Suchergebnisse

• eBook-Kapitel aus dem Buch IT-Compliance

  Wirkungsmodell der IT-Sicherheit

  Dr. Michael Rath, Rainer Sponholz

  …Ursache-Wirkungsmodell aufgebaut, das als einheit- liches Modell für IT-Sicherheit, IT-Revision, IT-Risiko-Management und IT- Compliance dienen kann. In diesem Modell… …vorliegenden Buches. Das von uns eingeführte GRC-Wirkungsmodell – eine Anwendung des Sicherheits- modell auf alle GRC-Abteilungen – ist die Basis für ein… …Entwicklung eines Sicherheits- systems für Piloten. Sein Spruch ging nach einer Pressekonferenz und Verwer- tung dieser Aussage in einerWerbung der… …schen Systemen führte dann auch in der Informationstechnologie zu Forderun- 40 2 Wirkungsmodell der IT-Sicherheit 42 Vgl. „The Need for Security“ in… …Anfängen von IT- Compliance. Wie für die Luftfahrtindustrie war die Rüstung für die IT ein wesentlicher Trei- ber der Entwicklung. ENIACwar eine… …Bedrohungen wie Malsoftware (u. a. Viren) ent- standen. Informationssicherheit ist daher heute ein allgemeines Bedürfnis für jeden Computernutzer geworden42. –… …Anforderungen an die IT (auch wenn diese Forderungen damals selbstverständlich noch nicht als IT-Compliance betitelt wurden) für militärische bzw. staatliche… …National Security Agency (NSA) für das US-Verteidigungsministerium (United States Government Department of De- fense). Die TCSEC (Trusted Computer System… …durch die internationale Norm ISO/IEC 15408, die Common Criteria for Information Technology Security Evalua- tion (kurz Common Criteria oder CC) abgelöst… …werdenmussten. Wichtig für die Fortentwicklung der IT-Sicherheit als Fachdisziplin war der von Juni 1974 bis Februar 2008 gültige US-Standard „Richtlinien für…

  Alle Treffer im Inhalt anzeigen
• eBook-Kapitel aus dem Buch IT-Compliance

  IT-Compliance unter Einsatz der ISO 27000- Normenfamilie

  Dr. Michael Rath, Rainer Sponholz

  …tes_K%C3%B6nigreich). 5 IT-Compliance unter Einsatz der ISO 27000- Normenfamilie „ISO/IEC 27001 wird zu einem allgemeinen Standard für Compliance. Zwei Fünftel der… …großen Unternehmen wurden von ihren Kunden gebeten, den ISO- Bestimmungen zu entsprechen. ISO/IEC 27001 wird zunehmend zur Verkehrs- sprache für… …umfassendes, integratives Rahmenwerk für eine effektive Governance und ein effektives Management der Unternehmens-IT dar. Da ISO/IEC 27001 als Standard mit… …nahezu allen anderen wichtigen IT-Standards bzw. regulatorischen Anforderungen verbunden (gemappt) werden kann ist er für die praktische IT-Compliance von… …27001 handelt es sich um eine der international führenden Normen für Informationssicherheits-Managementsysteme (ISMS). Sie bietet Organisa- tionen aller… …Art und Größe klare Leitlinien für die Planung, Umsetzung, Überwa- chung und Verbesserung ihrer Informationssicherheit. Im Jahre 2018 gab es weltweit… …schließlich 2007 auf115. Für die Entwicklung der Informationssicherheit und IT-Compliance war diese Behörde sehr wichtig, denn 1987 wurde das Commer- cial… …good security practice“ bei der Umsetzung von Informationssicherheit zu unterstüt- zen und zum anderen ein Evaluierungs- und Zertifizierungsschema für… …Management Systems – Specification with gui- dance for use“, veröffentlicht. Diese Standards fanden internationales Interesse und Teil 1 wurde im Dezember 2000… …als internationaler Standard ISO 17799 veröffentlicht118. Die Grundlagen für die erfolgreiche ISO-Familie 27000 sowohl für den Standard, die…

