Suchergebnisse

• eBook-Kapitel aus dem Buch IT-Compliance

  IT-Compliance unter Einsatz der ISO 27000- Normenfamilie

  Dr. Michael Rath, Rainer Sponholz

  …DIN wird zu rund 75 Pro- zent durch den Verkauf von Normen und Mitgliedsbeiträge finanziert. Es wer- den auch Hinweise gegeben, wie man Normen z.B… …; betreibt man beispiels- weise ein Qualitätsmanagementsystem nach ISO ist dieses in gleicher Weise aufgebaut – dies erleichtert die Anwendung der… …Verständnis muss man sich Hintergrundwissen aneignen. Mit der verkürzten Darstellung zählt jedesWort. Der ISO 27001-Experte Dejan Kosutic beschreibt Struktur… …verlangen. Für das betriebliches Kontinuitätsmanagement (BCM) gibt es eine eigene Norm, die ISO 22301.130 Man kann selbst wählen, welche Kontrollen man für… …anwendbar hält und muss diese dann implementieren, wenn man sein ISMS nach der ISO 27001 aufbaut und betreibt. 5.3 Nutzen des ISO-Standards 27001 für das… …klassifiziert werden. Die Klassifizierungsstufe dürfte „Streng vertraulich“ sein. Bei der Schutzmaßnah- menauswahl kommt man dann bei den hohen Risiken und… …immensen ange- drohten Datenschutzstrafenmindestens auf dieMaßnahme „Verschlüsselung“. Schaut man jetzt in die Tabelle der „Cloud Security Alliance (CSA)133… …man heraus, dass A.8.2.1 z.B. auf den DSI-01 der CASmappt, welcher „Data Security & Information Lifecycle Management Classification“ heißt. Dieser Punkt… …Gefährdungspotenzial der Daten bestimmt werden kann.“ Ohne Datenklassifikation besteht man also keinen Datenschutzaudit, wenn man besonders schützenswerte personenbezo-… …gene Daten verarbeitet, noch einen Kreditkartenaudit, wenn die Organisation Kreditkartendaten verarbeitet. Zieht man jetzt noch ausführliche Standards…

  Alle Treffer im Inhalt anzeigen
• eBook-Kapitel aus dem Buch IT-Compliance

  IT-Compliance unter Einsatz von COBIT

  Dr. Michael Rath, Rainer Sponholz

  …allumfassenden Standard für ein Themenfeld nicht geben kann. Man kann aber versuchen, einen integrierenden Standard zu schaffen, um einen größeren Nutzen zu… …nebeneinander eingesetzt werden. COBIT ist also eine Basis-Methode, wie man ein unternehmensweites IT-Gover- nance/Management-System aufbauen und mit welchen… …Prozessen man es be- treiben kann. Es liefert Begriffe und Definitionen und setzt in einzelnen Teilbe- reichen weitere Methoden und Tools ein (zum Beispiel… …schung von COBIT muss man dessen Inhalte lernen. Hierdurch bekommt man die gängigen Methoden und Standards in einem betriebsfähigen Modell beige- bracht… …und muss die Integration verschiedener Ansätze nicht mühsam selbst bewerkstelligen (hierzu hätte man i. d.R. im Tagesgeschäft auch keine Zeit). COBIT… …Sicherheitsinvestition immer auch nach ihrem Nutzen und Wertbei- trag/Verlustvermeidungsbetrag zu betrachten. Diese Zielstellung vergisst man nur allzu leicht, wenn man in…

