Suchergebnisse

• eBook-Kapitel aus dem Buch IT-Compliance

  Werkzeuge des (IT-) Compliance-Managements

  Dr. Michael Rath, Rainer Sponholz

  …, Forrester Research, Inc. Am Beispiel der Basel II-Projekte in Großbanken konnte man sehen, welche immensen Projetaufwände entstehen, wenn die… …liefern können303. Man kann die These aufstellen, dass die vielfältigen Compliance-Anforderungen die Unternehmen zu einem effizienteren Datenmanagement und… …zur Integra- tion von Anwendungen nötigen könnten. In der Praxis beobachtet man häufig, dass die z.B. von der Software ohne weitere Kostenmitgelieferten… …Hersteller zum Verschlüsseln datenschutzrelevanter Informationen. Jetzt müsste man diese, und eine Vielzahl weiterer mitgelieferter Funktionalitä- ten nur noch… …. einen Hinweis geben, ob man sich bereits in der angestrebten Risk Adjusted Comfort Zone oder im ineffizienten Bereich des Unter- oder Überschutzes befin-…

  Alle Treffer im Inhalt anzeigen
• eBook-Kapitel aus dem Buch IT-Compliance

  Management von IT-Compliance

  Dr. Michael Rath, Rainer Sponholz

  …Führungs- kraft bewältigt werden kann, wählt man die organisatorische Form der Stab- stelle oder des Beauftragten oder lagert die Funktion an einen externen… …IT-Compliance sollte man jedoch beachten, dass es bereits für kleinere und mittlere Unternehmens- größenwirtschaftlicher sein kann, Funktionen sinnvoll…
• eBook-Kapitel aus dem Buch IT-Compliance

  Wesentliche Maßnahmen der IT-Compliance

  Dr. Michael Rath, Rainer Sponholz

  …große Anzahl von regulatorischen Anforderungen gibt, man diese jedoch auf einige wesentliche Maßnahmen der IT-Sicherheit be- schränken und dadurch bei… …. commoncontrolshub.com/hc/en-us/articles/115002302346-UCF-Impact-Zones. nutzbare Form zu bringen. Man könnte sagen, CobiT bietet den theoretischen Überbau durch eine allgemeine Beschreibung der Managementziele und UCF… …. regulatorische Anforderungen identifiziert worden. 2014 zählte man schon 7.694 Controls und 2020 sind es schon über 9.300 sog. IT-Control Statements355. Abbildung… …29: Anzahl Kontrollen per UCF Impact Zone Quelle: Craig Isaacs von UCF. Sortiert man nach der Anzahl der Kontrollen pro Auswirkungsbereiche (Impact… …Zones), stellt man fest, dass das Konfigurationsmanagement (801 Kontrollen) und der Daten- und Informationsschutz (490 Kontrollen) vor allen anderen… …der Anzahl niedriger, da sie u.E. mit weniger Schutzmaßnahmen abschließend definierbar sind. Zusammenfassend kann man deshalb sagen, dass aus… …Standardorganisationen, Regierungen und Sicherheitsfirmen, die Sicherheits- mappings erstellen und verteilen, war unerwartet, ebenso wie der relative Man- gel an… …dann die Gesetzgeber und Herausgeber von regulatorischen Pflichtanforderungen überschneidungsfreie effiziente Regelwerke erstellen. Man würde hier u.U… …zum Einsatz. In der Regel spielen diese Managementfelder in den Anforderungen zur IT-Com- pliance keine besondere Rolle, da man diesen Bereich schwer… …Systeme und Netzwerke mitigieren. Man gibt an, dass man über 80 Prozent aller Angriffstechniken des MITRE ATT&CK- Rahmens entgegentreten kann. Das Modell…

