Suchergebnisse

• eBook-Kapitel aus dem Buch IT-Compliance

  Der IT-Compliance-Prozess

  Dr. Michael Rath, Rainer Sponholz

  …. 9 Der IT-Compliance-Prozess „Es ist wesentlich, die Umsetzung der Anforderungen aus Governance, Risk und Compliance als einen langfristigen Prozess… …Hunderttausenden erschlagen lässt. Geduld ist der Partner derWeisheit.“ Jörg Altmeier,Wikima4 AG266 In diesem Kapitel wird zunächst der Gesamtprozess zur… …werden drei wesentliche Teilprozesse hierzu erläutert: – Identifikation und Analyse der regulatorischen Anforderungen – Überwachung der Übereinstimmungmit… …diesen Vorgaben – Dokumentation des Compliance-Status Anschließend wird eine Methode für ein Initialprojekt zur Verbesserung der IT- Compliance in 21… …Teilschritten dargestellt. 9.1 Gesamtprozess IT-Compliance Im Bereich der (IT-)Compliance gibt es einen grundlegenden Prozess, der in drei wesentlichen Phasen… …iterativ abläuft: 1. Es muss eine Analyse erfolgen, welche speziellen regulatorischen Anforde- rungen für das Unternehmen gelten (Relevanz der… …Aufnahme des IST-Zustan- des, in weiteren iterativen Zyklen eine Überwachung der Einhaltung des SOLL-Zustandes. Bei Nicht-Einhaltung wird ein entsprechender… …Handlungs- bedarf abgeleitet für Maßnahmen zur Erreichung der (IT-)Compliance (Defi- ciencyManagement). 3. Berichterstattung und Dokumentation über Compliance… …, die dem Zweck des Nachweises an die verschiedenen Adressaten dient. Abbildung 15 zeigt den beschriebenen Gesamtprozess der IT-Compliance… …. Abweichungsanalyse Anforderungsanalyse Berichterstattung Deficiency Management 154 9 Der IT-Compliance-Prozess 267 Siehe Inhaltsverzeichnis beim Beuth-Verlag…

  Alle Treffer im Inhalt anzeigen
• eBook-Kapitel aus dem Buch IT-Compliance

  Kosten der IT-Compliance

  Dr. Michael Rath, Rainer Sponholz

  …Kosten der IT-Compliance „Das Thema Compliance ist nicht nur aufgrund seiner Komplexität, sondern auch aufgrund der nur schwer ermittelbaren Rentabilität… …undWertbeitrag von Compliance bzw. IT- Compliance dargestellt. Ein Themenkomplex, der angesichts der kostenintensi- ven Umsetzung der vielen regulatorischen… …„Großprojekte“ der vergangenen Zeit zunehmend polarisiert. Wie viel Compliance ist überhaupt erforderlich und wannmündet nachhaltiges Risikomanagement in… …Modethema ist und in- wieweit (notwendiges) Pflichtprogrammguter Unternehmensführung. Informationen über die Kostenfrage der Compliance sind daher von… …besonderer Wichtigkeit in der Diskussionmit demManagement und den Aufsichtsorganen. In diesem Kapitel wird das Ziel des anzustrebenden Sicherheitsniveaus, der… …Risk-Adjusted Comfort Zone hergeleitet, in der für das Unternehmen weder ein nicht akzeptables Schutzniveau noch ein (wirtschaftlich) ineffizienter Über- schutz… …besteht. 7.1 Grundsätzliche Überlegungen zur Wirtschaftlichkeit von IT-Compliance Es besteht ein Zusammenhang zwischen der zunehmenden Anzahl regulatori-… …ergeben: 116 7 Kosten der IT-Compliance 185 Siehe Abschnitt 4.4 Diskussion der absoluten oder relativen Zielvorgaben XE „abso- lute oder relative… …Zielvorgabe“ sowie der Regelauslegung für Pflichtschutzmaßnah- men der IT-Compliance. – Die Umsetzungskosten der regulatorischen Anforderungen werden aus dem… …den regu- latorischen Anforderungen oft einen Hebel, um neue Budgets zu generieren – sie hoffen auf den „Aufstockungseffekt“. Aus Sicht der…

