Suchergebnisse

• eBook-Kapitel aus dem Buch IT-Compliance

  Schlussbetrachtung und Ausblick

  Dr. Michael Rath, Rainer Sponholz

  …227 400 Rath, Christian: „Terroristen sind auch klug“, Interview mit Wolfgang Schäuble, in: „die tageszeitung“ (Taz), 8. Februar 2007… …, http://www.taz.de/!318962/. 13 Schlussbetrachtung und Ausblick „Letztlich geht es immer um die Abwägung zwischen Freiheit und Sicherheit.“ Wolfgang Schäuble, Politiker… …, Präsident des Deutschen Bundestages400 Die Aufbereitung der verschiedenen Aspekte von IT-Compliance hat bei den Autoren die Gewissheit verstärkt, dass… …IT-Compliance trotz des Dickichts der regulatorischen Anforderungen effizient zu erreichen ist. Wir haben die Herausforderungen beschrieben, die das Thema… …IT-Compliance in der praktischen Umsetzung für die Unternehmen schwierig machen. Dies sind imWesentlichen die folgenden: – Non-Compliance aufgrund… …wirtschaftlicher Abwägung des Managements bzw. unpräziser relativer Vorgaben durch die Regulatoren und daraus resul- tierende Schäden. – Die Reaktion der Normgeber… …lemma: Die Unternehmen wollen weitestgehend Freiheit von regulatorischen (und bürokratischen) Anforderungen und die Regulatoren wollen Sicherheit. Beide… …Seiten haben Recht – aber es kommt auf die Abwägung an, wie der Minister treffend sagt. Wir hoffen, mit diesem Buch einen Beitrag für ein vernünftiges und… …GRC-Wirkungskette können die Arbeiten der IT-Sicherheit, der IT-Revision, der IT-Compliance und des IT-Risikomanagements auf einer ge- meinsamen Basis kosteneffizient… …organisatorisch zusammengefasst werden. – Die Ausgangsbasis sämtlicher Aktivitäten zur Erreichung von IT-Compliance ist die Risikoanalyse, anhand derer der…

  Alle Treffer im Inhalt anzeigen
• eBook-Kapitel aus dem Buch IT-Compliance

  Outsourcing und IT-Compliance

  Dr. Michael Rath, Rainer Sponholz

  …Cuisine“, Deutsche Bank Research, 6.April 2004, Nr. 43, S. 3. 12 Outsourcing und IT-Compliance „So stellt die hohe und weiter zunehmende IT-Abhängigkeit… …Anbietern und den Schwachstellen bei e-Banking-Anwendungen – ein erhöhtes Risi- kopotenzial dar.“ Deutsche Bundesbank364 In diesemKapitel werden die Risiken… …und die daraus resultierenden besonderen Anforderungen an IT-Compliance im Rahmen des Outsourcings besprochen. Daran anschließend wird die Bedeutung des… …Reifegrades der IT und die daraus resultierende Auslagerungsfähigkeit diskutiert, Maßnahmen zurMinderung der Abhängigkeit vom Auslagerungsunternehmen sowie der… …ist ein vielschichtiges Thema, dessen Komplexität noch gestei- gert werden kann, wenn die Datenverarbeitung des Unternehmens ausgelagert wird. Diese… …gebildet wurde.365 Outsourcing ist die langfristige oder endgültige Vergabe von Leistungen, die bisher selbst erbracht wurden, an externe Anbieter. Beim… …Outsourcing (BPO) ganze Geschäftsprozesse ausgelagert. Werden die Standorte der Leis- tungserbringung in Länder mit günstigeren Kostenstrukturen verlegt… …, spricht man vonOffshore-Outsourcing366. Die Wahl der strategischen Option des Outsourcings kann einen wesentlichen Beitrag zum Geschäftserfolg begründen… …. Die Erwartung derartiger Verbesserun- gen lässt den (IT-)Outsourcing-Markt seit Jahrenwachsen. Doch das Outsourcing birgt auch Risiken, die… …beispielsweise die Europäische Zentralbank (EZB) bereits 2004 dazu veranlasst haben, sich kritisch zu Auslage- 216 12 Outsourcing und IT-Compliance 367 „EZB…

