Viele Firmen stehen beim Thema Cyber Security vor der Frage „Make or Buy“, also ob sie die Aufgabenselbst erledigen oder einkaufen. Eine wichtige Rolle spielt dabei die Verantwortung für die IT-Sicherheit: Soll sie im eigenen Unternehmen verbleiben oder an einen externen Dienstleister delegiert werden? Insgesamt gibt es hier vier mögliche Szenarien:
Managed Security Services beauftragen
Insbesondere KMU profitieren davon, entsprechende Spezialdienstleister mit Managed Security Services zu beauftragen. Sie erhalten vorab planbar und zu weitgehend festen Kosten Zugang zu Spezialwissen. Außerdem können sie auf ein rund um die Uhr verfügbares SOC zurückgreifen, ohne es am eigenen Standort aufwändig errichten zu müssen.
Einzelaufträge vergeben
Statt ein MSSP zu beauftragen, können Unternehmen ihre IT-Sicherheit auch über Einzelaufträge an externe Dienstleister übertragen. Kostenrisiko und Planungsaufwand verbleiben dann im eigenen Unternehmen. Sie lagern nur die operative Umsetzung aus. Allerdings ist das Kostenrisiko hier deutlich höher; außerdem müssen im eigenen Haus entsprechend fachkundige Mitarbeitende vorhanden sein, die die Auftragsvergabe planen und jeden Schritt der Umsetzung überwachen können.
Aufgaben im eigenen Unternehmen erfüllen
Viele größere Firmen haben eine eigene Full-Service-IT-Abteilung, die auch für alle Fragen der Cyber Security verantwortlich ist. Je nach Unternehmensgröße betreiben diese Firmen dann auch ein eigenes SOC. In der Regel ist dies erst ab einer bestimmten Firmengröße interessant. Dabei gibt es auch Hybridmodelle, etwa externe MSSP, die das eigene SOC in Krisenfällen mit ihrem Spezialwissen unterstützen.
Aufgaben outsourcen
Für größere Firmen kann es alternativ auch interessant sein, die eigene IT-Security outzusourcen. Hierbei gründet das Unternehmen selbsteinen Spezialdienstleister aus, der ab diesem Zeitpunkt speziell für die Cybersecurity verantwortlich ist.
Dieser Dienstleister bleibt wahlweise Teil der Unternehmensgruppe oder wird komplett eigenständig. Letzteres ist insbesondere dann interessant, wenn das ausgegründete Unternehmen auch für andere Mandanten tätig werden soll.
Ein solches eigenständiges Unternehmen ist oft flexibler und agiler als eine gesamte Unternehmensgruppe. So kann es bei Bedarf schneller neue Mitarbeiter:innen anwerben und auf Veränderungen am Markt zeitnah reagieren.
Allerdings gibt das Mutterunternehmen durch das Outsourcing auch Weisungsbefugnisse ab und verliert damit Entscheidungskompetenzen auf strategischer und operativer Ebene.