  Alle Treffer im Inhalt anzeigen
• eBook-Kapitel aus dem Buch IT-Compliance

  Wesentliche Maßnahmen der IT-Compliance

  Dr. Michael Rath, Rainer Sponholz

  …, https://www.security-insider.de/mehr-sicherheit-durch-critical- security-controls-a-809397/. 336 Siehe Anlage A/2 Übersicht IT-Compliance-Anforderungen des UFC. 11 Wesentliche Maßnahmen der IT-Compliance… …„100-prozentige Sicherheit ist teuer und nur selten nötig. EDV-Abteilungen ten- dieren jedoch in der Regel zur aufwändigsten Lösung.“ Jeanne W. Ross und Peter Weill… …, Center for Information Systems Research (CISR), Juni 2006334 In diesem Kapitel werden die wesentlichen Schutzmaßnahmenbereiche der IT- Compliance gemäß… …unserem GRC-Wirkungsmodell hergeleitet und vorgestellt. Dieses Kapitel soll der Komplexitätsreduktion dienen. Dabei folgen wir der These, dass es zwar eine… …große Anzahl von regulatorischen Anforderungen gibt, man diese jedoch auf einige wesentliche Maßnahmen der IT-Sicherheit be- schränken und dadurch bei… …SANS 20 – welcher heute vom Center for Internet Security [CIS] gepflegt wird335). Entsprechend des Detaillierungsgrades der unternehmensspezifischen… …Anforderungen müssen diese Anforderungen dann in Teilstückenweiter ausgebaut werden. 11.1 Managementansatz auf der Basis der wesentlichen Maßnahmen Obwohl es… …sicherlich allein in Deutschland mehrere Hundert regulatorische Dokumente mit IT-Compliance-Anforderungen gibt336, ist die Anzahl der The- mengebiete der… …Anzahl der geforderten Maßnahmen in der Anzahl erhöhen, jedoch nicht in deren Anforderungskern. Nach unserer Ansicht ist es für eine wirtschaftliche… …Umsetzung der Anforderun- gen erforderlich, auf Basis einer Risikoanalyse die notwendigen Themen zu implementieren. Dies sollte in einer einheitlichen…

  Alle Treffer im Inhalt anzeigen
• eBook-Kapitel aus dem Buch IT-Compliance

  Wirkungsmodell der IT-Sicherheit

  Dr. Michael Rath, Rainer Sponholz

  …39 40 Konferenzprospekt der Firma conex: Konferenz „IT Management 2006/IT Sicherheit 2006“ am 8. und 9.November 2006 inWien. 41 Vgl. Stone, Judith… …: „Murphy’s Gesetze – Das Gesetz vom Scheitern“. 2 Wirkungsmodell der IT-Sicherheit „Wer glaubt sicher zu sein, ist selbst Teil des Problems!“ Franz… …Hoheiser-Pförtner,Chief Information Security Officer, Wien40 In diesem Kapitel werden die Entwicklung und Wirkungsweise der IT-Sicher- heit dargestellt. Es wird ein… …werden die regulatorischen Anfor- derungen der IT-Compliance als Pflichtschutzmaßnahmen angesehen. Diese Sichtweise auf die regulatorisch geforderten… …Maßnahmen hat große praktische Vorteile. Die Verbindung der Sichtweise des Sicherheitsmanagements mit der IT-Compliance ist ein Alleinstellungsmerkmal des… …einheitliches GRC- Management. 2.1 Entwicklung der Computersicherheit und Wirkungs- modell der IT-Sicherheit Entwicklung im historischen Kontext Das heutzutage… …, trifft auch oder vielleicht gerade auf die komplexen IT-Sys- teme und verbundene Prozesse zu. Nach Aussage der Witwe von Herrn Murphy soll er aber diesen… …Satz in einer leicht anderen Weise gesagt haben: „Wenn es mehr als eine Möglichkeit gibt, eine Sache zu erledigen, und eine der Möglichkeiten endet in… …einem Desaster, dann findet sich jemand, der diesen Weg einschlägt.“ Er kommentierte damit im Jahr 1946 einenmissglückten technischen Versuch bei der… …Entwicklung eines Sicherheits- systems für Piloten. Sein Spruch ging nach einer Pressekonferenz und Verwer- tung dieser Aussage in einerWerbung der…

