Der Nestbeschmutzer

đ Was beobachte ich?
Anbieter-Portfolios wachsen. Threat-Reports erscheinen quartalsweise. Breaches werden zu Verkaufsargumenten. Und ein Consulting-Projekt, das nach drei Monaten endet, gilt intern als Misserfolg â obwohl es das Beste sein könnte, was einer Organisation passiert.
đŻ Was soll eigentlich erreicht werden?
Organisationen sollen sicherer werden â und unabhĂ€ngig bleiben. Das ist das erklĂ€rte Ziel jedes Anbieters, jeder Beratung, jedes Standards-Komitees.
â ïž Warum funktioniert das nicht?
Ross Anderson zeigte 2001: Informationssicherheit scheitert so oft an Fehlanreizen wie an Technik. FĂŒr Anbieter ist das Nash-Gleichgewicht bekannt â Kelly Shortridge hat es formalisiert: Wer eine Bedrohungskategorie eliminiert, eliminiert sein Produktsegment. FĂŒr Beratende gilt etwas Subtileres. Wer ein ISMS schlank konzipiert, Wissen ĂŒbertrĂ€gt und nach drei Monaten statt achtzehn verschwindet, hat die beste Arbeit geleistet â und den kleinsten Umsatz erzielt. Die Logik ist wie beim Doping: individuell rational, systemisch destruktiv. Niemand plant das.
đĄ Was funktioniert besser?
FĂŒr Anbieter: Ergebnismetriken statt Produktmetriken. FĂŒr Beratende bleibt Reputation. Wer dafĂŒr bekannt ist, schnell, sauber und ohne FolgeabhĂ€ngigkeit zu liefern, kann höhere TagessĂ€tze rechtfertigen â und ist trotzdem gĂŒnstiger als ein 18-Monats-Projekt. Das ist kein Abrechnungsmodell. Es ist eine Haltung.
đđ
- Ross Anderson: Why Information Security is Hard (ACSAC 2001) https://www.researchgate.net/publication/2359111_Why_Information_Security_is_Hard_-_An_Economic_Perspective
- Ross Anderson & Tyler Moore: The Economics of Information Security (Science 2006) https://www.cl.cam.ac.uk/archive/rja14/Papers/sciecon2.pdf
- Kelly Shortridge: Big Game Theory Hunting (Black Hat 2017) https://www.blackhat.com/docs/us-17/wednesday/us-17-Shortridge-Big-Game-Theory-Hunting-The-Peculiarities-Of-Human-Behavior-In-The-Infosec-Game.pdf