  Alle Treffer im Inhalt anzeigen
• eBook-Kapitel aus dem Buch IT-Compliance

  Treiber von IT-Compliance

  Dr. Michael Rath, Rainer Sponholz

  …Ansatz eine Verbesserung der Prüftechnik, aber die grundsätzliche Schwäche blieb bestehen, dass man bei großen Mengen an Transaktionen nicht alle… …Geschäfts- vorfälle ausreichend prüfen konnte. In den 1980er Jahren erfand man eine Prüfungsmethode, die eine bessere Aus- sagemöglichkeit über etwaige Fehler… …bei der Verbuchung von Geschäftsvorfäl- len versprach51. Im Ergebnis prüfte man nur noch den Prozess der Buchführung und seine Kontrollen. Wenn also… …Kontrollen gestaltete. Das Ganze nannte man dann das „Interne Kontrollsystem (IKS)“. Je besser es funktioniert, desto geringer ist die Fehlerwahrscheinlichkeit… …Zugriffsschutz sein. Das IKS-Konzept hat allerdings auch Schwächen: Man kann sich nur darauf verlassen, wenn die Kontrollen auch tatsächlich durchgeführt werden… …umfang- reichen Prozessen können zudemnicht alle Kontrollen untersucht werden. Man muss wieder eine Auswahl treffen und hat ein ähnliches Problem wie bei… …den statistischen Verfahren der Belegprüfung: Diejenige Kontrolle, die man nicht prüft, könnte gerade die entscheidende Kontrolle für das Versagen des… …. (Sicherheitsziel Verfügbar- keit) Finanzmarkt und Rechnungslegung Für die gestiegene Frequenz und Schadensauswirkung wird man sicherlich auch der… …Anforderungen hinsichtlich der Buchführungstechnik. Mit In- krafttreten des Handelsgesetzbuches (HGB) im Jahr 1895 führte man die Grund- sätze ordnungsmäßiger… …nicht buchhalterisch herunter rechnen oder zeitlich strecken. Die GoB wurden zunächst nicht für die Buchführungstechnik geschaffen, aber man konnte sie…

  Alle Treffer im Inhalt anzeigen
• eBook-Kapitel aus dem Buch IT-Compliance

  Outsourcing und IT-Compliance

  Dr. Michael Rath, Rainer Sponholz

  …, spricht man vonOffshore-Outsourcing366. Die Wahl der strategischen Option des Outsourcings kann einen wesentlichen Beitrag zum Geschäftserfolg begründen… …Deals auszeichnen389. Anhand der dargelegten Beispiele kann man überschlagsweise berechnen, dass die in der sogenannten Lünendonk-Liste Führende… …Kurzstudie-07-Sicherheitsanforderungen-und-nachweise-bei-Cloud-Diensten-2019.pdf. 397 Man könnte noch die ISO 27017 – Informationstechnik – Sicherheitsverfahren – Anwendungsleitfaden für Informationssicherheitsmaßnahmen… …, die von der IAASB auf die Prüfung der Kon- trollen beim Auslagerungsunternehmen übertragen wurde. Wenn man die we- sentlichen Kontrollen im… …laufenden Betrieb für einen 224 12 Outsourcing und IT-Compliance Zeitraum nachweisen kann, kann man eine Aussage über die ordnungs- und… …Wirksamkeit einzelner Maßnahmen des Zugriffsschutzes – kann man die IT-Compliance für die definierten Kontrollen des DIKS feststellen. Beim IKS/DIKS-bezogenen… …Tests durch einen unab- hängigen Prüfer. Bei der Aufgabe des ersten Schrittes, der Definition der wesentlichen Kontrol- len, benutzt man i. d.R. die… …den definierten Unternehmensausschnitt des IKS/DIKS bezogen sind (man kann nur eine Auswahl der wesentlichen Kontrollen prüfen). Non-Compliance-Situa-… …Unternehmen tendieren aus unserer Erfahrung eher zur nachgelagerten als zur zeitnahen Kontrolle des ausgelagerten Bereiches. Man kann das… …Einrichtung entsprechender Prozesse und den Nach- weis der Regelkonformität. Möchte man all drei Aspekte berücksichtigen, sollte im Falle der Auslagerung neben…