  Alle Treffer im Inhalt anzeigen
• eBook-Kapitel aus dem Buch IT-Compliance

  IT-Compliance unter Einsatz von COBIT

  Dr. Michael Rath, Rainer Sponholz

  …IT-Compliance unter Einsatz von COBIT „COBIT […] beruht auf soliden Prinzipien der IT-Governance für Unternehmen und wird Organisationen dabei helfen, die sich… …COBIT (Control Objectives for Information and Related Technology)158 beschrieben. COBIT entwickelte sich vom Revisionswerkzeug der 1990er Jahre über einen… …Nutzung von COBIT als Governance Management- Standard Jeder Standard in der IT bietet für seine Zielrichtung eigene Definitionen, Ver-… …fahrensbeschreibungen und Methoden. Die Anzahl der auf dem Markt für glei- che Themenstellungen verfügbaren und oft parallel eingesetzten Standards zeigt, dass es den… …allumfassenden Standard für ein Themenfeld nicht geben kann. Man kann aber versuchen, einen integrierenden Standard zu schaffen, um einen größeren Nutzen zu… …wie ISO 27001 oder BSI Grundschutz werden von COBIT als weiter gefasster Managementansatz für IT-Governance ergänzt und können deshalb sinnvollerweise… …stellt aus dieser Sichtweise ein umfassendes Konzept für die IT-Gover- nance dar. Im Folgenden sollen deshalb die ISACA, COBIT und dessen Entwicklung… …GovernanceManager (ITGM) und – IT-Compliance-Manager (ITCM) – Herausgabe eines Ethik-Kodex für zertifizierte IT-Revisioren – Organisation von nationalen und… …165 Vgl. Lainhart, John: „Introducing COBIT 2019: TheMotivation for the Update?“ Oktober 2018… …, https://www.isaca.org/resources/news-and-trends/newsletters/cobit- focus/2018/introducing-cobit-2019-the-motivation-for-the-update. 166 DevOps ist ein Kunstwort aus den Begriffen Development (englisch für Entwick-…

  Alle Treffer im Inhalt anzeigen
• eBook-Kapitel aus dem Buch IT-Compliance

  Kosten der IT-Compliance

  Dr. Michael Rath, Rainer Sponholz

  …Risk-Adjusted Comfort Zone hergeleitet, in der für das Unternehmen weder ein nicht akzeptables Schutzniveau noch ein (wirtschaftlich) ineffizienter Über- schutz… …Zielvorgabe“ sowie der Regelauslegung für Pflichtschutzmaßnah- men der IT-Compliance. – Die Umsetzungskosten der regulatorischen Anforderungen werden aus dem… …geplanten Budget durch Aufschub anderer IT-Investitionen finanziert („Kan- nibalisierungseffekt“). – Es werden Sonderbudgets für die Umsetzung… …„Compliance-Minima- lismus“ und „kannibalisieren“, wenn es gar nicht anders geht, das IT-Budget für die unerlässliche Compliance. IT-Verantwortliche hingegen sehen in… …Risiko sowie des zu erwartenden Schadensfalles eine Entscheidung hinsichtlich der Budgets für die Umsetzung regulatorischer Anforderungen der IT-Compliance… …auch das Marktforschungs- und Beratungsunternehmens IDC in seinem White- paper aus 12/2012: „Argumente für GRC: Bewältigung der zehn wichtigsten GRC-… …sogar fest ein, dass sich die regulatorischen Vorgaben von Jahr zu Jahr ändern oder schlicht erweitern werden. Gleichzeitig machen sie geltend, für die… …laufenden Kosten der Unternehmen für Compliance-Systeme, Haase/Hamacher, ZRFC 2012, 123 ff. Nach aktueller Studie von Capgemini scheint es bei den IT-Budgets… …. So soll bei 37% der IT-Verantwortlichen im Jahr 2016 ein Budgetanstieg zu ver- zeichnen gewesen sein und für 2020 bei 63% der IT-Verantwortlichen189… …dieses Budgets wandert in die Compliance. So sollen 67% des IT-Budgets für Compliance und Wartung verwendet werden190. Im Ergebnis kann sicherlich…

  Alle Treffer im Inhalt anzeigen
• eBook-Kapitel aus dem Buch IT-Compliance

  Management von IT-Compliance

  Dr. Michael Rath, Rainer Sponholz

  …imWertpapierdienstleistungskonzern“, S. 13 f. 8 Management von IT-Compliance „Für die Zukunft ist es unerlässlich, den aktuellen Compliance-Ansatz zu einem strategischen Instrument… …dargestellt. Ziel dieses Kapitels ist es, ein sys- tematisches Modell für die Planung, Gestaltung, Umsetzung und Verbesserung eines IT-Compliance-Managements… …Gesetz besteht für das Unterneh- men auch die Verpflichtung, entsprechende Nachweise der Konformität zu er- bringen. Diese Nachweisführung stellt die… …„sollte“. Die ISO 19600:2016-12224 formuliert die Zielstellung für ein Compliance-Ma- nagement-System folgendermaßen: „Ein wirksames, organisationsweites… …vom Institut der Wirtschaftsprüfer (IDW) entwickelte CMS-Prüfungsstandard IDW PS 980 sowie den Standard für Compliance Management Systeme (CMS) TR CMS… …(IT-)Compliance-Managements Das Compliance-Management kann nach Auffassung des Transferzentrums für Technologiemanagement (TECTEM) der Universität St. Gallen folgende Vorteile… …226 Transferzentrum für Technologiemanagement, Universität St. Gallen, Broschüre: Benchmarking-Projekt: ComplianceManagement in der Praxis, 2008, S. 3… …. – Entwicklung und Bewertung einer für das Unternehmen individuell und dem Kontext angemessenen Systematik – Deutliche Reduktion von… …seinwie auch unterstützend für die Corporate Compliance wirken kann: – Ein Großteil der regulatorischen Anforderungen bezieht sich – wie schon gezeigt –… …IT-Compliance-Organisation (Aufbau- und Ablauforgani- sation) Organisationsformen des (IT-)Compliance-Managements Für Aufgaben, die im Zusammenhang mit IT-Risiken stehen…

