Kosten-Nutzen Bilanz IT-relevanter Risiken und deren Maßnahmen
„Welchen finanziellen Nutzen bringen die empfohlenen Maßnahmen?“ – dieser Frage musste sich wohl schon jeder IT-Verantwortliche und CIO stellen. Die Antwort wurde, wie bisher kaum anders möglich, mit weichen Faktoren oder Risikoüberwälzung an den CEO, Vorstand oder Geschäftsführer gegeben.
Die Antwort auf die oben gestellte Frage ist daher mit einem monetären Wert für ein festgelegtes Zeitintervall zu geben. Da natürlich jede Aussage für zukünftige Ereignisse mit Unsicherheit verbunden ist, muss eine Bandbreite für Best-, Worst- und Most Likely Cases, jeweils mit möglichen Wahrscheinlichkeitsszenarien der Antwort unterlegt werden.
Damit für eine IT-Investition im Rahmen des Informationssicherheitsmanagements auch ein Return on Invest (ROI) im Sinne einer Investitionsrechnung ermittelt werden kann, sind IT-Risiken mit plausiblen Kostenbewertungen zu versehen.
IT-Risikokosten mit CRISAM® bewerten
Im CRISAM® Explorer werden Risiken aus dem Einsatz der IT, bezogen auf den jeweiligen Geschäftsprozess ermittelt. Durch die Aggregation der Risikobeiträge in ihrer Ursache-Wirkungsbeziehung von IT-Systemen, der IT-Prozesse und Infrastrukturen wird an der Wurzel des Fehlerbaumes eine Risikokennzahl ermittelt.
Die so ermittelte Risikokennzahl liefert eine Aussage über die Zuverlässigkeit des vom Geschäftsprozess benötigten IT-Service. Wird die Qualität der zugrunde gelegten IT-Prozesse, Infrastrukturen oder Serversysteme verbessert, steigt analog zur Ratingkennzahl auch die Zuverlässigkeit der IT.
Um den monetären Schaden einer IT-Fehlfunktion bestimmen zu können, liefert CRISAM® aus der Business Impact Analyse jenen Schadenswert, der mit sehr hoher Wahrscheinlichkeit IT-bedingt nicht überschritten wird. Dieser „Maximum Foreseeable Loss“ (MFL) wird zur Bestimmung der möglichen Schadenshöhen herangezogen.
Mit der Ermittlung der Risikokosten liefert CRISAM® eine Möglichkeit, die Effizienz erforderlicher Maßnahmen zu bewerten.
Lesen Sie mehr zu CRISAM® Cost Benefit Analyzer. >> mehr
