Security as a Service: Abhängig von Grösse und Agilität der Kunden werden Hardware-, Software- und Servicelösungen koexistieren

Experten vorgestellt Security as a Service: Abhängig von Grösse und Agilität der Kunden werden Hardware-, Software- und Servicelösungen koexistieren Interviewrunde: „Hosted Security & Security as a Service“ Name: Mark Stäheli Funktion/Bereich: Leiter Business Unit AVANTEC NET (Security-as-a-Service) Organisation: AVANTEC AG Homepage Orga: www.avantec.ch/net Liebe Leserinnen und liebe Leser, in dieser Interviewrunde stellen Experten Ihre verschiedenen Sichtweisen auf das Thema „Hosted Security & Security as a Service“ dar und sprechen dabei über Vorteile, Optionen und Zukunft solcher Modelle. Die Zukunft von Hosted Security sieht Marc Stäheli, Leiter Business Unit AVAN- TEC NET bei der AVANTEC AG dabei folgendermaßen: „Bei den bestehenden Security Services in den Bereichen E-Mail, Web, Vulne- rability Management, IAM und SIEM ist davon auszugehen, dass die Marktan- teile ansteigen und insbesondere stärker wachsen als HW/SW-Lösungen. Kau- fen werden vor allem kleinere und mittlere Unternehmen, welche zu wenig IT- Ressourcen haben. Aber auch der Mittelstand mit genügend grosser IT wird sich ein Wechsel zu Services auf Grund von Kostenvorteilen überlegen. Insbe- sondere ist auch davon auszugehen, dass emotionale Hürden mit der Zeit ab- gebaut werden.“ Viel Spaß beim Lesen wünscht Ihnen Ihr NetSkill-Team! www.competence-site.de Seite 1 Experten vorgestellt Sehr geehrter Herr Stäheli, Frage 1: Terminologie & Begriffsklärung Zunächst wollen wir kurz Klarheit über die verschiedenen Begriffe schaffen: Hosted Security, Security as a Service, Security on demand - Was steckt da- hinter, gibt es Unterschiede? Antwort: Wichtig ist es zu verstehen, dass beim SaaS-Modell bzw. On-Demand Lösungen Dienste auf Basis von mandantenfähigen Lösungen angebo- ten werden. Im Gegensatz zu Managed Services, wo für jeden Kunden ein ei- genes System betrieben wird, sind dabei die Skalierungseffekte viel grösser. SaaS ist günstiger als Managed Service. Zudem erlaubt das SaaS-Modell, Kun- den ihre Einstellungen per Webkonsole selbstständig vorzunehmen und zu kon- trollieren. Die Begriffe werden aber häufig nicht auf verschiedene Weise verwendet, was zu Verwirrungen führen kann. Frage 2: Anwendungen & Eignung Welche Security-Anwendungen können bereits über diese Methoden bezogen werden? Welche eignen sich möglicherweise nicht? Antwort: Klassische und bereits reife Dienste findet man bei der E-Mail Content Security, also das Scannen von E-Mails nach Spam und Viren. Eben- falls bewährt haben sich Vulnerability Management Lösungen, welche als Service die externe Infrastruktur scannen. Auch der firmeneigene Webver- kehr kann über einen SaaS-Provider umgeleitet werden, um Inhalte auf bösarti- gen Code zu prüfen und URL-Filter einzusetzen. Wegen der entstehenden Ver- zögerung sind Web-Security Lösungen noch nicht so stark verbreitet wie E-Mail Security Lösungen. Bei letzteren zeichnen sich immer mehr Zusatzdienste ab, wie beispielsweise das Verschlüsseln oder Archivieren des E-Mail-Verkehrs. Weniger gut eignen sich Dienste, welche latenzempfindlich sind oder welche Zugriff auf firmeninterne Ressourcen brauchen. Firewall, IDS und IPS Dienste sind daher nicht geeignet. Möglich aber, dass Netzwerkprovider und ISP solche Services in Zukunft mitanbieten. www.competence-site.de Seite 2 Experten vorgestellt Erste Lösungen sind zudem in den Bereichen IAM (Identity und Access Mana- gement) und SIEM (Security Information & Event Management) zu beobachten. Bis zur Marktreife dürften aber noch einige Jahre vergehen. Frage 3: Konkrete Vorteile von Hosted Security Ein Vorteil von Sicherheitslösungslösungen als Service sollen Kostenvorteile sein. Woraus entstehen diese? Wie konkret können sie festgestellt werden? Hätten Sie ein Praxisbeispiel? Antwort Die Kostenvorteile ergeben sich aus dem Wegfall von Investitions- und Betriebskosten