Kosten/Nutzen - Relationen der Risikobehandlung

Wie die IT-Risiken einerseits zu grossen, oder gar „existenzbedrohenden“ Verlusten in Unternehmen führen können, stellen andererseits oft auch die Kosten der Massnahmen für die Informationssicherheit verhältnismässig hohe Kostenblöcke dar.

Deshalb werden im Rahmen der Strategie-, Investitions- und Budgetplanung oder zur Wertbestimmung bei Angeboten oder zu Kostenverrechnungen von Produkten und Dienstleistungen der IT vermehrt quantitative Aussagen über die Sicherheit verlangt.

Solche quantitativen Aussagen sollten nicht nur über die Risiken und Restrisiken sondern auch über die Kosten, die Wirksamkeit und die Angemessenheit der Massnahmen gemacht werden können.

Wie für die IT-Prozesse im Allgemeinen sind auch für die Informationssicherheits-Prozesse im Besonderen Kosten-/Nutzen-Nachweise zu erbringen. Das Finden von betriebswirtschaftlich optimalen Sicherheitsmassnahmen, wie dies in Abbildung 10.1 veranschaulicht ist, setzt voraus, dass sowohl die Risiken wie auch die Massnahmen kostenmässig analysierbar sind. Für „faire“ Vergleiche gelten dabei als Massnahmenkosten sämtliche Kosten, die zur Behandlung der Risiken aufgewendet werden.