  Alle Treffer im Inhalt anzeigen
• eBook-Kapitel aus dem Buch IT-Compliance

  IT-Compliance unter Einsatz der ISO 27000- Normenfamilie

  Dr. Michael Rath, Rainer Sponholz

  …tes_K%C3%B6nigreich). 5 IT-Compliance unter Einsatz der ISO 27000- Normenfamilie „ISO/IEC 27001 wird zu einem allgemeinen Standard für Compliance. Zwei Fünftel der… …Informationssicherheit.“ PWC, Information Security Breaches Survey 2010112 In diesem Kapitel werden die Sicherheitsstandards der internationalen Nor- menfamilie 27000 und… …ihre Verwendung sowie Nützlichkeit im Umfeld der IT- Compliance beschrieben. Die neusten Versionen der Standards ISO/IEC 27001 und 27002 stellen ein… …umfassendes, integratives Rahmenwerk für eine effektive Governance und ein effektives Management der Unternehmens-IT dar. Da ISO/IEC 27001 als Standard mit… …sehr großem Nutzen. Wir werden in die- semKapitel die Details der Anwendung beschreiben. 5.1 Entwicklung der Normenfamilie und Verbreitung Bei der ISO… …27001 handelt es sich um eine der international führenden Normen für Informationssicherheits-Managementsysteme (ISMS). Sie bietet Organisa- tionen aller… …schließlich 2007 auf115. Für die Entwicklung der Informationssicherheit und IT-Compliance war diese Behörde sehr wichtig, denn 1987 wurde das Commer- cial… …Computer Security Centre (CCSC) aufgebaut. Ein Ziel dieser Organisations- 88 5 IT-Compliance unter Einsatz der ISO 27000-Normenfamilie 116 Jörg, Völker… …good security practice“ bei der Umsetzung von Informationssicherheit zu unterstüt- zen und zum anderen ein Evaluierungs- und Zertifizierungsschema für… …Normierungsbehörde British Standard Institute (BSI)117 – nicht zu verwechseln mit der deutschen Sicherheitsbehörde BSI – der britische Stan- dard BS 7799 Teil 1…

  Alle Treffer im Inhalt anzeigen
• eBook-Kapitel aus dem Buch IT-Compliance

  Rechtlicher Rahmen der IT-Compliance

  Dr. Michael Rath, Rainer Sponholz

  …porate Compliance Checklisten“, Kap. 8: „IT-Compliance“, 4.Auflage 2020, C.H. Beck- Verlag. 4 Rechtlicher Rahmen der IT-Compliance „Fraglos gibt es… …und deren Erfüllbarkeit. 4.1 Regulatorische Anforderungen an IT-Compliance Der normative Rahmen von IT-Compliance beruht auf ganz unterschiedlichen… …(vom EU-Gesetzgeber bis hin zum Branchenverband, der gar nicht über eine formelle Gesetzgebungsbefugnis im engeren Sinn verfügt) werden nachfolgend mit… …. dessen Umsetzung im GmbHG und AktG) sowohl der Vor- 68 4 Rechtlicher Rahmen der IT-Compliance 78 Vgl. zu den Pflichten der Geschäftsführung… …Vorstände festgelegten Pflichten gelten kraft entsprechen- der Regelungen in den einschlägigen Gesetzen (etwa §43 GmbHG, 347 HGB) auch für den Geschäftsführer… …als auch der Geschäftsführer einer GmbH als eigentliche Adres- saten von Corporate Governance verpflichtet sind, neben der Einhaltung von einschlägigen… …Gesetzen für eine transparente Organisation und ein angemesse- nes Risikomanagementsystem zu sorgen. Angesichts der erheblichen Bedeu- tung der IT für ein… …Datenschutz (als sicherlich einem der wichtigsten Eckpfeiler von IT-Compliance) in der DS-GVO und dem BDSG ausdrücklich und verbindlich angeordnet ist79, kann… …die Verpflichtung der Geschäftsleitung zur Sicherstellung von IT-Compliance im Unternehmen dem Gesetz (etwa §93 Abs. 1 AktG) nur mittelbar entnommen… …weis auf bestimmte Anforderungen an die IT. Vielmehr leitet man allein aus der Bedeutung der Informationstechnologie für das Funktionieren und den…