  Alle Treffer im Inhalt anzeigen
• eBook-Kapitel aus dem Buch IT-Compliance

  IT-Compliance unter Einsatz der ISO 27000- Normenfamilie

  Dr. Michael Rath, Rainer Sponholz

  …DIN wird zu rund 75 Pro- zent durch den Verkauf von Normen und Mitgliedsbeiträge finanziert. Es wer- den auch Hinweise gegeben, wie man Normen z.B… …; betreibt man beispiels- weise ein Qualitätsmanagementsystem nach ISO ist dieses in gleicher Weise aufgebaut – dies erleichtert die Anwendung der… …Verständnis muss man sich Hintergrundwissen aneignen. Mit der verkürzten Darstellung zählt jedesWort. Der ISO 27001-Experte Dejan Kosutic beschreibt Struktur… …verlangen. Für das betriebliches Kontinuitätsmanagement (BCM) gibt es eine eigene Norm, die ISO 22301.130 Man kann selbst wählen, welche Kontrollen man für… …anwendbar hält und muss diese dann implementieren, wenn man sein ISMS nach der ISO 27001 aufbaut und betreibt. 5.3 Nutzen des ISO-Standards 27001 für das… …klassifiziert werden. Die Klassifizierungsstufe dürfte „Streng vertraulich“ sein. Bei der Schutzmaßnah- menauswahl kommt man dann bei den hohen Risiken und… …immensen ange- drohten Datenschutzstrafenmindestens auf dieMaßnahme „Verschlüsselung“. Schaut man jetzt in die Tabelle der „Cloud Security Alliance (CSA)133… …man heraus, dass A.8.2.1 z.B. auf den DSI-01 der CASmappt, welcher „Data Security & Information Lifecycle Management Classification“ heißt. Dieser Punkt… …Gefährdungspotenzial der Daten bestimmt werden kann.“ Ohne Datenklassifikation besteht man also keinen Datenschutzaudit, wenn man besonders schützenswerte personenbezo-… …gene Daten verarbeitet, noch einen Kreditkartenaudit, wenn die Organisation Kreditkartendaten verarbeitet. Zieht man jetzt noch ausführliche Standards…

  Alle Treffer im Inhalt anzeigen
• eBook-Kapitel aus dem Buch IT-Compliance

  Kosten der IT-Compliance

  Dr. Michael Rath, Rainer Sponholz

  …geschäftlichen Strategien verzahnt. Operationen im IT-Segment würden mit anderen Business-Feldern koordiniert. Zuletzt vertraue man dort stärker auf analytische… …man die folgenden Begriffe und Verfahren zur wirtschaftlichen Beurteilung von IT-Sicherheitsmaßnah- men, welche imKern die geforderten Pflichtmaßnahmen… …von Schutzmaßnahmen in Bezug auf den mittelbaren Geschäfts- verlust (siehe hierzu auch das zuvor entwickelte Wirkungsmodell). So kann man beispielsweise… …eineMaschine etwa 500 Tsd. Euro investiert und hierdurch werden in drei Jahren zwei Millionen Euro Erträge generiert, kann man abzüglich der Inves- titionskosten… …Erträge eingestuft. Eine einfache Version der Formel zur Be- rechnung des ROSI stellt sich folgendermaßen dar: Man kann nun mit der GRC-Wirkungskette den… …wir eine 100%ige Risikominderung. Die USV-Anlage kostet 25 Tsd. Euro und hat keine Betriebskosten. Setzt man dieWerte in die Formel, kommtman zu… …Es wird angezweifelt, ob die notwendigen Daten für eine quantitative Berech- nung überhaupt ermittelbar seien. Man könne zwar mehr oder minder gut… …entstehen würden, wenn man eine bestimmte Sicherheits- 122 7 Kosten der IT-Compliance 198 Ghezzo, Michael: „Interviewmit Dr. Christian Reiser… …man in Art. 83 der DS-GVO einen Sanktionsmechanismus eingeführt, der u. a. Prozentwerte des weltweiten Jahresum- satzes als Sanktion vorschreibt… …Betriebseinstellungen. Ebenso mag man hierzu den Ausschluss von öffentlichen Aufträgen, Auswir- kungen auf den Aktienkurs börsennotierter Gesellschaften und die Folgen…

