Suchergebnisse

• eBook-Kapitel aus dem Buch IT-Compliance

  Treiber von IT-Compliance

  Dr. Michael Rath, Rainer Sponholz

  …Kapitel werden die Entwicklung der Anforderungen an IT-Compli- ance sowie deren Treiber dargestellt. Hieraus ergeben sich Erklärungsansätze, welche Risiken… …und Umstände dazu führen können, dass regulatorische Anfor- derungen an die IT gestellt werden. 3.1 Überblick Wie in den vorangegangenen Kapiteln… …dargestellt, können regulatorische An- forderungen der IT-Compliance als Pflichtschutzmaßnahmen angesehen wer- den. Doch warum wächst die Zahl der Anforderungen… …Ansatz eine Verbesserung der Prüftechnik, aber die grundsätzliche Schwäche blieb bestehen, dass man bei großen Mengen an Transaktionen nicht alle… …führte also zu weiteren Anforderungen an die IT und ist damit ebenfalls Teil der IT-Compliance. Entwicklung regulatorischer Anforderungen von 2000 bis… …: „Rechtssicheres ersetzendes Scannen“, CR 2014, 206 ff. Jahr 2000 die Anzahl der Anforderungen wie auch der Institutionen, die stets scheinbar neue Vorgaben an die… …re- gulatorischen Anforderungen an diese Technologien notwendig. Jede neue Technologie im Bereich der Datenverarbeitung musste daraufhin abgeklopft… …staatliche Interesse das Vertrauen der Markteilnehmer und Bürger an der Funktionsfähigkeit der Informationsverarbeitung in Deutschland zu erhalten geht… …begrün- dete Zweifel an der Funktionsfähigkeit der Informationsverarbeitung haben, ist derMarkt nichtmehr funktionsfähig. (Sicherheitsziel Integrität) –… …Rechnungswesens und der Jahresabschlüsse von börsennotierten Kapitalgesellschaften und des Handels mit Aktien an den Börsen) weltweit zu Krisen und…

  Alle Treffer im Inhalt anzeigen
• eBook-Kapitel aus dem Buch IT-Compliance

  Rechtlicher Rahmen der IT-Compliance

  Dr. Michael Rath, Rainer Sponholz

  …Pescatore, Sicherheitsanalyst beiGartner76 In diesem Kapitel werden die unterschiedlichen regulatorischen Anforderun- gen an IT-Compliance (gesetzliche… …und deren Erfüllbarkeit. 4.1 Regulatorische Anforderungen an IT-Compliance Der normative Rahmen von IT-Compliance beruht auf ganz unterschiedlichen… …die einschlägigen Vorgaben in einer Vielzahl von Gesetzen, Richtlinien und gegebenenfalls sektorspezifischen An- forderungen enthalten sind; weltweit… …weis auf bestimmte Anforderungen an die IT. Vielmehr leitet man allein aus der Bedeutung der Informationstechnologie für das Funktionieren und den… …ordentlichen und gewissenhaften Geschäftsleiters wird es also hergeleitet, dass die Unterneh- 69 4.1 Regulatorische Anforderungen an IT-Compliance 82… …Mindestanfor- derungen an die IT-Sicherheit verpflichtet. Betroffen sind hiervon sog. Betreiber kritischer Infrastrukturen aus den Sektoren Energie… …Folgenden IDW PS 980) definiert die Grundelemente eines wirksamen CMS und gibt prozedurale Empfehlungen an dessen Ausge- 70 4 Rechtlicher Rahmen der… …IT-Compliance 84 Vgl. von Busekist, Konstantin/Hein, Oliver: „Der IDW PS980 und die allgemeinen rechtlichen Mindestanforderungen an ein wirksames… …standards 980 einem objektivierten Nachweis an eine angemessene Ausgestal- tung einer Compliance-Organisation gleichsteht. Ob die Umsetzung der vorge- nannten… …an welchen Vorgaben sich diese zu orientieren hat. Suchtman eine Legaldefinition im Umfeld von IT-Sicherheit oder Informations- sicherheit, wird man…