  Alle Treffer im Inhalt anzeigen
• eBook-Kapitel aus dem Buch IT-Compliance

  Der IT-Compliance-Prozess

  Dr. Michael Rath, Rainer Sponholz

  …diesen Vorgaben – Dokumentation des Compliance-Status Anschließend wird eine Methode für ein Initialprojekt zur Verbesserung der IT- Compliance in 21… …iterativ abläuft: 1. Es muss eine Analyse erfolgen, welche speziellen regulatorischen Anforde- rungen für das Unternehmen gelten (Relevanz der… …Handlungs- bedarf abgeleitet für Maßnahmen zur Erreichung der (IT-)Compliance (Defi- ciencyManagement). 3. Berichterstattung und Dokumentation über Compliance… …, https://www.impulse.de/recht-steuern/ rechtsratgeber/dsgvo-bussgeldkonzept/7450785.html. 272 Mayer, Julius: „Haftungsfalle Datenschutz –Muss ich alsMitarbeiter für Daten-… …von der Fahrlässigkeit zum Vorsatz wandern. Und dann steht für die Verantwortlichen des Vorfalls auch die persönliche Haftung im Raum, denn Arbeitnehmer… …kön- nen im Innenverhältnis mit dem Arbeitgeber für Verstöße haften272. Neben einer Innenhaftung kann der Arbeitnehmer im Ausnahmefall selbst als Verant-… …wortlicher haften, wenn er bei seinem Handeln eigene Zwecke verfolgt. Der Arbeitnehmer könnte für sein Verhalten mit einem Bußgeld sanktioniert wer- den. In… …der Konsequenz wäre der Arbeitgeber dann gerade nicht mehr Verant- wortlicher für den Verstoß273. Wir empfehlen hierbei, die regulatorischen… …Informationspool für GRC- bezogene Tätigkeiten zu schaffen, insbesondere wenn diese nicht organisato- 156 9 Der IT-Compliance-Prozess 274… …gesetzlichen Vor- gaben entsprechend – effizient umzusetzen. Laut Abel ist das Compliance Engi- neering ein Vorgehensmodell für die Identifikation und Umsetzung…

  Alle Treffer im Inhalt anzeigen
• eBook-Kapitel aus dem Buch IT-Compliance

  Werkzeuge des (IT-) Compliance-Managements

  Dr. Michael Rath, Rainer Sponholz

  …IRM-Softwaremarkt für das Jahr 2019. Abbildung 24: Gartner-Report Magic Quadrant for Integrated Risk Management, Juni 2019 Quelle: Magic Quadrant for Integrated Risk… …171 292 „Compliance is a critical area of concern for most of our customers – it is what I call Job Zero. The fact is that if software does not… …Werkzeuge des (IT-)Compliance-Managements „Compliance ist ein kritischer Bereich der Besorgnis für die meisten unserer Kunden – und daher die allerwichtigste… …Managementsysteme für Informationssicherheit (ISMS) 10.1 Einsatz unternehmensübergreifender Standards Empfehlung zur Kombination über Mapping verbundener Standards… …Standards für unterschiedliche Zwecke (Sicherheit, Prozesse, IKS) zusammen angewendet werden. Folgende Rahmenwerke sehen wir als wesentlich für das… …IT-Compliance-Ma- nagement an und empfehlen daher deren Einsatz: – CobiT: Control Objectives for Information and Related Technology – ITIL: Information Technology… …, Steve: „Combine CobiT and ITIL for Powerful Governance“, 2002. 294 Symons: „Helping Business Thrive On Technology Change A Road Map To Compre- hensive IT… …Governance“, Januar 2006. 295 Bundesamt für Sicherheit in der Informationstechnik: „Informationssicherheit – Ein Vergleich von Standards und Rahmenwerken“… …zu IT-Sicherheit und Servicemanagement ver- bunden. Abbildung 17: Verbundener Einsatz von Standards für das IT-Compliance-Management Quelle: Eigene… …beschriebenenMaß- nahmen dar. Praxisbeispiel für das Mapping kombinierter Standards297 Aufgabe des durchgeführten Projekts war die Implementierung eines IT-Com-…

