Einfluss des ROSI und der quantitativen Risikoanalyse auf Managemententscheidungen

Matthias Hinterholzer, BSc

Betreuer: FH (Prof) Mag. Helmut Kaufmann, MSc

Ausgangslage

Die Informationssicherheitsabteilung sitzt mit der Managementebene in einem Meeting. Es geht um die aktuellen IT-Risiken des Unternehmens. Das Ziel der Informationssicherheitsabteilung in diesem Meeting ist es, die Dringlichkeit von Investitionen in Gegenmaßnahmen darzulegen. Die Managementebene trifft ihre Entscheidungen aufgrund von Zahlen. Es geht dabei um die monetäre Bewertung der Risiken. Die Basis ob sich eine Investition in eine Gegenmaßnahme rentiert, ist der finanzielle Schaden falls das Risiko eintritt. Um vernünftig argumentieren zu können, muss das Risiko durch eine quantitative Risikoanalyse monetär bewertet werden.

Diese Art der Risikoanalyse basiert auf der Wahrscheinlichkeitsrechnung, sowie der Monte-Carlo Simulation. Es müssen verschiedene Parameter befüllt werden, um schlussendlich zu einer aussagekräftigen finanziellen Bewertung des Risikos zu gelangen. Die Stochastik bietet hierfür die Grundlage, dadurch kann mithilfe der Wahrscheinlichkeitsverteilung ein zutreffendes Ergebnis geliefert werden. Somit kann in einem Meeting mit der Managementebene für eine Investition in eine Gegenmaßnahme argumentiert werden, sowie die Entscheidung der Manager beeinflusst werden.

Ziel

Diese Arbeit soll darlegen, inwiefern quantitative Risikoanalysen wichtige Entscheidungen auf Managementebene beeinflussen können. Dazu wird nicht nur die mathematische Grundlage auf welcher die Risikoanalyse basiert beschrieben. Ebenfalls spielt die Monte-Carlo Simulation eine sehr wichtige Rolle. Um eine Gesamtübersicht zu haben, wird der Zusammenhang zwischen der quantitativen Risikoanalyse und dem Risikomanagement erläutert. Außerdem wird der Return on Security Investments betrachtet und welche Berechnungsmodelle es dazu gibt.

Ergebnis

Aufgrund der Anführung eines Beispiels, in welchem eine quantitative Risikoanalyse mithilfe der Monte-Carlo Simulation durchgeführt wurde, konnte praxisnah dargestellt werden, wie eine vernünftige Argumentationsbasis geschaffen wird, um die Managementebene von einer Investition zu überzeugen. Dabei spielt der Risikomanagement Prozess eine wichtige Rolle, damit Entscheidungen des Managements nachvollziehbar sind.