  Alle Treffer im Inhalt anzeigen
• eBook-Kapitel aus dem Buch IT-Compliance

  Kosten der IT-Compliance

  Dr. Michael Rath, Rainer Sponholz

  …geschäftlichen Strategien verzahnt. Operationen im IT-Segment würden mit anderen Business-Feldern koordiniert. Zuletzt vertraue man dort stärker auf analytische… …man die folgenden Begriffe und Verfahren zur wirtschaftlichen Beurteilung von IT-Sicherheitsmaßnah- men, welche imKern die geforderten Pflichtmaßnahmen… …von Schutzmaßnahmen in Bezug auf den mittelbaren Geschäfts- verlust (siehe hierzu auch das zuvor entwickelte Wirkungsmodell). So kann man beispielsweise… …eineMaschine etwa 500 Tsd. Euro investiert und hierdurch werden in drei Jahren zwei Millionen Euro Erträge generiert, kann man abzüglich der Inves- titionskosten… …Erträge eingestuft. Eine einfache Version der Formel zur Be- rechnung des ROSI stellt sich folgendermaßen dar: Man kann nun mit der GRC-Wirkungskette den… …wir eine 100%ige Risikominderung. Die USV-Anlage kostet 25 Tsd. Euro und hat keine Betriebskosten. Setzt man dieWerte in die Formel, kommtman zu… …Es wird angezweifelt, ob die notwendigen Daten für eine quantitative Berech- nung überhaupt ermittelbar seien. Man könne zwar mehr oder minder gut… …entstehen würden, wenn man eine bestimmte Sicherheits- 122 7 Kosten der IT-Compliance 198 Ghezzo, Michael: „Interviewmit Dr. Christian Reiser… …man in Art. 83 der DS-GVO einen Sanktionsmechanismus eingeführt, der u. a. Prozentwerte des weltweiten Jahresum- satzes als Sanktion vorschreibt… …Betriebseinstellungen. Ebenso mag man hierzu den Ausschluss von öffentlichen Aufträgen, Auswir- kungen auf den Aktienkurs börsennotierter Gesellschaften und die Folgen…

  Alle Treffer im Inhalt anzeigen
• eBook-Kapitel aus dem Buch IT-Compliance

  Management von IT-Compliance

  Dr. Michael Rath, Rainer Sponholz

  …Führungs- kraft bewältigt werden kann, wählt man die organisatorische Form der Stab- stelle oder des Beauftragten oder lagert die Funktion an einen externen… …IT-Compliance sollte man jedoch beachten, dass es bereits für kleinere und mittlere Unternehmens- größenwirtschaftlicher sein kann, Funktionen sinnvoll…
• eBook-Kapitel aus dem Buch IT-Compliance

  Der IT-Compliance-Prozess

  Dr. Michael Rath, Rainer Sponholz

  …zu verstehen und den Reifegrad nach und nach zu erhöhen. Daher sollten zuerst die wichtigsten Hundert Probleme gelöst werden, bevor man sich von… …regulatorischen Anforderungen Welche Maßnahmen kann man zur Identifikation, Relevanzanalyse und Be- standsaufnahme von regulatorischen Anforderungen treffen?… …Regelungen einzuhalten. Hier kann man sich auch nicht um die Erfüllung ‚drücken‘, lediglich in Hinblick auf Auslegung, Um- fang und Umsetzungsweise besteht… …Kreditkartenunternehmen einzuhalten. Regulative Vorgaben definiert Kampffmeyer wie folgt: „Man unterscheidet zwi- schen „rechtlich“ und „regulativ“, da es eine Reihe von…

  Alle Treffer im Inhalt anzeigen
• eBook-Kapitel aus dem Buch IT-Compliance

  Werkzeuge des (IT-) Compliance-Managements

  Dr. Michael Rath, Rainer Sponholz

  …, Forrester Research, Inc. Am Beispiel der Basel II-Projekte in Großbanken konnte man sehen, welche immensen Projetaufwände entstehen, wenn die… …liefern können303. Man kann die These aufstellen, dass die vielfältigen Compliance-Anforderungen die Unternehmen zu einem effizienteren Datenmanagement und… …zur Integra- tion von Anwendungen nötigen könnten. In der Praxis beobachtet man häufig, dass die z.B. von der Software ohne weitere Kostenmitgelieferten… …Hersteller zum Verschlüsseln datenschutzrelevanter Informationen. Jetzt müsste man diese, und eine Vielzahl weiterer mitgelieferter Funktionalitä- ten nur noch… …. einen Hinweis geben, ob man sich bereits in der angestrebten Risk Adjusted Comfort Zone oder im ineffizienten Bereich des Unter- oder Überschutzes befin-…

