Suchergebnisse

• eBook-Kapitel aus dem Buch Prüfungsleitfaden BAIT

  Operative Informationssicherheit

  Axel Becker

  …Anforderungen des Informationssicherheitsmanage- ments flächendeckend im Institut – und vor allem in der First-Line-of-Defen- se – umgesetzt werden… …entsprechender Maß- nahmen zur Risikobehandlung und -minderung umfassen (vgl. AT 7.2 Tz. 4 MaRisk). 5.2 Das Institut hat auf Basis der… …Institut auf Basis der Informationssicherheits- leitlinie und Informationssicherheitsrichtlinien ange- messene, dem Stand der Technik entsprechende, opera-… …bei Transport und Speiche- rung geschützt und für eine angemessene Zeit zur späte- ren Auswertung zur Verfügung gestellt? 9 Verfügt das Institut über… …12 Ist der Zeitraum entsprechend der Bedrohungslage be- messen? 13 Verfügt das Institut über ein angemessenes Portfolio an Regeln zur Identifizierung… …Wirksamkeit geprüft und weiterentwi- ckelt werden? 16 Stellt das Institut in Form von Routinen (Regeln) fest, ob vermehrt nicht autorisierte Zugriffsversuche… …Stellt das Institut sicher, dass Ergebnisse hinsichtlich notwendiger Verbesserungen analysiert und Risiken an- gemessen gesteuert werden? 22 Richten sich…

  Alle Treffer im Inhalt anzeigen
• eBook-Kapitel aus dem Buch Prüfungsleitfaden BAIT

  Informationsrisikomanagement

  Axel Becker

  …41 3. Informationsrisikomanagement Schutzbedarfsermittlung Das Institut hat im Rahmen des Managements der Informationsrisiken den jeweiligen… …Geschäftsleitung ist die zentrale Anforderung zur Schärfung des IT-Risikobewusstseins im Institut und gegenüber IT-Dienst- leistern.33) Zusammengefasst benötigen… …Verfügbarkeit, die Authentizität so- wie die Vertraulichkeit der Daten sicherstellen (vgl. AT 7.2 Tz. 2 MaRisk). Das Institut hat die mit dem Management der… …4.3.1 Tz. 2 MaRisk). Hierfür hat das Institut angemessene Überwa- chungs- und Steuerungsprozesse einzurichten (vgl. AT 7.2 Tz. 4 MaRisk) und… …werden müssen. Auch hierbei ist auf eine saubere und vollständige Aufnahme zu achten. 3.3 Das Institut hat über einen aktuellen Überblick über die… …Bestandteile des festgelegten Informationsverbunds sowie deren Abhängigkeiten und Schnittstellen zu verfügen. Das Institut sollte sich hierbei insbesondere an… …3.4 Das Institut hat regelmäßig und anlassbezogen den Schutzbedarf für die Bestandteile seines definierten Informationsverbundes, insbesondere im… …Informationsrisikomanagement zu überprüfen. 3.6 Das Institut hat Anforderungen zu definieren, die zur Erreichung des je- weiligen Schutzbedarfs angemessen sind, und diese in… …externen Prüfungen hinterfragt. 37) Vgl. Erläuterungen zu 3.6 BAIT. 3.7 Das Institut hat auf Basis der festgelegten Risikokriterien einen Vergleich der… …Tabelle 11 gibt einen Überblick über die Fragen zum Be- reich des Informationsrisikomanagements. 3.10 Das Institut informiert sich laufend über…

  Alle Treffer im Inhalt anzeigen
• eBook-Kapitel aus dem Buch Prüfungsleitfaden BAIT

  MaRisk AT 7.3: Notfallkonzept

  Axel Becker

  …und Prozesse, bei deren Beeinträchtigung für definierte Zeiträume ein nicht mehr akzeptabler Schaden für das Institut zu erwarten ist. Zur… …notwendigen Ressourcen sowie der potenziellen Gefährdungen führt das Institut Auswirkungsanalysen und Ri- sikoanalysen durch. Als Basis hierfür dient eine… …. Die Auswirkungs- MaRisk AT 7.3, Tz. 1 Das Institut hat Ziele zum Notfallmanagement zu definieren und hieraus abgeleitet einen Notfallmanagementprozess… …Institut und das Auslagerungsunternehmen über aufeinander abgestimmte Notfallkonzepte zu verfügen. 126) Vgl. MaRisk Kommentierung zu AT 7.3 Tz. 1. 127) Vgl… …Fragestellungen Erfüllt 1 Hat das Institut für Notfälle bei zeitkritischen Aktivitä- ten und Prozessen eine angemessene Vorsorge getroffen (Notfallkonzept)? 2… …Teilt das Institut die Ergebnisse der Notfalltests den je- weiligen Verantwortlichen mit (interner Informationska- nal)? 5 Verfügen das Institut und das…