  Alle Treffer im Inhalt anzeigen
• eBook-Kapitel aus dem Buch IT-Compliance

  Management von IT-Compliance

  Dr. Michael Rath, Rainer Sponholz

  …imWertpapierdienstleistungskonzern“, S. 13 f. 8 Management von IT-Compliance „Für die Zukunft ist es unerlässlich, den aktuellen Compliance-Ansatz zu einem strategischen Instrument… …weiterentwickelt werden.“ MarinaWalser,Novell Central Europe219 In diesem Kapitel werden der Begriff des (IT-)Compliance-Management Sys- tems und die Vorteile des… …IT-Compliance Managements erläutert. Im Anschluss daran werden die Organisation, der Prozess und die Werkzeuge des (IT-)Com- pliance-Managements ausführlich… …dargestellt. Ziel dieses Kapitels ist es, ein sys- tematisches Modell für die Planung, Gestaltung, Umsetzung und Verbesserung eines IT-Compliance-Managements… …Gesetz besteht für das Unterneh- men auch die Verpflichtung, entsprechende Nachweise der Konformität zu er- bringen. Diese Nachweisführung stellt die… …Zusammenhang Ende der 80er-Jahre in der US-amerikanischen Finanzindustrie geprägt. Die Firmen verpflichteten sich, ein System einzurich- ten, welches… …gewährleistete, dass sich alle Mitarbeiter an die rechtlichen Rah- menbedingungen (insbesondere in den Regelungsbereichen Geldwäsche, Kor- ruption und… …Insiderhandel) hielten. Das Compliance-Management etablierte sich auch in Energie-, Pharma- oder Chemieunternehmen, deren Branchen (ähnlich wie die Finanzbranche)… …einer starken Regulierung unterliegen. Neben der Einhaltung formalrechtlicher Regelungen entwickelten die Unternehmen zusätzlich Standesregeln und… …unternehmensspezifische Verhaltenskodizes (Codes of Conduct221), deren Befolgung ebenfalls durch das Compliance-Manage- ment nachgewiesenwurde. Der Zweck dieses durch die…

  Alle Treffer im Inhalt anzeigen
• eBook-Kapitel aus dem Buch IT-Compliance

  Treiber von IT-Compliance

  Dr. Michael Rath, Rainer Sponholz

  …IT-Compliance „Wenig ist bekannt, wie die Bürde der Compliance über die die Finanzindustrie verteilt ist. Das ist ein boshaft schwieriges Untersuchungsgebiet… …, aber kritisch für das Verständnis der Auswirkungen, welche die Regulierungslawine auf den Ge- schäftserfolg hat.“ Deloitte, „In control?“47 In diesem… …Kapitel werden die Entwicklung der Anforderungen an IT-Compli- ance sowie deren Treiber dargestellt. Hieraus ergeben sich Erklärungsansätze, welche Risiken… …und Umstände dazu führen können, dass regulatorische Anfor- derungen an die IT gestellt werden. 3.1 Überblick Wie in den vorangegangenen Kapiteln… …dargestellt, können regulatorische An- forderungen der IT-Compliance als Pflichtschutzmaßnahmen angesehen wer- den. Doch warum wächst die Zahl der Anforderungen… …lawinenartig, wie das Eingangszitat nahelegt? Wir stellen in diesem Kapitel die Treiber dieser Entwicklung vor, mit dem Ziel, ein besseres Verständnis für die… …Quellen und Motive der IT-Compliance-Anfor- derungen zu erreichen. Abbildung 6 zeigt die von uns identifizierten Treiber der IT-Compliance. Diese lassen… …Wiege der IT-Compliance (ab circa 1970) Die ersten Regelungsbereiche, die zu IT-Compliance-Anforderungen führten, bezogen sich im Wesentlichen auf die… …Wahrung der Vertraulichkeit. Dies betraf zum einen dieWahrung vonmilitärischen Geheimnissen, zum anderen in jüng- ster Vergangenheit überwiegend die… …. Schon damals lagen die Schwerpunkte und Ziele des BDSG im Schutz personenbezogener Daten. Im Zusammenhang mit dem Volkszählungsurteil von 1983 wurde…