und dem weitaus tieferen Aufwand für den Systemun- terhalt. Der Kunde zahlt lediglich eine monatliche Servicegebühr. Exak- te Kostenvergleiche sind schwierig, weil gerade die Systemunterhaltskosten nicht transparent sind. Wie viele Stunden stecken Systemadministratoren in Schulung, Training, Trouble-Shooting, Updates, Testing, Backup, Disaster Re- covery etc.? Meist wird diese Komponente sehr stark unterschätzt. Studien ge- hen davon aus, dass sich IT-Mitarbeiter bis zu 80% um den Betrieb von beste- henden Lösungen kümmern müssen. Selbstverständlich gibt es hier unter den Systemen grosse Unterschiede was den Aufwand für den Systemunterhalt be- trifft. Häufig sieht man bei Preisvergleichen zwischen HW/SW-Lösungen und Ser- vices, dass die SaaS-Variante nur unwesentlich günstiger ist. Unter dem Aspekt des fehlenden Systemunterhalts schneidet SaaS dann aber wirtschaftlich deut- lich besser ab. Zu bedenken gilt es jedoch mit realistischen Systemlaufzeiten zu rechnen und den Vergleich über 3-5 Jahre zu erstellen. Weitere Kostenvorteile für SaaS ergeben sich aus der flexiblen Skalierbarkeit und der raschen Implementierung. www.competence-site.de Seite 3 Experten vorgestellt Frage 4: Vorbehalte und die Fakten dahinter Was sind übliche Bedenken und Vorbehalte von IT-Entscheidern gegenüber Hosted Security bzw. Security als Service? Was können Sie diesen antworten? Antwort Kontrollverlust und Abhängigkeit von einem externen Anbieter sind in der Regel die Bedenken. Zum Kontrollverlust gibt es zu bedenken, dass der Kunde gerade bei SaaS-Lösungen per Web viele Einstellungen selbst vornehmen und den Service überwachen kann. Was die Abhängigkeit und allfällige Sicherheitsbedenken betrifft, gilt es zu be- achten, dass viele Security SaaS Provider über professionelle Betriebsabläufe und hochsichere IT-Infrastrukturen verfügen. Viel häufiger ist die Zurückhaltung aber auch emotional begründen, weil man diese Aufgaben einfach nicht ausser Haus geben will. Klare Kostenvorteile können hier den Widerstand brechen. Zudem bleibt zu er- wähnen, dass sehr viele Grossunternehmen solche Dienste einsetzen. Frage 5: Anbieterauswahl und Angebote Worauf sollten Entscheider bei der Auswahl eines Providers achten? Was kön- nen Sie und Ihr Unternehmen für Unternehmen und ihre Sicherheit tun? Wel- che Modelle bieten Sie an? Antwort Wichtig ist: man kauft nicht nur ein Produkt, sondern in erster Linie ein Service. Erfahrung in der Erbringung von Services ist sehr wichtig, wie auch die zugehörigen SLA. Bei Preise muss darauf geachtet werden, dass saubere Vergleiche durchge- führt werden. Pay-per-Use wird nicht von allen gleichermassen ausgelegt. Lange Vertragslaufzeiten ergeben Rabatte verhindern dadurch aber auch einen frühzeitigen Providerwechsel. Auch die SLA sollten bei schwerwiegenden Verstössen dem Kunden die Mög- lichkeit lassen den Service ausservertraglich aufzukünden. Bei ausländischen Service-Providern lohnt sich zudem ein lokaler Partner, der Support bietet inkl. lokale Veträge und Eskalationsmöglichkeit gegenüber dem Leistungserbringer. www.competence-site.de Seite 4 Experten vorgestellt Frage 6: Zukunft und Ausblick Wie sehen Sie die Zukunft für SaaS-Modelle im Security-Markt? Können Sie die nächsten Schritte kurz zusammenfassen? Antwort Bei den bestehenden Security Services in den Bereichen E-Mail, Web, Vulnerability Management, IAM und SIEM ist davon auszugehen, dass die Marktanteile ansteigen und insbesondere stärker wachsen als HW/SW-Lö- sungen. Kaufen werden vor allem kleinere und mittlere Unternehmen, welche zu wenig IT-Ressourcen haben. Aber auch der Mittelstand mit genügend gros- ser IT wird sich ein Wechsel zu Services auf Grund von Kostenvorteilen überle- gen. Insbesondere ist auch davon auszugehen, dass emotionale Hürden mit der Zeit abgebaut werden. Es wird sich eine Koexistenz einstellen von HW-, SW- und Servicelösungen je nach Grösse und Agilität der Kunden. Vielen Dank für das Interview! www.competence-site.de Seite 5