Bruce Schneier: Überlasst die Security den Profis!

Die Vorteile von Security Outsourcing sind riesig. Abgesehen von der angehäuften Expertise hier kann ein Outsourcing-Monitoring-Dienstleister auch andere Vorzüge bieten. Er kann das Personal einfacher einstellen und schulen. Und zwar, weil er sowieso mehr Personal braucht. Und er kann genau die Infrastruktur bauen, die diese Leute optimal unterstützt. Er kann von den Angriffen gegen einen Kunden für alle Kunden lernen. Aufmerksames Monitoring bedeutet auch, dass man über die aktuell wunden Stellen auf dem Laufenden bleibt, neueste Hacker-Werkzeuge, neue Sicherheitsprodukte und neue Software-Releases kennt. Plus: Man kann die gesamten Kosten dafür über alle Kunden streuen.

Es gibt allerdings Grenzen, was man auslagern sollte. Unterm Strich ist wichtig, dass man nicht alles auslagert. Einiges behält man besser: Dinge, die zu nahe am eigenen Geschäft sind oder die für eine Outsourcing-Firma in der korrekten Lieferung zu teuer wären. Oder einfach Dinge, die sich nicht gut skalieren lasen. Es ist wichtig, den Unterschied zu kennen.

Ein IT-Spezialist kann etwa Netzwerke überwachen; Firewalls verwalten; IDS und IPS managen und die Suche nach Lecks durchführen; E-Mail-Verkehr kontrollieren; Internetverbindungen sauber halten. Er kennt sich mit Compliance-Fragen aus. Er kann aus dem Nichts eine neue Sicherheitsinfrastruktur für Sie bauen. Kurz, er kann dem IT-Team die Probleme mit der Netzwerksicherheit vom Hals schaffen. Was er nicht kann, ist entscheiden, wie die IT-Sicherheit mit dem Geschäft zu verknüpfen ist und mit ihm interagiert.

Ein IT-Experte kann feststellen, dass ein Insider das Netzwerk angreift und er kann herausfinden, was dieser gerade tut. Aber er wird nicht wissen, ob dieser bösartig ist oder autorisierte Tests durchführt. Ausgelagerte Experten arbeiten am besten, wenn sie mit dem Kunden kooperieren und so ihr Fachwissen mit dem Wissen um die Geschäftsprozesse verbinden.