  Alle Treffer im Inhalt anzeigen
• eBook-Kapitel aus dem Buch IT-Compliance

  Rechtlicher Rahmen der IT-Compliance

  Dr. Michael Rath, Rainer Sponholz

  …Abteilungen, die vor lauter Compliance den Überblick verlieren, und auch Fälle, in denen die gesetzlichen Auflagen die allgemeine Sicherheit verringerten.“ John… …Pescatore, Sicherheitsanalyst beiGartner76 In diesem Kapitel werden die unterschiedlichen regulatorischen Anforderun- gen an IT-Compliance (gesetzliche… …Regelungen bis Best Practice) und deren Normenhierarchie beschrieben. Zudem werden die verschiedenen regulatori- schen Institutionen und deren Zielsetzungen… …beleuchtet. Im Anschluss daran besprechen wir die absoluten und relativen Zielvorgaben dieser „Regulatoren“ in den entsprechenden Pflichtschutzanforderungen… …Regularien, die von diversen „Normgebern“ mit ganz unterschiedlichen Zielset- zungen aufgestellt werden. Diese Herausgeber von „IT-spezifischen Regelungen“… …Blick auf deren Ziele regulatorischen Handelns sowie auf die Konsequenzen einer etwaigen Nichteinhaltung dargestellt. Eine Darstellung aller anwendbaren… …Gesetze und Richtlinien, die im Rahmen von IT-Compliance beachtet werden müssen, soll dabei nicht erfolgen77. Die schon eingangs angesprochene… …Schwierigkeit, die große Bandbreite von IT- Compliance-spezifischen Regelungen und deren Geltungsanspruch überschau- bar darzustellen, liegt vor allem darin, dass… …die einschlägigen Vorgaben in einer Vielzahl von Gesetzen, Richtlinien und gegebenenfalls sektorspezifischen An- forderungen enthalten sind; weltweit… …einer GmbH oder die Geschäftsleitung vonOHGs und KGs. 81 Siehe zu den rechtlichen Verpflichtungen zur Gewährleistung von IT-Security und zur Einführung…

  Alle Treffer im Inhalt anzeigen
• eBook-Kapitel aus dem Buch IT-Compliance

  Einführung

  Dr. Michael Rath, Rainer Sponholz

  …21 1 Buwei, Lü: „Frühling und Herbst des Lü Buwei“, Buch XV, Kap. 8. 2 In vielen Fällen gelten die Aussagen sowohl für die „allgemeine“ Compliance… …wie auch für IT-Compliance. 1 Einführung „Die Welt ändert sich, die Zeit wechselt, darum ist es gehörig, dass auch die gesetzlichen Ordnungen… …verändert werden.“ Lü Buwei, Kaufmann, Politiker und Philosoph1 Im ersten Kapitel wird das theoretische Grundgerüst für die Definition von Compliance und… …Governance und die hieraus abgeleiteten Begriffe IT-Compli- ance, Data- und IT-Governance sowie GRC geschaffen. Für den Oberbegriff (IT-) Compliance2wird dabei… …eine interdisziplinäre Definition entwickelt, welche die normativen, handlungs- und nachweisorientierten Dimensionen dieses schil- lernden Begriffes… …zusammenführt. Die Multidisziplinarität von IT-Compliance wird anhand verschiedener Rollen vom Juristen bis zum IT-Sicherheitsexperten verdeutlicht. Eine… …2300 Jahren formulierte der chinesische Kaufmann, Politiker und Philosoph Lü Buwei (ca. 300–235 v.Chr.) die allgemeingültige Erfahrung der Wandlung von… …regulatorischen Anforderungen im Zeitablauf, verursacht durch die Änderungen der Umwelt. Die Tatsache, dass sich unsere ökonomische und politische Umwelt sehr… …dyna- misch durch Globalisierung, Technikfortschritt, die industrielle Entwicklung von Ländern wie China und Indien, Konflikte um Ressourcen etc. ändert… …, wird uns jeden Tag eindrucksvoll in den Medien präsentiert. Auch die Welt der Informationstechnologie ändert sich, für jedermann erfahrbar und mit zuneh-…

