Vor ein paar Jahren wäre es völlig undenkbar gewesen, die Kontrolle über die wertvollsten Daten seines Unternehmens - beziehungsweise über deren Schutz - in fremde Hände zu legen. Das hat sich inzwischen geändert: Für viele Unternehmen erscheint es weniger risikoreich, die IT-Security in die Hände von Dritten zu legen, als sich selbst mit der täglich wachsenden Bedrohungslage befassen zu müssen.

MSSP: Goodbye, Security-Verantwortung?

Wenn man sich im Channel über die Gründe für die Kontrollabgabe erkundigt, heißt es, das hänge stark vom vorhandenen Know-How ab. Wieso ein Risiko eingehen, wenn es an Expertise mangelt? Kleine und mittlere Unternehmen haben unter Umständen auch gar nicht das Budget, um ein angemessenes IT-Sicherheitslevel gewährleisten zu können. Für Unternehmen, die Datendiebstahl fürchten und sich mit einer steigenden Zahl von mobilen Devices im Netzwerk konfrontiert sehen, wird eine Partnerschaft mit einem Managed Security Services Provider (MSSP) deshalb immer mehr zum Muss.

Ebba Blitz, CEO bei Alertsec, sieht darin nur Vorteile für die Unternehmen: "MSSPs sind IT-Security-Spezialisten, die mehrere Kunden bedienen und die Kapazitäten haben, um schnell auf größere Vorfälle reagieren zu können. Wenn ein Unternehmen groß genug ist, um seine eigene IT-Abteilung mit den gleichen Fähigkeiten aufzubauen, wird es das tun. Wenn Sie ein kleines oder mittleres Unternehmen haben, ist ein Managed Security Services Provider vielleicht die bessere Wahl."

Eine Partnerschaft mit einem MSSP sollten Unternehmen allerdings nicht mit dem Hintergedanken eingehen, sämtliche Verantwortung für die IT-Sicherheit über Bord zu werfen, wie Pat Patterson, Vice President bei Optiv, deutlich macht: "Die Tage, in denen Security-Entscheider geglaubt haben, sie könnten ihre Monitoring- und Incident-Response-Pflichten an Dritte abschieben und trotzdem erfolgreich sein, sind hoffentlich vorbei. Eine Partnerschaft mit einem Managed Security Services Provider ist kein Mittel gegen fehlerhafte Prozesse in der IT Sicherheit. Im Gegenteil: ein MSSP kann schlecht definierte Prozesse oder deren Nicht-Existenz erst ins Rampenlicht rücken."

Der Managed-Security-Services-Boom

Laut einer aktuellen Studie von Trustwave steigt die Akzeptanz der Managed Security Services Provider weiter. Das zweite Jahr in Folge sank die Zahl der Studienteilnehmer, deren IT-Sicherheit komplett Inhouse gemanagt wird (67 Prozent). Immerhin 26 Prozent der Befragten setzen auf einen Mix aus Inhouse-Teams und MSSP, während fünf Prozent der Teilnehmer ihre IT Security vollständig an einen Managed Security Services Provider ausgelagert hat. Auch die Zahl der Unternehmen, die eine MSSP-Partnerschaft plant, steigt. Gegenüber dem Vorjahr (39 Prozent) hegen nun 43 Prozent solche Pläne.

Natürlich stellen sich viele Entscheider die Frage, wie man überhaupt zwischen Inhouse-Security und Managed Security Services Providern abwägt. Laut Yitzhak Vager, Vice President bei Verint Systems, hat diese Entscheidung mehr mit Strategie als mit Taktik zu tun: "Das Management muss entscheiden, welcher Weg der Beste ist: In eigenes Personal und Tools investieren und die Kontrolle über die IT-Sicherheit in den eigenen Händen zu behalten oder ungefähr denselben Betrag in ein externes Unternehmen zu stecken, das sich ausschließlich auf die IT Security konzentriert, aber nicht denselben Business-Fokus aufweist. Wenn die Entscheidung zugunsten des MSSP ausfällt, ist es wichtig, dass der Provider die Business-Risiken, die mit bestimmten Gütern verbunden sind, versteht und entsprechende Prioritäten setzen kann."

Nicht wenige Experten sind davon überzeugt, dass Managed Security Services Provider inzwischen einen Reifegrad erreicht haben, der sie auf demselben Skill-Level wie ein Inhouse-Security-Team agieren lässt. Oder gar auf einem höheren.

Eine Sache, die man dabei laut Amir Jerbi, CTO bei Aqua Security, im Hinterkopf behalten sollte: Die Expertise von Managed Security Services Providern fokussiert sich in den meisten Fällen auf gängige, etablierte Technologien. So bleiben beispielsweise Container in der Regel in den Händen der Nutzer-Organisation."

Derek Brost, Entwicklungschef bei Bluelock sieht in der Partnerschaft mit MSSPs Vor- und Nachteile. Für viele Unternehmen sei die Nutzung von Managed Security Services zwar wesentlich kosteneffizienter, darüber hinaus sollte man aber nicht vergessen, dass weiterhin Investments im Bereich des Risikomanagements notwendig sind, so der Experte.