar ist jedoch, dass Transparenz hinsichtlich der Sicherheit der essenziellen Geschäftsfunktion gewahrt bleibt. Auch wenn mehrere Partner beteiligt sind, muss der Hauptanbieter jederzeit den lückenlosen Überblick über alle Prozesse haben, um schnell und wirksam gegen Angriffe vorzugehen.

4. Inhouse versus Outsourcing

Routineaufgaben können durchaus weiterhin vom internen IT-Team übernommen werden – denn das Vorgehen ist kosteneffizient und setzt auf fundierte Unternehmensexpertise. Dennoch ist qualifiziertes IT-Personal extrem schwer auf dem Arbeitsmarkt zu finden. Da ausgewiesene Sicherheitsexperten umfassende Kenntnisse von Endgeräten, Betriebssystemen, Cloud-Infrastrukturen und einer Vielzahl weiterer Tools und Technologien haben müssen, empfiehlt es sich, einen MSSP-Dienstleister mit gut gefülltem Talentpool einzubinden.

5. Ergebnisorientiert planen und nicht technologiefixiert

Die Entwicklung der Cybersicherheitsbranche verläuft in atemberaubender Geschwindigkeit. Eine große Gefahr dabei: Viele Unternehmen lassen sich von vollmundigen Versprechungen neuer Technologien blenden. Derweil lässt sich der erhoffte Effekt vielfach bereits durch konsequente Umsetzung grundlegender Maßnahmen erzielen. Konkret gilt es, die Transparenz und die Fähigkeit der Teams zu verbessern, Bedrohungen zu erkennen und angemessen zu reagieren, anstatt kopflos neuen Technologietrends zu folgen.

6. Alte Technologien so lange nutzen, wie es sinnvoll ist

Brandneue Tools und Technologien entfalten nicht automatisch Mehrwert, wenngleich ein Update des Tech-Stacks im Einzelfall mitunter lohnenswert ist. Der Fokus sollte dennoch unbedingt auf den Sicherheitszielen liegen. Nicht jeder MSSP-Anbieter wird wohl eine SIEM- oder Cloud-Sicherheitsplattform als Mittel der Wahl einsetzen. Vor diesem Hintergrund sind Entscheider gut beraten, einen ehrlichen Dialog über die Grenzen und das Potenzial ihrer Systeme zu führen, um abzuwägen, welcher Anbieter ihnen optimale Unterstützung bietet.

7. Angebote anhand von aussagekräftigen SLAs bewerten

Service Level Agreements (SLA) mit mangelnder Aussagekraft sind heutzutage häufiger anzutreffen als gewünscht. Wer die Ausbreitung von Ransomware in der IT-Infrastruktur seines Unternehmens schnell erkennen und darauf reagieren möchte, sollte sich fragen, ob und inwiefern der Umfang der dem Account zugewiesenen Ressourcen von Bedeutung ist. Erkenntniswert bieten ausschließlich Kennzahlen, die aussagekräftig sind und sich eindeutig messen lassen.

8.Kompetenz als Basis für strategische Entscheidungen

Nicht selten bildet der Einkauf das Zünglein an der Waage, wenn ein Dienstleister ausgewählt wird. Dabei sollte allen klar sein: Beschaffungsabteilungen geben vielfach Kostenzielen den Vorrang vor nuancierten Unterschieden zwischen einzelnen Anbietern oder den Sicherheitszielen des Unternehmens. Daher ist es ratsam, Sicherheitsbeauftragte die endgültige Entscheidung treffen zu lassen oder sie zumindest entscheidend daran zu beteiligen. Denn sie verfügen über die erforderliche Expertise, um einzuschätzen, wie gut der Dienstleister unterstützen kann und wie sich ein Versagen der Sicherheitssysteme auf die Geschäftsziele auswirkt.

Es ist deutlich geworden, dass die Auswahl eines Managed Security Service Providers eine strategische Entscheidung ist und dass eine Vielzahl verschiedener Faktoren die Weichen für den Erfolg stellen. Wer leichtfertig oder halbherzig vorgeht, läuft Gefahr, den Zweck der Maßnahme zu verfehlen. Demgegenüber wird ein systematisches Prozedere im Auswahlprozess mit der Sicherheit belohnt, einen starken und verlässlichen Partner für den Schutz unersetzlicher Unternehmenswerte gefunden und für das Unternehmen gewonnen zu haben.

A version of this article was originally published in Funkschau magazine. For more information on our Mnaged Detection and Response services, download the MDR Solution Overview