  Alle Treffer im Inhalt anzeigen
• eBook-Kapitel aus dem Buch Tax Compliance

  Tax Compliance-Management-System

  Jürgen R. Müller, Christian Fischer

  …sammenarbeit und Entwicklung (OECD), die Internationale Handelskammer (ICC), die International Organization for Standardization (ISO) und das Institut… …Prozessverbes- serung. Neu ist dieMöglichkeit der Zertifizierbarkeit. IV. IDW Neben den oben angeführten Rahmenkonzepten wurde im Jahr 2011 durch das Institut der… …: „Ausgestaltung und Prüfung eines Tax Com- pliance-Management-Systems gem. IDW PS 980“ verabschiedet. Das Institut der Wirtschaftsprüfer Deutschland e. v. (IDW) hat…

  Alle Treffer im Inhalt anzeigen
• eBook-Kapitel aus dem Buch Prüfungsleitfaden BAIT

  Management der Beziehungen mit Zahlungsdienstnutzern

  Axel Becker

  …Zahlungsdienst- nutzern zu etablieren. 106) Vgl. BaFin – Fachartikel – BaFin novelliert ihre BAIT. 11.2 Das Institut hat Prozesse einzurichten und zu… …Vgl. Erläuterungen zu Tz. 11.3 BAIT. Tz. 11.4 Das Institut hat – wenn die Produktfunktionalität es zulässt – dem Zah- lungsdienstnutzer die… …Institut mit dem Zahlungsdienstnutzer Betragsobergrenzen ver- einbart hat, ist dem Zahlungsdienstnutzer die Möglichkeit zu geben, die vereinbarten Grenzen… …Transaktionsversu- che ist nicht erforderlich. Vom Institut durchzuführende Betrugserkennungs- maßnahmen bleiben davon unberührt.111) In der Praxis erhält der… …gungen wirksam erkennen und beim Institut anzeigen. Der konkrete Kommunikationsweg wird vom Institut bestimmt. Dem Zah- lungsdienstnutzer sollte die… …Tz. 11.6 Zur Erkennung von betrügerischer oder nicht autorisierter Nutzung der Zahlungskonten des Zahlungsdienstnutzers hat das Institut dem Zah-… …BAIT. Tz. 11.7 Das Institut hat die Zahlungsdienstnutzer zeitnah über Aktualisierungen der Sicherheitsverfahren zu informieren, die in Bezug auf die… …Erbringung von Zahlungsdiensten Auswirkungen auf die Zahlungsdienstnutzer haben. Tz. 11.8 Das Institut hat die Zahlungsdienstnutzer in Bezug auf alle Fragen… …sammen. Nr. Revisionsseitige Fragestellungen Erfüllt 1 Hat das Institut sichergestellt, dass die nach § 53 ZAG geforderten Risikominderungsmaßnahmen zur… …etabliert? 3 Hat das Institut Prozesse eingerichtet und implemen- tiert, durch die das Bewusstsein der Zahlungsdienstnut- zer über die sicherheitsrelevanten…

  Alle Treffer im Inhalt anzeigen
• eBook-Kapitel aus dem Buch Prüfungsleitfaden BAIT

