Wann sind IT-Security-Audits nützlich?

Informationstechnologie vereinfacht die Vernetzung von Wirtschaftseinheitenund erhoht so die Abhangigkeit einzelnerWirtschaftssubjekte von anderen. Dies fuhrt nicht nur zuneuen Risiken, sondern auch zu neuen Anreizstrukturen beimRisikomanagement. In Literatur und Praxis werden IT-Security-Audits oft abstrakt als Mittel gegen Trittbrettfahrergenannt, die Manahmen zur Risikoreduzierung bewusst unterlassen.Security-Audits sind jedoch aufwandig und mussenexakt das richtige Signal liefern, um positiven Nutzenzu generieren: Die im Einzelfall erforderliche Grundlichkeiteines Security-Audits hangt von Parametern des zu untersuchendenWirtschaftssubjekts und dessen Umfeld ab. DieserBeitrag formalisiert Security-Audits im Rahmen der Theorievon IT-Sicherheitsinvestitionen und leitet aus einem spieltheoretischenModell mit interdependenten Risiken Empfehlungenfur Management und Regulierer ab