  Alle Treffer im Inhalt anzeigen
• eBook-Kapitel aus dem Buch IT-Compliance

  Outsourcing und IT-Compliance

  Dr. Michael Rath, Rainer Sponholz

  …und die daraus resultierenden besonderen Anforderungen an IT-Compliance im Rahmen des Outsourcings besprochen. Daran anschließend wird die Bedeutung des… …gebildet wurde.365 Outsourcing ist die langfristige oder endgültige Vergabe von Leistungen, die bisher selbst erbracht wurden, an externe Anbieter. Beim… …IT-Outsourcing als einer Auslagerungs-Variante werden IT-Infrastrukturen und Softwareanwen- dungen an Outsourcing-Anbieter vergeben, beim Business Process… …BaFin sowie die Deutsche Bundesbank im Jahr 2018 ein „Merk- blatt – Orientierungshilfe zu Auslagerungen an Cloud-Anbieter“ heraus368. Auch auf… …einen höheren Reife- grad führen. Auch an die Cloud-Auslagerung werden strategische Erwartungen des Managements zur Verbesserung geknüpft, wie zum… …der Übertragung einzelner Komponenten an unterschiedliche Anbieter Hintergrund des Multi-Sourcing ist das Bemühen der Anwender, die Abhängig- keit von… …Kontrollsystems, die in Zusammenhang mit den an sie ausgelagerten Funktionen stehen (Definition des österreichischen IWP). 395 Siehe Köhl, Stefanie/Müller, Heidrun… …externe Prüfer des Outsourcing-Unternehmens und Bereitstellung der Ergebnisse an die auslagernden Unternehmen (Kun- den), – Bestätigungen der… …existiert.“ „Die in der Kurzstudie beschriebenen Kriterienkataloge können dazu dienen, die Anforderungen an IT-Sicherheit und Datenschutz zu definieren, da sie… …dienstleistungsbezogenen internen Kontrollsystem (DIKS) der Dienstleistungsorganisation, an die ausgelagert wurde auf einen Stichtag bezogen prüft und ihre Wirksamkeit im…

  Alle Treffer im Inhalt anzeigen
• eBook-Kapitel aus dem Buch IT-Compliance

  Einführung

  Dr. Michael Rath, Rainer Sponholz

  …orientieren sich an diesen Dimensionen. Normative Definition der IT-Compliance Der angelsächsische Begriff Compliance lässt sich in einer einfachen Form fol-… …Selbstzweck. Vielmehr ist ein wesentlicher Schutzzweck der Normen und damit der Rechtsordnung das Inte- resse der Allgemeinheit an der Aufrechterhaltung einer… …managements beschäftigt. Die rein normative Definition von Compliance greift deshalb (auch nach An- sicht von T. Müller) unter Umständen zu kurz, da trotz… …Vorgaben und Anforderungen an das Unternehmen, die Initiie- rung und die Einrichtung entsprechender Prozesse und die Schaffung eines Bewusstseins der… …. An der Regeleinhaltung (Compliance) und der guten Unternehmensführung durch das Management haben zuallererst die Eigentümer/Anteilseigner i. S. v… …Wettbewerbsvor- teile für das Unternehmen zu erreichen. Ü.d.V.]16 Als Ziele der IT-Governancewerden vom IT Governance Institute genannt: – Ausrichtung der IT an… …Überarbeitung wurde im Jahr 2015 herausgegeben17. Der Standard lehnt sich an den Australischen Standard AS8015-200518 an. Die ISO- Norm richtet sich an die… …Unternehmensleitung und enthält Definitionen, Prinzi- pien und ein entsprechendes Modell. Eine „Good Corporate Governance of IT“ sollte sich danach an sechs zentralen… …Transparente Festsetzung des Budgets für die IT-Infrastruktur bei ehrlicher Berücksichtigung des Bedarfes. 4. Performance Ausrichtung der IT-Services an den… …: „IT-Governance an Hochschulen. Notwendigkeit, Stand und Wege zum Erfolg“, in: Die Hochschule: Journal für Wissenschaft und Bildung 26 (2017) 1, S. 70–82…