  Auslagerungen und sonstiger Fremdbezug von IT-Dienstleistungen

  Axel Becker

  …Outsourcing. Risikobewertung Art und Umfang einer Risikobewertung kann das Institut unter Proportiona- litätsgesichtspunkten nach Maßgabe seines allgemeinen… …IT-Dienstleistungen, die dem Institut durch ein Dienstleistungsunternehmen über ein Netz bereitgestellt werden (z.B. Re- chenleistung, Speicherplatz, Plattformen oder… …(Cloud-Dienstleis- tungen). Das Institut hat auch beim sonstigen Fremdbezug von IT-Dienst- leistungen die allgemeinen Anforderungen an die Ordnungsmäßigkeit der… …angemessen zu bewerten (vgl. AT 7.2 Tz. 4 Satz 2 MaRisk). 9.2 Wegen der grundlegenden Bedeutung der IT für das Institut ist auch für jeden sonstigen… …IT-Sicherheitsbeauftragten an den IT-Dienstleister basieren auf keiner vertraglichen Grundlage. • Das Institut hat mehrere Fremddienstleistungsbezüge nicht als Auslage- rung… …im aufsichtlichen Sinne identifiziert und folglich nicht als solche be- handelt. • Das Institut enthält vonseiten des externen Dienstleisters keine… …12 – 01/2018, Heidelberg 2018, S. 232. Nr. Revisionsseitige Fragestellungen Erfüllt 1 Hat das Institut sichergestellt, dass bei Auslagerungen von… …IT-Dienstleistun- gen, die dem Institut durch ein Dienstleistungsunterneh- men über ein Netz bereitgestellt werden (z.B. Rechen- leistung, Speicherplatz, Plattformen… …erfolgen (Cloud-Dienstleistungen), die Anforderungen nach AT 9 MaRisk? 7 Beachtet das Institut hat auch beim sonstigen Fremd- bezug von IT-Dienstleistungen… …geschuldeten Leistung beim sonstigen Fremdbezug von IT-Dienstleis- tungen entsprechend der Risikobewertung überwacht? 12 Hält das Institut dabei eine…

  Alle Treffer im Inhalt anzeigen
• eBook-Kapitel aus dem Buch Prüfungsleitfaden BAIT

  IT-Notfallmanagement

  Axel Becker

  …Funktion von organisatorischen Leitplanken für das IT-Notfallmanagement. 10.1 Das Institut hat Ziele zum Notfallmanagement zu definieren und hieraus… …auslagernde Institut und das Auslagerungsunternehmen über aufeinander abgestimmte Notfallkonzep- te zu verfügen (vgl. AT 7.3 Tz. 2 MaRisk). Die Wirksamkeit und… …Abhängigkeiten von externen Faktoren (Gesetzgeber, Anteilseigner, Öf- fentlichkeit etc.).103) 10.3 Das Institut hat auf Basis des Notfallkonzepts für IT-Systeme… …Fragen für die Prüfung zu- sammen. 104) Vgl. Erläuterungen zu Tz. 10.4 BAIT. Tz. 10.5 Das Institut hat nachzuweisen, dass bei Ausfall eines… …Wiederherstellung des IT-Normalbetriebs erbracht werden können. Nr. Revisionsseitige Fragestellungen Erfüllt 1 Hat das Institut hat Ziele zum Notfallmanagement… …5 Verfügt das Institut im Fall der Auslagerung von zeitkri- tischen Aktivitäten und Prozessen über mit dem Ausla- gerungsunternehmen abgestimmte… …. Risikomanagement oder Informationssicher- heitsmanagement)? 10 Hat das Institut auf Basis des Notfallkonzepts für IT- Systeme gerade für zeitkritische Aktivitäten… …Zusammenfassung zu Systemverbünden (z.B. Hochverfügbarkeitscluster) sowie Prozesse (z.B. Zutritts- und Zugriffsmanagement)? 19 Kann das Institut nachweisen, dass…

  Alle Treffer im Inhalt anzeigen
• eBook-Kapitel aus dem Buch Prüfungsleitfaden BAIT

  Informationssicherheitsmanagement

  Axel Becker

  …Institut definiert ist und durch welche Ereignisse eine Ad-hoc-Überprüfung notwendig wird. 4.2 Die Geschäftsleitung hat eine… …Regelungen sowie die Kontrolle ihrer Einhaltung, den Informa- tionssicherheitsprozess im Institut zu steuern und zu koordinieren sowie diesen gegenüber… …Informationssicherheitsbeauftragten, • ein der Funktion zugewiesenes Budget für Informationssicherheitsschu- lungen im Institut und die persönliche Weiterbildung des Informations-… …informationssicherheits- relevante Sachverhalte, die das Institut betreffen. • Die Funktion des Informationssicherheitsbeauftragten wird von den Be- reichen getrennt, die… …jederzeit gewährleisten kann. In diesem Fall ist jedoch in jedem Institut eine zuständige Ansprechperson für den Informationssicherheitsbeauftrag- ten zu… …benennen. Institute können die Funktion des Informationssicherheits- beauftragten grundsätzlich mit anderen Funktionen im Institut kombinieren. Die… …Möglichkeit, sich externer Unterstützung per Servicevertrag zu bedienen, bleibt für die Institute unberührt.48) 4.6 Jedes Institut hat die Funktion des… …bei Informationssicherheitsvorfällen im Institut ge- regelt? • Welche Rollen und Verantwortlichkeiten gibt es im Zusammenhang mit… …Informationssicherheitsvorfälle gab es in der Vergangenheit und wie zeitnah wurden diese behoben? 49) Vgl. Erläuterungen zu 4.7 BAIT. 4.8 Das Institut hat eine Richtlinie über… …Instituts, • Kategorien von Test- und Überprüfungsobjekten (z.B. das Institut, IT-Sys- teme, Komponenten), • Art, Umfang und Frequenz von Tests und…