  Alle Treffer im Inhalt anzeigen
• eBook-Kapitel aus dem Buch IT-Compliance

  Rechtlicher Rahmen der IT-Compliance

  Dr. Michael Rath, Rainer Sponholz

  …weis auf bestimmte Anforderungen an die IT. Vielmehr leitet man allein aus der Bedeutung der Informationstechnologie für das Funktionieren und den… …IT-Sicherheit bzw. Informa- tionssicherheit sucht man zumindest in diesem Gesetz vergebens. Und den- noch: Wer kein oder kein ausreichendes Risikomanagement… …an welchen Vorgaben sich diese zu orientieren hat. Suchtman eine Legaldefinition im Umfeld von IT-Sicherheit oder Informations- sicherheit, wird man… …identifiziert werden, und wel- che Ziele verfolgen deren Normen, welche ratio legis gilt es zu beachten? Die vorliegend einschlägigen Normgeber kann man grob in… …eine Empfehlung der OECD für das digitale Sicherheits- und Risikomanagement100. Die OECD unterhält eine Web- seite auf der man Informationen zu den… …können also, wie man an den vorstehenden Beispielen sieht, sehr unterschiedlich sein. Während die Regelungen der BIS/BIZ ihren Weg in die Gesetze der… …Hoheitsakt legitimierten Normbildung kann man bei der Selbstregulierung beobachten, dass Richtlinien, Empfehlungen, Vorgehens- 79 4.3 Regulatorische… …der IT-Compliance ist die Zielsetzung der unterschiedlichen Regulatoren. Hier gibt es einen Unschärfebereich. Man möchte zudem meinen, nach den vielen… …Dauer von vier Wochen verstanden werden. Es macht natürlich in technischer Hinsicht einen wesentlichen Unterschied, ob man manuell in einem PC-System, in… …verschiedener Verhaltenswei- sen zu Auslegungsschwierigkeiten führen können. Würde man – soweit das möglich ist – absolute Regeln verwenden, könnte in bestimmten…

  Alle Treffer im Inhalt anzeigen
• eBook-Kapitel aus dem Buch IT-Compliance

  IT-Compliance unter Einsatz von COBIT

  Dr. Michael Rath, Rainer Sponholz

  …allumfassenden Standard für ein Themenfeld nicht geben kann. Man kann aber versuchen, einen integrierenden Standard zu schaffen, um einen größeren Nutzen zu… …nebeneinander eingesetzt werden. COBIT ist also eine Basis-Methode, wie man ein unternehmensweites IT-Gover- nance/Management-System aufbauen und mit welchen… …Prozessen man es be- treiben kann. Es liefert Begriffe und Definitionen und setzt in einzelnen Teilbe- reichen weitere Methoden und Tools ein (zum Beispiel… …schung von COBIT muss man dessen Inhalte lernen. Hierdurch bekommt man die gängigen Methoden und Standards in einem betriebsfähigen Modell beige- bracht… …und muss die Integration verschiedener Ansätze nicht mühsam selbst bewerkstelligen (hierzu hätte man i. d.R. im Tagesgeschäft auch keine Zeit). COBIT… …Sicherheitsinvestition immer auch nach ihrem Nutzen und Wertbei- trag/Verlustvermeidungsbetrag zu betrachten. Diese Zielstellung vergisst man nur allzu leicht, wenn man in…

  Alle Treffer im Inhalt anzeigen
• eBook-Kapitel aus dem Buch IT-Compliance

  Wirkungsmodell der IT-Sicherheit

  Dr. Michael Rath, Rainer Sponholz

  …sich aus. Wo man zu Anfang noch stolz die Rechenzentren in der Wirtschaft zeigte, merkte man mit steigender Abhängigkeit von der Datenverarbeitung, vor… …dem Hinter- grund des Kalten Krieges und der damit einhergehenden gesellschaftlichen Umwälzungen, dass man die Großrechner sichern musste. Diese wurden… …. Wendet man nun diese gesetzliche Anforderung auf die GRC-Wirkungskette an, stellt sich dies folgendermaßen dar: das Schutzobjekt (Asset) sind personenbezo-…

  Alle Treffer im Inhalt anzeigen