Lizenzen kosten Geld….einige Preise erscheinen uns gerechtfertigt, andere nicht, aber ändern können wir daran nichts.

Was wir oft ändern können sind die Preise…oder die Preisstrukturen. Viele Lizenzen existieren physikalisch nicht. Damit meine ich, dass technisch in Abhängigkeit der Lizenzart keine Restriktionen bestehen. Ich kann also mit einer billigeren Lizenz-Art ggf. technisch das gleiche bewirken wie mit einer teuren Lizenz-Art. Damit will ich niemand zum Lizenzbetrug motivieren, sorry,  jedem was im zusteht. Es geht mir darum, dass in einem solchen Fall Verhandlungen über Lizenz-Arten und Preise ebenfalls keinen physikalischen Regeln folgen müssen.

Also: völlige Freiheit!

Wir kaufen also nicht mehr zwei Tomaten und einen Apfel, wir kaufen ggf. sowas wie ein “Obst und Gemüse bis ich satt bin” Abo. Oder ein “Superspar-Saisongemüse-Abo” nach Gewicht oder vielleicht ohne Mengenbegrenzung für meinen X-Personenhaushalt. Oder beim Kauf von mindestens 200 g Fleisch ist das Gemüse in “Beilagen-Menge” dazu kostenlos.

Wenn sich beide Parteien darauf einigen können….. was hält Sie davon ab? Mit Kontroll-Mechanismen für den Verkäufer und Preisstaffeln für den Käufer geht hier alles.

Neue Themen anzufangen ist beliebig schwierig…da erzähle ich sicher nichts Neues. Die Frage dabei ist, wo ich letztendlich hin möchte.

Bei einer IT Sicherheitsmanagement Einführung ist die Frage: will ich es später selbst betreiben oder betreiben lassen? Also eine Abhängigkeit aufbauen oder autark bleiben. Das ist eine Einstellungssache aber auch eine Frage des Erhalts der Investition in das Thema.

Also gibt es folgende grundsätzliche Optionen:

• Eigene Mitarbeiter schulen und selbst loslegen lassen
• Fremdressourcen einkaufen und “Komponenten” bei der Umsetzung zuliefern
• Einen Coach kaufen und selbst lernen und umsetzen

Manchmal ist es besser und billiger, altes Zeug wieder zu verwenden…ja klar, Flohmarkt Schnäppchen neu lackieren und so auch…..aber auch als Berater bei meinen Kunden hat es einen finanziellen und terminlichen Sinn. Die IT Sicherheit generiert sich aus Transparenz, Risikobewusstsein und Sicherheits-Know-how. Beim Aufbau eines IT Sicherheitsmanagementsystems kann oft viel Transparenz durch “Abstauben”, Konsolidieren und Aufarbeiten vorhandener Informationen gewonnen werden, ohne alles neu zu erfinden.

Systematisches Suchen und Zusammentragen von “Altinformationen” hat einem meiner Kunden mehr als geschätzte 60% der Bestandsaufnahme erspart. Das war angesichts der Meinung meines Kunden, er hätte fast nichts außer einem Systemlandschaftsbild schon erstaunlich. Und wenn man dann noch alte pdf’s in bearbeitbare, erweiterbare Dokumente umwandelt, ist ein grosser Teil der IT Sicherheits-Fleißarbeit schon erledigt. Dann noch ein bisschen Managementsystem und Risikobewertung….fertig! Na ja, ok…nicht ganz aber fast

Rückrufe von Lebensmittel- Pharma- oder Maschinenchargen sind heute ein Thema, das immer wieder durch die Presse geistert. Das betrifft viele Branchen…und in einigen Branchen kann es über Leben und Tod entscheiden, ob das alles so klappt wie es soll.

Es ist eine gesetzliche Anforderung vieler Branchen, diese Rückrufe möglich zu machen.

Heute werden die meisten Prozesse durch IT Systeme unterstützt, die diese Rückrufe technisch abwickeln müssen. Bei der Einführung der Systeme wird getestet, dass auch Rückrufprozesse sauber laufen und somit vollständig und richtig alle Einheiten dafür selektieren. Und später? Wenn das System x-mal geändert wurde?