  Alle Treffer im Inhalt anzeigen
• eBook-Kapitel aus dem Buch IT-Compliance

  Wirkungsmodell der IT-Sicherheit

  Dr. Michael Rath, Rainer Sponholz

  …Hoheiser-Pförtner,Chief Information Security Officer, Wien40 In diesem Kapitel werden die Entwicklung und Wirkungsweise der IT-Sicher- heit dargestellt. Es wird ein… …werden die regulatorischen Anfor- derungen der IT-Compliance als Pflichtschutzmaßnahmen angesehen. Diese Sichtweise auf die regulatorisch geforderten… …Maßnahmen hat große praktische Vorteile. Die Verbindung der Sichtweise des Sicherheitsmanagements mit der IT-Compliance ist ein Alleinstellungsmerkmal des… …vorliegenden Buches. Das von uns eingeführte GRC-Wirkungsmodell – eine Anwendung des Sicherheits- modell auf alle GRC-Abteilungen – ist die Basis für ein… …, trifft auch oder vielleicht gerade auf die komplexen IT-Sys- teme und verbundene Prozesse zu. Nach Aussage der Witwe von Herrn Murphy soll er aber diesen… …Luftfahrtindustrie in den allgemeinen Sprachgebrauch über.41 In der Zeit, alsMurphy seinen Satz prägte, begann in den USA und Deutschland die Entwicklung der modernen… …Anfängen von IT- Compliance. Wie für die Luftfahrtindustrie war die Rüstung für die IT ein wesentlicher Trei- ber der Entwicklung. ENIACwar eine… …militärische Entwicklung zur Berechnung von Geschossflugbahnen. Die militärische Sicherheit in der IT entwickelte sich in mehreren Phasen zu einer eigenständigen… …Disziplin der „IT-Sicherheit“ (IT Security). Ziel war es, die Verfügbarkeit (Availability) der IT, deren Vertraulich- keit (Confidentiality) und Integrität… …(Integrity) zu gewährleisten. Die Entwick- lung dieses neuenWissenschaftszweiges entwickelte sich inmehreren Phasen: – In den 1940er- und 1950er Jahren wurden…

  Alle Treffer im Inhalt anzeigen
• eBook-Kapitel aus dem Buch IT-Compliance

  Werkzeuge des (IT-) Compliance-Managements

  Dr. Michael Rath, Rainer Sponholz

  …Werkzeuge des (IT-)Compliance-Managements „Compliance ist ein kritischer Bereich der Besorgnis für die meisten unserer Kunden – und daher die allerwichtigste… …Produkteigenschaft. Tatsache ist, wenn die Software diesen Firmen nicht hilft, dass sie die Gesetze weiterhin einhalten, dann könnten einige ihrer Geschäftsführer im… …Gefängnis landen.“ Shai Agassi, in 2006 als damaliger Chief Technology Officer SAP292 In diesem Kapitel werden die folgenden Werkzeuge des… …weitreichende Ressourcen investiert und eine Standardisierung er- reicht, die es ermöglicht, mit ein- und derselben Terminologie zwischen Markt- partnern… …, Mitarbeitern und Regulatoren zu kommunizieren. Da kein Rahmenwerk in der Lage ist, die volle Bandbreite des Managementfel- des abzudecken, müssen verschiedene… …es sogenannte „Mapping-Doku- mente“ gibt, die die Inhalte der einzelnen Standards miteinander in Beziehung setzen. Über das Mapping können verschiedene… …und 27002 Ähnlich lautende Empfehlungen geben die Research-Unternehmen Gartner293 und Forrester294 sowie eine Studie des BSI, welche von der… …HiSolutions AG erstellt wurde295. In Deutschland wurden weitere Studien im öffentlichen Be- reich erstellt, die die Integrationsmöglichkeiten von Standards… …untersucht haben296. Im Kapitel 5 sind wir bereits auf die Vorteile des Mappings und entsprechende aktuelle Empfehlungen eingegangen. Abbildung 17 zeigt den… …Aufbau eines IT-Compliance-Management-Systems mit dem Einsatz der verbundenen Standards. Die regulatorische Datenbank ist über COBIT mit den Rahmenwerken…