  Alle Treffer im Inhalt anzeigen
• eBook-Kapitel aus dem Buch IT-Compliance

  Schlussbetrachtung und Ausblick

  Dr. Michael Rath, Rainer Sponholz

  …, Präsident des Deutschen Bundestages400 Die Aufbereitung der verschiedenen Aspekte von IT-Compliance hat bei den Autoren die Gewissheit verstärkt, dass… …IT-Compliance trotz des Dickichts der regulatorischen Anforderungen effizient zu erreichen ist. Wir haben die Herausforderungen beschrieben, die das Thema… …IT-Compliance in der praktischen Umsetzung für die Unternehmen schwierig machen. Dies sind imWesentlichen die folgenden: – Non-Compliance aufgrund… …wirtschaftlicher Abwägung des Managements bzw. unpräziser relativer Vorgaben durch die Regulatoren und daraus resul- tierende Schäden. – Die Reaktion der Normgeber… …Seiten haben Recht – aber es kommt auf die Abwägung an, wie der Minister treffend sagt. Wir hoffen, mit diesem Buch einen Beitrag für ein vernünftiges und… …kosteneffi- zientes IT-Compliance-Management geleistet zu haben. Als Zusammenfassung könnenwir denWeg dorthin dergestalt beschreiben: – Auf Basis der… …GRC-Wirkungskette können die Arbeiten der IT-Sicherheit, der IT-Revision, der IT-Compliance und des IT-Risikomanagements auf einer ge- meinsamen Basis kosteneffizient… …organisatorisch zusammengefasst werden. – Die Ausgangsbasis sämtlicher Aktivitäten zur Erreichung von IT-Compliance ist die Risikoanalyse, anhand derer der… …Schutzbedarf des Unternehmens und die Auslegung der relativen regulatorischen Vorgaben bestimmt wird. Die Compliance Effectiveness und das Erreichen der… …Dekade GRC-kompatibel gemacht und Software zur Unterstützung der IT-Compliance entwickelt. Diese Softwarefunktionen und -pakete sollten genutzt werden…

  Alle Treffer im Inhalt anzeigen
• eBook-Kapitel aus dem Buch IT-Compliance

  Outsourcing und IT-Compliance

  Dr. Michael Rath, Rainer Sponholz

  …der Bank- und Finanzkonzerne – vor allem in Kombination mit dem anhaltenden Trend zum Outsourcing, der verstärkten Abhängigkeit von oft wenigen… …Reifegrades der IT und die daraus resultierende Auslagerungsfähigkeit diskutiert, Maßnahmen zurMinderung der Abhängigkeit vom Auslagerungsunternehmen sowie der… …Nachweis der IT-Com- pliance beimAuslagerungsunternehmen dargestellt. 12.1 IT-Outsourcing einschließlich Cloud Computing: Chance und Risiko (IT-)Compliance… …Auslagerung wird als Outsourcing bezeichnet. Der Begriff „Outsour- cing“ stellte ein Kunstwort dar, welches aus den Begriffen „Outside“, „Resource“ und „Using“… …Outsourcing (BPO) ganze Geschäftsprozesse ausgelagert. Werden die Standorte der Leis- tungserbringung in Länder mit günstigeren Kostenstrukturen verlegt… …, spricht man vonOffshore-Outsourcing366. Die Wahl der strategischen Option des Outsourcings kann einen wesentlichen Beitrag zum Geschäftserfolg begründen… …https://bankenverband.de/themen/outsourcing-leitlinie-risko-reifegradmodell/. 372 Knolmayer, Gerhard F.: „Compliance-Nachweise bei Outsourcing von IT-Aufgaben“, 2006, Bericht Nr. 190, Institut fürWirtschaftsinformatik der… …Universität Bern, S. 4. rungsvorhaben von Banken zu äußern, da sie aufgrund der Ergebnisse einer EZB-Studie Auswirkungen auf die Stabilität des Finanzsystems… …durch Kontroll- verluste bei Outsourcing erwartete. Von den von der EZB im Rahmen der Studie befragten Banken und Aufsichtsbehörden in Europa befürchteten… …75% der Fi- nanzinstitute eine zu starke Abhängigkeit von externen Dienstleistern. Etwa ein Viertel äußerte zudem Bedenken, die Auslagerung könne zu…

