Kosten eines Passwortsystems

		STUDIE

Laut einer MetaGroup Studie werden 16 Minuten pro Arbeitstag und Benutzer verwendet, um sich zu authentisieren oder die Authentisierung wieder zu ermöglichen.

		INVESTITION

Kosten eines Passwortes

Sie erscheint als die billigste Variante für den Benutzer. Der Aufwand für sicheren Umgang mit einer Vielzahl von Passwörtern steigt aber exponentiell.

Je nach gewünschtem oder notwendigem Sicherheitsniveau sind Schulungen für sicheres Verhalten und der Wahl sicherer Passwörter notwendig. Das Aufstellen von Richtlinien und Policies, und deren Überprüfungen, sicheres Design der Lösung, Administration und Supportkosten,... bei fortgeschritteneren Lösungen bewegt sich der Aufwand des Sicherheitsmanagement für diese Lösung schon Richtung einer PKI.

Unumgänglich ist eine Schulung sowie Bewusstseinsbildung für die sichere Verwendung von Passwörtern gemäß der Passwortrichtlinie. Weitere Maßnahmen könnten sein:

Software - Passwort-Stores
Hardware - Passwort-Stores
Management dieser Stores, z.B. die Synchronisation mit einem PDA
Einsatz von OTP-Systemen mit
Token wie Smart Cards, PDA und Mobiltelefon

Während bei "Standard - Challenge Response Einzelsystemen", durch serverseitige Absicherungsmaßnahmen die Kosten für Administration, Support, und andere organisationsseitiger Maßnahmen zunehmend stärker steigen, werden bei aufwendigeren passwortbasierenden SSO-Lösungen die Anlauf- und Integrationskosten signifikanter.

Kostenbereiche Passwort TCO

	Clientseitig: Passwortstores, Backup, Recovery, Wartung, Support, Lizenzen; Clienthardware: OTP-Token, Passwortstore-Token, Leser, Wartung, Support
	Serverseitig: OTP-Serversoftware, Authentication-Datenbank, Lizenzen, Wartung Support, SSL-Zertifikate; Serverhardware: Rechner, ev. HSM, Wartung und Support der Authentication-Module.
	Einrichtung: sicherer laufender Betrieb: physischer Schutz, Redundanz, Backup
	Katastrophenschutz: Disaster Recovery Vorsorge
	Kernteam: Projektmanager, Securitymanager, Anwendungsarchitekt, Administratoren
	erweitertes Team: Netzwerktechniker, Servertechniker, Helpdesk, Schulungsverantwortliche, Anwendungsentwickler, Anwendungsverantwortliche,
	Vorbereitung: Schulung Kernteam, validieren, Passwortpolicy und -richtlinie, "Secure Desktop Richtlinie"
	Planung: Projektpläne, Betrieb- und Supportplan, Pilot- und Einsatzplan, Change-Management
	Design: Zertifikatsarchitektur, PKI-Server-Architektur, Enrollment, Anwendungsintegration, Support, Evaluierung und Testinfrastruktur
	Entwicklung: Serverinstallation und -integration, Benutzerdatenbank, Anwendungsentwicklung, -test und Installation, Entwicklung von Administrations-, Supportprozessen
	Einsatz: Endbenutzer-Schulung und Bewusstseinsbildung
	laufender Betrieb: Helpdesk, Administration, Ausfälle
	Planung, Design, Entwicklung und Schulungskosten können wiederholt pro einzelner Passwortanwendung entstehen.

Passworte vs. OTP vs. PKI

Passwortschutz und Qualität