  Alle Treffer im Inhalt anzeigen
• eBook-Kapitel aus dem Buch IT-Compliance

  Management von IT-Compliance

  Dr. Michael Rath, Rainer Sponholz

  …gewährleistete, dass sich alle Mitarbeiter an die rechtlichen Rah- menbedingungen (insbesondere in den Regelungsbereichen Geldwäsche, Kor- ruption und… …bringen: – „Systematische Erfassung und Bewertung der an die Unternehmung gestell- ten Anforderungen – Effiziente und effektive Umsetzung von… …latorischer Standards an Management, Kontrollausschuss, Or- gane oder Konzern sowie externe Adressaten Werkzeuge des (IT-)Compliance-ManagementsC. (Kap. 10)… …Organisations- formen, die anschließend ausführlich erläutert werden. 1. Zuweisung der Aufgaben an Führungskräfte des Managements wie CIO, Re- visionsleiter… …, Leiter der Organisation, Leiter der Rechtsabteilung usw. 2. Auslagerung der Aufgaben an externe Spezialisten (IT-Sicherheit, Daten- schutz, RiskManagement… …bestimmten Rollen zuzuweisen. Sobald der regulatorische Druck ansteigt und aufgrund der Anforderungen an das Detailwissen nicht mehr als Teilaufgabe einer… …Führungs- kraft bewältigt werden kann, wählt man die organisatorische Form der Stab- stelle oder des Beauftragten oder lagert die Funktion an einen externen… …. Aufgabenzuweisung an Führungskräfte oder Fachmitarbeiter Die Zuweisung von Aufgaben der IT-Revision, IT-Sicherheit, IT-Risk Manage- ment und IT-Compliance an… …vielleicht nur eingeschränkt nachvollziehen können). Bei der Zuweisung der Aufgaben an Fachmitarbeiter ohne Führungsfunktion lässt sich in der Praxis… …in Artikel 39 DSGVO genannten Aufgaben. Krisen durch Non-Compliance-Situationen und regulatorische Projektarbeit hinzu. Zu 2. Auslagerung an externe…

  Alle Treffer im Inhalt anzeigen
• eBook-Kapitel aus dem Buch IT-Compliance

  Der IT-Compliance-Prozess

  Dr. Michael Rath, Rainer Sponholz

  …regulatorischen Anforde- rungen). 2. Im zweiten Schritt muss festgestellt werden, ob das Unternehmen diese An- forderungen einhält; hierbei erfolgt zunächst eine… …, die dem Zweck des Nachweises an die verschiedenen Adressaten dient. Abbildung 15 zeigt den beschriebenen Gesamtprozess der IT-Compliance… …Identifikation: Informationsbeschaffung zur regulatorischen Anforderungs- analyse Nachfolgend stellen wir eine Auswahl an geeigneten Möglichkeiten zur Infor-… …zeigt sich an dieser Stelle häufig, dass die Implementierung von Anforderungen mit hohem Projektaufwand ver- bunden ist. Folgt nach einem oftmals kurzen… …, ob mit dem Verstoß direkte finanzielle Vorteile erlangt wurden271. Das „Vergessen“ einer Anpassung an geänderte Datenschutzregeln kann somit schnell… …, wird im Software-Entwicklungsprozess Requirement Engineering ge- nannt274. Dessen Aufgabe ist es, relevante Anforderungen an das Anwendungs- system zu… …Technisch-organisatorische Ausstattung“ der aktuellen Mindestanforderun- gen an das Risikomanagement (MaRisk 09/2017) auf die Nutzung gängiger Standards und erwähnt in den… …Betrachtung der Dashboard-orientierten Berichterstattung bietet sie einen begrenztenMehrwert. Positiv an der aktuellen Darstellung der Compliance-Situation… …eines Autos: dieser zeigt exakt die Geschwindigkeit des Fahrzeuges an, die an sich einen Risikoindikator darstellt. Die Kontextinfor- mation der Umwelt… …zeigt die 21 Schritte imÜberblick. Tabelle 3: Schritte zur IT-Compliance-Implementierung in Anlehnung an Bothe Schritt-Nr.Hauptmodul Schrittbezeichnung…