  Alle Treffer im Inhalt anzeigen
• eBook-Kapitel aus dem Buch IT-Compliance

  Management von IT-Compliance

  Dr. Michael Rath, Rainer Sponholz

  …der Unternehmensführung auszubauen. Isolierte Maß- nahmen helfen hier wenig. Governance, Risikomanagement und Compliance müssen als Gesamtlösung… …weiterentwickelt werden.“ MarinaWalser,Novell Central Europe219 In diesem Kapitel werden der Begriff des (IT-)Compliance-Management Sys- tems und die Vorteile des… …IT-Compliance Managements erläutert. Im Anschluss daran werden die Organisation, der Prozess und die Werkzeuge des (IT-)Com- pliance-Managements ausführlich… …bereitzustellen. 8.1 Einleitung zum IT-Compliance Management System Begriff des (IT-)Compliance-Management-Systems Neben der bloßen Einhaltung von Recht und… …Gesetz besteht für das Unterneh- men auch die Verpflichtung, entsprechende Nachweise der Konformität zu er- bringen. Diese Nachweisführung stellt die… …eigentliche Herausforderung beim Management der (IT-)Compliance dar. Der Begriff des Compliance-Managements wurde, wie Geißler220 ausführt, im ökonomischen… …Zusammenhang Ende der 80er-Jahre in der US-amerikanischen Finanzindustrie geprägt. Die Firmen verpflichteten sich, ein System einzurich- ten, welches… …einer starken Regulierung unterliegen. Neben der Einhaltung formalrechtlicher Regelungen entwickelten die Unternehmen zusätzlich Standesregeln und… …unternehmensspezifische Verhaltenskodizes (Codes of Conduct221), deren Befolgung ebenfalls durch das Compliance-Manage- ment nachgewiesenwurde. Der Zweck dieses durch die… …Unternehmen selbst initiierten Compliance-Ma- nagements liegt in der internen Vorbeugung und Aufdeckung von unrechtmä- 134 8 Management von IT-Compliance…

  Alle Treffer im Inhalt anzeigen
• eBook-Kapitel aus dem Buch IT-Compliance

  IT-Compliance unter Einsatz von COBIT

  Dr. Michael Rath, Rainer Sponholz

  …101 156 John Wesley Lainhart, IV (1946–2018) war neben seinen verschiedenen beruflichen Rollen über 40 Jahre in der ISACA engagiert und hat die… …inzwischen eingetrageneWarenzeichen der Information Systems Audit and Control Association –wir schreiben die Begriffe im Folgenden nach dieser Einführung zur… …. php/cobit-verstehen/historie. 160 Vgl. Gaulke, Markus: „COBIT im Überblick“, http://www.markus-gaulke.de/index.php/ cobit-verstehen. 161 Dieses Kapitel basiert auf den von der… …IT-Compliance unter Einsatz von COBIT „COBIT […] beruht auf soliden Prinzipien der IT-Governance für Unternehmen und wird Organisationen dabei helfen, die sich… …behalten.“ John Lainhart156 (†) – ehemaliger Kovorsitzender der COBIT 5 Task Force157 In diesem Kapitel werden der Berufsverband ISACA und dessen Rahmenwerk… …COBIT (Control Objectives for Information and Related Technology)158 beschrieben. COBIT entwickelte sich vom Revisionswerkzeug der 1990er Jahre über einen… …Meta-Standardmit nahezu allen wichtigen regulatorischen Vorgaben verbunden (gemappt) werden und im Bereich der IT-Compliance von großem Nutzen sein161. 6.1 Die… …Nutzung von COBIT als Governance Management- Standard Jeder Standard in der IT bietet für seine Zielrichtung eigene Definitionen, Ver-… …fahrensbeschreibungen und Methoden. Die Anzahl der auf dem Markt für glei- che Themenstellungen verfügbaren und oft parallel eingesetzten Standards zeigt, dass es den… …Weiterentwicklung zum IT-Governance-Modell eignen sich in besonderer Weise, sämtliche Aspekte der IT-Governance einschließlich der IT-Compliance zu beschreiben und…

  Alle Treffer im Inhalt anzeigen