  Alle Treffer im Inhalt anzeigen
• eBook-Kapitel aus dem Buch IT-Compliance

  IT-Compliance unter Einsatz der ISO 27000- Normenfamilie

  Dr. Michael Rath, Rainer Sponholz

  …Informationssicherheit.“ PWC, Information Security Breaches Survey 2010112 In diesem Kapitel werden die Sicherheitsstandards der internationalen Nor- menfamilie 27000 und… …ihre Verwendung sowie Nützlichkeit im Umfeld der IT- Compliance beschrieben. Die neusten Versionen der Standards ISO/IEC 27001 und 27002 stellen ein… …nahezu allen anderen wichtigen IT-Standards bzw. regulatorischen Anforderungen verbunden (gemappt) werden kann ist er für die praktische IT-Compliance von… …sehr großem Nutzen. Wir werden in die- semKapitel die Details der Anwendung beschreiben. 5.1 Entwicklung der Normenfamilie und Verbreitung Bei der ISO… …Art und Größe klare Leitlinien für die Planung, Umsetzung, Überwa- chung und Verbesserung ihrer Informationssicherheit. Im Jahre 2018 gab es weltweit… …rund 32.000113 zertifizierte ISMS in rund 60.000 Standorten114 In den folgenden Abschnitten erläuternwir, wie sich dieser Standard entwickelt hat. Die… …eingerichtet. Die verschiedenen Regierungen in dieser Zeitspanne strukturier- ten die Behörde mehrfach um, änderten die Aufgabenzuweisungen und lösten sie… …schließlich 2007 auf115. Für die Entwicklung der Informationssicherheit und IT-Compliance war diese Behörde sehr wichtig, denn 1987 wurde das Commer- cial… …die Sicherheitsprodukte von Herstellern zu entwickeln116. Das CCSC erledigte seine Aufgaben und über verschiedene Zwischenschritte wurde durch die… …als internationaler Standard ISO 17799 veröffentlicht118. Die Grundlagen für die erfolgreiche ISO-Familie 27000 sowohl für den Standard, die…

  Alle Treffer im Inhalt anzeigen
• eBook-Kapitel aus dem Buch IT-Compliance

  Der IT-Compliance-Prozess

  Dr. Michael Rath, Rainer Sponholz

  …. 9 Der IT-Compliance-Prozess „Es ist wesentlich, die Umsetzung der Anforderungen aus Governance, Risk und Compliance als einen langfristigen Prozess… …zu verstehen und den Reifegrad nach und nach zu erhöhen. Daher sollten zuerst die wichtigsten Hundert Probleme gelöst werden, bevor man sich von… …Implementierung von IT-Compliance dargestellt, die zu den Elementen des IT-Compliance-Manage- ments gehört, die wir im Kapitel 8 definiert haben. Darauf aufbauend… …, die dem Zweck des Nachweises an die verschiedenen Adressaten dient. Abbildung 15 zeigt den beschriebenen Gesamtprozess der IT-Compliance… …. In diesem Kapitel erläutern wir zudem die Bestandteile und Spezifika dieses grundlegenden Prozesses in den Unterkapiteln 8.2 bis 8.4. Im Anschluss… …– Nutzung einer Regeldatenbank (Regulatory Database), etwa des Unified Com- pliance Framework (UCF)269 Priorität verdient auch die Änderungen der… …spezifisch anwendbaren Compli- ance-Anforderungen sowie die Auswirkungen dieser Änderungen auf die Orga- nisation laufend zu überwachen und zu aktualisieren… …. Die DIN ISO 19600:2016- 12264 adressiert diese Aufgabe im Kapitel 4.5.2 Aufrechterhalten der Dokumenta- tion bindender Verpflichtungen270. In der Praxis… …zeigt sich an dieser Stelle häufig, dass die Implementierung von Anforderungen mit hohem Projektaufwand ver- bunden ist. Folgt nach einem oftmals kurzen… …Zeitraum vonwenigen Jahren eine erneute Änderung (Beispiel COBIT, ISO 27001, Datenschutz, Bankaufsicht usw.), so werden in solchen Fällen die Änderungen…

  Alle Treffer im Inhalt anzeigen