  Alle Treffer im Inhalt anzeigen
• eBook-Kapitel aus dem Buch IT-Compliance

  Wesentliche Maßnahmen der IT-Compliance

  Dr. Michael Rath, Rainer Sponholz

  …geforderten Pflichtschutzmaßnahmen wesentlich kleiner. Die Regulatoren passen die geforderten Schutzmaßnahmen nach ihren Erfordernis- sen an und mögen die… …von IT-Sicherheit (oder umge- kehrt gelesen: auf die wichtigsten Anforderungen an die Informationstechnolo- gie, die IT-Prozesse und Organisation eines… …Katastrophensituation 68 2 3Einhaltung gesetzlicher und regulatorischer An- 21 68 forderungen 32 26Verhütung von Ausfall- und Abschaltzeiten 60 55 24Schutz von… …dann die Anforderungen angesehen werden. Wir haben in den An- hang einen Auszug aus dieser Anforderungsdokumente zur Übersicht aufge- nommen. Wie können… …zugeordnet sind, wurde dieser zum führenden Bereich in der An- zahl regulatorischer Anforderungen (siehe Abbildung 29356). Die Anzahl der Kontrollen zeigt die… …Zones Konfigurationsmanagement und Daten- und Informationsschutz jedoch eine geringe Anzahl an Kontrollen (rund 100). Diese Kontrollanforderungen sind in… …regulatorischer Sicht, ohne die Best Practice-Anforderungen des Konfigurationsmanagements, die Anforderungen an den Daten- und Informationsschutz, also die… …Standardorganisationen, Regierungen und Sicherheitsfirmen, die Sicherheits- mappings erstellen und verteilen, war unerwartet, ebenso wie der relative Man- gel an… …die Hände des Staates legen, welcher zum Schutz seiner Bürger ein erhebliches Interesse an einer funktionierenden und ungestörten Datenverarbeitung… …, Geschäftsgeheimnisse, geistiges Eigentum und vieles mehr, was an wertvollen Informationen in den IT-Systemen gespei- chert ist. Zu 2. Gewährleistung der technischen und…

  Alle Treffer im Inhalt anzeigen
• eBook-Kapitel aus dem Buch IT-Compliance

  IT-Compliance unter Einsatz der ISO 27000- Normenfamilie

  Dr. Michael Rath, Rainer Sponholz

  …Sicherheits- verfahren – Informationssicherheitsmanagementsysteme – Anforderungen legt die Anforderungen an Aufstellen, Umsetzen, Betrieb, Überwachung, Bewertung… …fest. Sie legt außerdem die Anforderungen an die Einführung von Sicherheitskontrol- len fest, die auf die Bedürfnisse einer Organisation oder Teilen… …ein hohes Maß an Informationssicherheit gewähr- leisten zu können. Abbildung 9 zeigt die Inhalte zum zweiten der drei Kernelemente, der Beschrei- bung… …Lieferantenbeziehung an. Schließlich verbleiben noch Kontrollen für den Störfall und die Belastbarkeit der Systeme sowie die Compliance selbst. – A.5… …Screen-Richtlinie usw. definieren. – A.12 Betriebssicherheit – eine Menge an Kontrollen im Zusammenhang mit dem Management der IT-Produktion: Change Management… …, Verfahren, Verifizierung undÜberprüfung, sowie der IT-Redundanz verlangen. – A.18 Compliance/Konformität – Kontrollen, welche die Identifizierung an… …Einhaltung sämtlicher regulatorischer Vorgaben und An- forderungen an das Unternehmen, 2. die Initiierung und die Einrichtung entsprechender Prozesse 3. und… …und andere Prüfungseinrichtun- gen, verwendbare Teilmenge an Schutzmaßnahmen erkannt (Punkt 4). Der Weg zu übergreifender IT-Compliance geht hier über… …(Cloud Computing Compliance Crite- ria Catalogue) auf ISO 27001, welcher Mindestanforderungen an sicheres Cloud Computing spezifiziert.145 – Die… …der gesetzlichen Anforderungen – Anpassung der schriftlichen Regeln für das ISMS an die drei Verteidigungs- linien des Risikomanagements (Three Lines of…