Die Frage ist , ob jedes Mal (dokumentiert natürlich!) getestet wurde, wenn in der “Nähe” etwas geändert wurde. Und wer fordert hier zum Testen auf? Gab es keine Aufforderungen, ist wohl irgendwas nicht ausreichend geregelt….oder falsch bewertet…

Die generelle Annahme, dass dafür die QM Truppe zuständig ist, ist schon richtig. Aber die QM Menschen haben oft nur wenig Ahnung davon, was in IT Systemen so vor sich geht und was aus technischer Sicht “in der Nähe” ist. Hätte man ein IT Sicherheitsmanagementsystem, wäre das angesprungen….

IT Sicherheits-Management Systeme, ob nach ISO 27001 zertifiziert oder nicht, helfen, die Risiken unter Kontrolle zu halten. Und auch die Kosten…..man prüft nur dort, wo es prüfenswert ist….nicht überall! Und es gibt neben der Rückruf-Problematik noch andere IT relevante Themen dieser Art.

Durch gesetzliche Verpflichtungen, z.B. EU-Verordnung (EG) Nr. 178/2002, ISO 22000 oder HACCP sind also implizit auch die IT Truppen in einigen Bereichen mit verpflichtet, auch wenn sie nicht so deutlich erwähnt werden!

Also was sagt die IT? Kann ich es oder glaube ich nur ich kann?

Nachdem ich eine Weile in USA gearbeitet habe, wurde mit noch viel deutlicher als bisher klar, dass meine getroffenen Entscheidungen in fachlichen Dingen mich auch dann den Job kosten könnten, wenn meine Entscheidung zu dieser Zeit für alle Beteiligten die einzig sinnvolle war. Einfach deswegen, weil es meine war.

Natürlich habe ich mir seitdem abgewöhnt, irgendwas zu entscheiden…..nein, natürlich nicht!

Seit dem bereite ich meine Entscheidungen so vor, dass ich sie eigentlich gar nicht mehr treffen muss. Die zusammengetragenen Informationen und deren Bewertung und Gewichtung tun es für mich. Ok, stimmt natürlich so nicht…..die zusammengetragenen Informationen und Gewichtungen belegen meine Entscheidung so klar, dass man mir wenig “Stimmungsmache” für oder gegen irgendwas “ans Bein binden” kann. Und wie mache ich das?

Jede Entscheidungsfindung wird in kleine Teilentscheidungen zerlegt, zu denen es jeweils mehr oder weniger komplexe Bewertungen aller Möglichkeiten gibt. Dann werden diese Teilpakete untereinander gewichtet. Soweit so gut…nichts neues hier. Was ich dabei immer versuche, transparent darzustellen ist der “Nasenfaktor” wie ich es nenne. Also der Punkt oder die Teilentscheidung, in der ich offen meine Subjektivität darstelle. Also sowas wie: “Ich glaube, ich kann super mit dem Lieferanten zusammenarbeiten”. oder ” die Bedienoberflächen finde ich super praktisch, (ohne das ergonomisch oder so belegen zu können)”.Dann könnte eine Entscheidung sich so zusammen setzen:

Lieferantenfragebogen (= Vorqualifikation)                     x % mit y Gewichtung

Software-/Produktfragebogen  (= Vorqualifikation)         x % mit y Gewichtung

ergibt Vorqualifikation                                                   x %

Assessments                                                                   x % mit y Gewichtung

Markt Bewertung                                                             x % mit y Gewichtung

Ggf. „Nasenfaktor“ falls notwendig                                  x % mit y Gewichtung

Preis                                                                                 x % mit y Gewichtung

Vorqualifikation                                                                x % mit y Gewichtung

Gesamtergebnis                                                            x %

Und diese Rechnung mache ich dann einmal mit Nasenfaktor und einmal ohne Nasenfaktor. Ich stelle beide Werte als Basis für meine Entscheidungsfindung dar. Der offene Umgang mit subjektiven Bewertungen verleiht den anderen Faktoren einen objektiveren Charakter. Ob das wirklich so ist oder nur so scheint?

Ich weiss es nicht!

Ich glaube fest daran, dass alle Mitentscheider so bewusst versuchen, die subjektiven Sachen aus den anderen Werten heraus zu halten. Was die Ergebnisse betrifft: ich habe ich damit nur gute Erfahrungen gemacht!