Sourcing von IT-Sicherheit
Im Zuge einer fundierten Strategie einzelne IT-Aufgaben, wenn nicht sogar alle operativen IT-Aktivitäten, an externe Dienstleister auszulagern (IT Outsourcing – ITO), beschäftigt große wie mittelständische Unternehmen gleichermaßen. Analog zu dieser Entwicklung betrachten sie zunehmend auch die Vergabe von Teilaufgaben bzw. des gesamten IT-Sicherheitsmanagements (Managed Security Services – MSS) an einen spezialisierten Anbieter als eine Möglichkeit zur Verbesserung ihres operativen IT-Risikomanagements. Insbesondere für Organisationen, die erkannt haben, dass zwischen ihren konkreten Sicherheitsbedürfnissen und ihren eigenen Sicherheitsmaßnahmen eine erhebliche Lücke klafft, kann dies eine Alternative darstellen. Immer öfter wird deshalb auch im Bereich IT-Sicherheitsmanagement die Frage „Make or Buy” erörtert, d. h. interne oder externe (komplette bzw. nur in Teilbereichen) Gewährleistung des Sicherheitsmanagements.

Aktives Beziehungsmanagement
Unternehmen müssen für eine externe Beauftragung von IT-Sicherheitsaufgaben deutlich gesteigerte Sorgfalt auf die Ausgestaltung eines (pro-)aktiven Beziehungsmanagements legen (vgl. Abbildung 1) – nicht zuletzt aufgrund der gesetzlichen Vorgaben aus dem Kontroll- und Transparenzgesetz (KonTraG, § 91 Abs. 2 AktG), die hier besonders zu beachten sind. Gerade die Übertragung von Verantwortlichkeit im oft sensiblen Bereich der IT-Sicherheit erfordert eine solide Basis der Zusammenarbeit mit dem MSS-Dienstleister – in prozessualer und vertraglicher Hinsicht, also vor allem messbare Leistungsdefinitionen, klare Berichtspflichten sowie die Sicherung von Transparenz, aktiver Maßnahmenfähigkeit und Steuerbarkeit.

Erfolgreiche MSS-Partnerschaften werden zielsicher und konsequent im Vorfeld einer Vertragsunterzeichnung ausgestaltet. Drei von vier bestehenden Vereinbarungen jedoch sind nachteilig für die auslagernden Unternehmen. Ihnen fehlen wirksame Instrumente für eine transparente, steuerbare und effiziente Kooperation. Erhoffte Vorteile wie eine nachhaltige Senkung ihrer IT-Kosten und/oder eine Verbesserung der Qualität und Flexibilität ihrer IT bleiben dann aus.

Erfolg erfordert Methode
Automatisch stellt sich Outsourcing-Erfolg nicht ein. Immer mehr Unternehmen und Verwaltungen erkennen: Ein IT-Outsourcing ist dann besonders wirtschaftlich, wenn es vorab professionell ausgestaltet und später ergebnisorientiert gemanagt – also gut gemacht – wurde. Nachhaltige Auslagerungen gerade auch im MSS-Bereich basieren auf einer praxiserprobten Vorgehensweise. Sich bietende Chancen können konsequent ausgeschöpft, bestehende Risiken erkannt und minimiert werden. Alle erfolgskritischen Voraussetzungen, u. a. bedarfsorientierte Leistungspflichten, messbare Serviceparameter, eindeutig abgegrenzte Verantwortlichkeiten, umfassende Transparenz, effiziente Organisationsstrukturen sowie definierte Kontroll- und Eskalationsprozesse werden v o r Vertragsabschluss vereinbart. Die Entscheidung über eine MSS-Vergabe erfolgt damit auf einer sachlich fundierten Grundlage.

Speziell für das Auslagern von IT-Aufgaben wurde das „Outsourcing Managementmodell in der IT” (OMIT) aus der Praxis heraus konzipiert. Ausgerichtet auf die Bedürfnisse auslagernder Unternehmen, beschreibt es den kompletten ITO Life Cycle. Die Projektmanagementmethode entstand in den Jahren 1999 bis 2003 und wurde seither fortlaufend erweitert und verfeinert. Heute dient das OMIT-Referenzmodell als Standard bei der Schaffung transparenz- und wirtschaftlichkeitsorientierter Outsourcing-Partnerschaften.

Nachfolgend sind die wesentlichen OMIT-Schritte und -Maßnahmen als Kurzübersicht dargestellt. Zudem sind die wichtigsten Aufgaben und Schritte in dem beigefügten Word-Dokument als Arbeitshilfe zusammengefasst.[ 03775_a.docx]