  Alle Treffer im Inhalt anzeigen
• eBook-Kapitel aus dem Buch IT-Compliance

  Wesentliche Maßnahmen der IT-Compliance

  Dr. Michael Rath, Rainer Sponholz

  …große Anzahl von regulatorischen Anforderungen gibt, man diese jedoch auf einige wesentliche Maßnahmen der IT-Sicherheit be- schränken und dadurch bei… …. commoncontrolshub.com/hc/en-us/articles/115002302346-UCF-Impact-Zones. nutzbare Form zu bringen. Man könnte sagen, CobiT bietet den theoretischen Überbau durch eine allgemeine Beschreibung der Managementziele und UCF… …. regulatorische Anforderungen identifiziert worden. 2014 zählte man schon 7.694 Controls und 2020 sind es schon über 9.300 sog. IT-Control Statements355. Abbildung… …29: Anzahl Kontrollen per UCF Impact Zone Quelle: Craig Isaacs von UCF. Sortiert man nach der Anzahl der Kontrollen pro Auswirkungsbereiche (Impact… …Zones), stellt man fest, dass das Konfigurationsmanagement (801 Kontrollen) und der Daten- und Informationsschutz (490 Kontrollen) vor allen anderen… …der Anzahl niedriger, da sie u.E. mit weniger Schutzmaßnahmen abschließend definierbar sind. Zusammenfassend kann man deshalb sagen, dass aus… …Standardorganisationen, Regierungen und Sicherheitsfirmen, die Sicherheits- mappings erstellen und verteilen, war unerwartet, ebenso wie der relative Man- gel an… …dann die Gesetzgeber und Herausgeber von regulatorischen Pflichtanforderungen überschneidungsfreie effiziente Regelwerke erstellen. Man würde hier u.U… …zum Einsatz. In der Regel spielen diese Managementfelder in den Anforderungen zur IT-Com- pliance keine besondere Rolle, da man diesen Bereich schwer… …Systeme und Netzwerke mitigieren. Man gibt an, dass man über 80 Prozent aller Angriffstechniken des MITRE ATT&CK- Rahmens entgegentreten kann. Das Modell…

  Alle Treffer im Inhalt anzeigen
• eBook-Kapitel aus dem Buch IT-Compliance

  Outsourcing und IT-Compliance

  Dr. Michael Rath, Rainer Sponholz

  …, spricht man vonOffshore-Outsourcing366. Die Wahl der strategischen Option des Outsourcings kann einen wesentlichen Beitrag zum Geschäftserfolg begründen… …Deals auszeichnen389. Anhand der dargelegten Beispiele kann man überschlagsweise berechnen, dass die in der sogenannten Lünendonk-Liste Führende… …Kurzstudie-07-Sicherheitsanforderungen-und-nachweise-bei-Cloud-Diensten-2019.pdf. 397 Man könnte noch die ISO 27017 – Informationstechnik – Sicherheitsverfahren – Anwendungsleitfaden für Informationssicherheitsmaßnahmen… …, die von der IAASB auf die Prüfung der Kon- trollen beim Auslagerungsunternehmen übertragen wurde. Wenn man die we- sentlichen Kontrollen im… …laufenden Betrieb für einen 224 12 Outsourcing und IT-Compliance Zeitraum nachweisen kann, kann man eine Aussage über die ordnungs- und… …Wirksamkeit einzelner Maßnahmen des Zugriffsschutzes – kann man die IT-Compliance für die definierten Kontrollen des DIKS feststellen. Beim IKS/DIKS-bezogenen… …Tests durch einen unab- hängigen Prüfer. Bei der Aufgabe des ersten Schrittes, der Definition der wesentlichen Kontrol- len, benutzt man i. d.R. die… …den definierten Unternehmensausschnitt des IKS/DIKS bezogen sind (man kann nur eine Auswahl der wesentlichen Kontrollen prüfen). Non-Compliance-Situa-… …Unternehmen tendieren aus unserer Erfahrung eher zur nachgelagerten als zur zeitnahen Kontrolle des ausgelagerten Bereiches. Man kann das… …Einrichtung entsprechender Prozesse und den Nach- weis der Regelkonformität. Möchte man all drei Aspekte berücksichtigen, sollte im Falle der Auslagerung neben…

  Alle Treffer im Inhalt anzeigen

• Compliance-Management im SE-Konzern

• eBook-Kapitel aus dem Buch Der Fall Wirecard

  Aussagen der Wirtschaftsprüfer

  Prof. Dr. Edgar Löw, Daniela Kunzweiler

  …‚Untersuchungshemmnis‘. Drittpartner hätten wenig Bereitschaft gezeigt, mitzuarbeiten; auch habe Wirecard angeforderte Dokumente nicht oder erst spät geliefert. Man…