Wann sind IT-Security-Audits nützlich?

ZUSAMMENFASSUNG Informationstechnologie vereinfacht die Vernetzung von Wirtschaftseinheiten und erhöht so die Abhängigkeit einzelner Wirtschaftssubjekte von anderen. Dies führt nicht nur zu neuen Risiken, sondern auch zu neuen Anreizstrukturen beim Risikomanagement. In Literatur und Praxis werden IT-Security-Audits oft abstrakt als Mittel gegen Trittbrettfahrer genannt, die Maßnahmen zur Risikoreduzierung bewusst unterlassen. Security-Audits sind jedoch aufwändig und müssen exakt das richtige Signal liefern, um positiven Nutzen zu generieren: Die im Einzelfall erforderliche Gründlichkeit eines Security-Audits hängt von Parametern des zu untersuchenden Wirtschaftssubjekts und dessen Umfeld ab. Dieser Beitrag formalisiert Security-Audits im Rahmen der Theorie von IT-Sicherheitsinvestitionen und leitet aus einem spieltheoretischen Modell mit interdependenten Risiken Empfehlungen für Management und Regulierer ab.