  Alle Treffer im Inhalt anzeigen
• eBook-Kapitel aus dem Buch Prüfungsleitfaden BAIT

  IT-Governance

  Axel Becker

  …Prozesse zeitnah angepasst werden. Es ist sicherzustellen, dass diese Regelungen wirksam umgesetzt werden. 2.3 Das Institut hat insbesondere das… …zur Qualität der technisch-organisatorischen Ausstattung. Bei der Um- setzung des Grundsatzes der IT-Governance orientiert sich das Institut an den… …. IT-Governance 31 Angemessene quantitative und qualitative Personalausstattung Weiterhin sorgt das Institut dafür, dass das Informationsrisikomanagement, das… …qualifiziertes Personal am Markt akquiriert. Weiterhin bildet das Institut Nachwuchskräfte aus. • Das Institut hat im Rahmen der Aus- und Weiterbildung die… …IT-Sicherheit durchgeführt. Hierfür hat das Institut ausreichend Budgets sowie Schulungs- und Fortbildungszeiten zur Verfügung (vgl. Ausführungen in der… …Einsatz der im Institut freigegebenen IT-Systeme (IT-Infra- strukturen, Anwendungen etc.) besteht eine Definition der bankweiten Standards für Hard- und… …. Das Institut nutzt vorwiegend folgende Systeme (insti- tutsspezifische Aufzählung). Die Hardware und Software werden zentral von dem Bereich der IT… …Institut bestehenden und zentralen Bereiche der IT aufbauorganisatorisch getrennt. Im Einzelnen ergibt sich im Sinne der Three(Four)-Lines-of-Defense… …IT-Governance sieht vor, dass in dem Institut folgende wesentliche Be- richterstattungen vorgenommen werden: Bericht Zuständige Abteilung Empfänger… …Quantitative und qualitative Kriterien Das Institut hat zur Steuerung der für den Betrieb und die Weiterentwick- lung der IT-Systeme zuständigen Bereiche…

  Alle Treffer im Inhalt anzeigen
• eBook-Kapitel aus dem Buch Prüfungsleitfaden BAIT

  IT-Betrieb

  Axel Becker

  …auch die Angemessenheit der Bewertung und Priorisierung, ist zu überwachen und zu steuern. Das Institut hat geeignete Kriterien für die Information der… …die hierzu erfassten Bestandsangaben re- gelmäßig sowie anlassbezogen aktualisiert werden? 3 Führt das Institut folgende Bestandsangaben: • Bestand und… …. nicht mehr vom Hersteller unterstützten IT-Systemen berücksich- tigt (Lebenszyklus-Management)? 7 Hat das Institut die Prozesse zur Änderung von IT-Sys-… …, unter Be- rücksichtigung möglicher Umsetzungsrisiken bewertet, priorisiert, genehmigt sowie koordiniert und sicher um- gesetzt? 11 Hat das Institut auch… …das Institut Meldungen über ungeplante Abwei- chungen vom Regelbetrieb (Störungen) sowie deren Ur- sachen? 15 Werden die Störungen in geeigneter Weise… …Meldungen über Störungen, wie auch die Angemessen- heit der Bewertung und Priorisierung, überwacht und gesteuert wird? 19 Hat das Institut geeignete… …IT-Systeme zur Störungs- und Ur- sachenerfassung sowie -bearbeitung eingesetzt werden? 22 Setzt das Institut hierbei standardisierte Incident- und… …Verfahren zur Datensiche- rung (ohne Datenarchivierung) schriftlich in einem Da- tensicherungskonzept geregelt? 24 Hat das Institut die im… …29 Hat das Institut die Leistungserbringung geplant und überwacht, um insbesondere Engpässe zeitnah zu erken- nen und angemessen zu reagieren? 30…

  Alle Treffer im Inhalt anzeigen