  Alle Treffer im Inhalt anzeigen
• eBook-Kapitel aus dem Buch IT-Compliance

  Kosten der IT-Compliance

  Dr. Michael Rath, Rainer Sponholz

  …regulatorischer Anforderungen gewährt („Aufstockungseffekt“). – Es werden nur minimale Anstrengungen zur Umsetzung regulatorischer An- forderungen unternommen, so… …Verantwortliche in Politik und Industrie an neuen regulatorischen Entwürfen, stets bemüht mit der Geschwin- digkeit des sich stetig veränderten Marktes Schritt zu… …hingegen immer mehr Berücksichtigung zu finden, dass die ansteigende Flut an regulato- rischen Anforderungen zunehmend Investitionen im IT-Bereich erfordern… …Unternehmens-Compliance. Denn Compliance wird nur dann in hohemMaße erreicht, wenn das Unternehmen in der Lage ist, ein bestehendes Compliance-System dynamisch an die sich… …des Return on Security Investment195 (ROSI) in Anlehnung an die Kennzahl desReturn on Investment (ROI)196 entwickelt. Bei der Berechnung des ROI werden… …, selbst wenn die Werte nur an- nähernd grob geschätzt werden können. Es gibt jedoch auch Einwände gegen die Anwendung des zuvor dargestellten Konzeptes: –… …Formel an: TCC =∑ (pTechnology + pPeople) + (rTechnology + rPeople + rOpportunityCost) Die Kosten der Einhaltung regulatorischer Anforderungen ergeben… …folgende Kosten als Elemente von Compliance-Kos- ten an: Beratung, Software, Mitarbeiter, Training, IT-Services, Revision, Rechts- niedrig hoch hoch E ff… …, 7. Juli 2006, Research ID Number: G00138098, S. 13. Titel des Schau- bilds im Original: Strike an Appropriate Balance between Effectiveness and Effi-… …Verfahren als ein Hot Backup mit einem mitlaufenden Rechner an einem zweiten Ort, der bei Ausfall des Primärrechenzentrums ohne Verzögerung die Arbeit…

  Alle Treffer im Inhalt anzeigen
• eBook-Kapitel aus dem Buch IT-Compliance

  Werkzeuge des (IT-) Compliance-Managements

  Dr. Michael Rath, Rainer Sponholz

  …IT-Compliance-Ma- nagement an und empfehlen daher deren Einsatz: – CobiT: Control Objectives for Information and Related Technology – ITIL: Information Technology… …, als In- strument zur Gestaltung und Beschreibung der IT-Sicherheitsmaßnahmen. Der Katalog stellt eine umfangreiche Sammlung an ausführlich… …analysiert und die notwendigen Aktivitäten und den Aufwand zur Anpassung an den neuen Dokumentationsrahmen einge- schätzt. Auf dieser Basis wurde ein… …umfassten u. a. eine Reifegradeinschätzung, die in Anlehnung an das Attribute Maturity Model von COBIT auf Basis eines kleinen Tools zur Selbstein- schätzung… …Verbindung zwischen Kontrollen-Anforderungen-Risiken ist in den „GRC-optimierten“ An- wendungen umgesetzt. Tatsächlich lässt sich beobachten, dass Anwendungen… …aus allen Bereichen „GRC-tauglich“ gemacht werden, in dem ihre Funktionalität an die Anforderun- gen von Governance, Risk and Compliance angepasst oder… …regulatorische Vorgaben die Softwareindustrie dazu bewegen, die geforderten Eigenschaften in die An- wendungen einzubauen. Abbildung 20: Technologische Bereiche… …Transaktionssysteme aufgrund eines unzureichenden und uneinheitlichen Datenmanagements nur über intel- ligente Zwischensysteme annehmbare Daten an das Risikomanagement… …für seine eigenen Re- chenzentren und für die Kunden eine Anwendung geschaffen, welche die ge- schilderten Anforderungen an eine GRC-Anwendung in… …Customizingtabelle aktiviert und freigegeben wer- den. Weiterhin wird SAP ETD an das zentrale SIEM -Produkt (Security Informa- tion and Event Management) der…

  Alle Treffer im Inhalt anzeigen