  Alle Treffer im Inhalt anzeigen
• eBook-Kapitel aus dem Buch IT-Compliance

  Wesentliche Maßnahmen der IT-Compliance

  Dr. Michael Rath, Rainer Sponholz

  …Defense (SANS 20) Die CIS Critical Security Controls for Effective Cyber Defense362 sind eine Veröffent- lichung von Best-Practice-Richtlinien für… …, Center for Information Systems Research (CISR), Juni 2006334 In diesem Kapitel werden die wesentlichen Schutzmaßnahmenbereiche der IT- Compliance gemäß… …SANS 20 – welcher heute vom Center for Internet Security [CIS] gepflegt wird335). Entsprechend des Detaillierungsgrades der unternehmensspezifischen… …Anzahl der geforderten Maßnahmen in der Anzahl erhöhen, jedoch nicht in deren Anforderungskern. Nach unserer Ansicht ist es für eine wirtschaftliche… …Report“, Department for Business, Enterprise & Regulatory Reform, April 2008, http://webarchive… …weitere Anpassungen erforderlichmachen. 11.2 Maßnahmen der IT-Compliance auf Basis der Motivatoren für IT-Sicherheit aus Unternehmenssicht Nach unserer… …Unternehmens) gibt eine Studie wieder, welche von verschiedenen Beratungsgesellschaften für das britische Department of Business, Enterprise and Regulatory Reform… …. commoncontrolshub.com/hc/en-us/articles/115002302346-UCF-Impact-Zones. Diese Liste ist für uns ein Anhaltspunkt, welche Maßnahmen nach Umfrageer- gebnissen der Meinungsforschung eine besondere Relevanz haben338. Im… …des Unified Compliance Framework (UCF) Für den Unified Compliance Framework (UCF)339 wurden im Zeitablauf zwischen 800 bis 1.000340 regulatorische… …Hinblick auf Sanktionen erfasst. Im Glossar wer- den die Begriffe katalogisiert und zueinander in Beziehung gesetzt (für den Fall, dass für inhaltliche…

  Alle Treffer im Inhalt anzeigen
• eBook-Kapitel aus dem Buch Risikoquantifizierung

  Risikoaggregation

  Christoph Mayer

  …umgehen . Einkaufs- preise können sich ändern, die Absatzmengen können anders sein als geplant, For- derungen können ausfallen, Rechtstreitigkeiten haben… …für die Risikoaggregati- on . Die anschließende aggregierte Sicht auf Chancen und Risiken ist eine zwingende Ergänzung der isolierten… …Einzelrisikobetrachtung . Denn nur die Sicht auf die Risiken in ihrer Gesamtheit ermöglicht sinnvolle Aussagen für die Beurteilung der wirt- schaftlichen Situation eines… …Geschäftsjahres stellt sich heraus, dass der Einkaufspreis bei 55 € liegen könnte, was die Marge pro Stück um 20 € erhöhen würde . Für das Unternehmen besteht… …für die einzelnen Risiken eine Normalverteilung angenommen wird, ist eine Risikoaggre- gation mittels der Varianz-Kovarianz-Methode möglich . Diese wird… …führt jedoch zum falschen Ergebnis . Denn tatsächlich besteht für das Unternehmen bei einer neuen Marge von 60 € pro Stück (115 € Verkaufspreis… …resultiert aus argumentativ notwendigen Fallunterscheidungen für die verschiedenen möglichen Kombinationen . Das obige Beispiel in Tabelle 10 bzw… …. Abbildung 16 betrachtet nur zwei mögliche neue Margen sowie zwei mögliche neue Mengen . Die Betrachtung von je drei möglichen Szenarien für die neue Marge… …Berücksichtigung der in der Praxis möglichen beliebig vielen Aus- prägungen für die Risikofaktoren empfiehlt es sich, diese Größen jeweils mit einer… …wird hierauf verzichtet . Für die ökonomische Bewertung und resultieren- de Risikomaße hat dies praktisch keine Auswirkung . 37 Zu nennen sind hier…

  Alle Treffer im Inhalt anzeigen
• eBook-Kapitel aus dem Buch Risikoquantifizierung

  Stresstesting

  …oft solche unvorhergesehenen Konstellationen für existenzbedrohende Krisen verantwortlich . Das macht Stresstests zu wichtigen Instrumenten im Rahmen… …der Risikoquantifizie- rung . Um einzusehen, warum dies erforderlich ist, betrachten wir folgende Situation: Nehmen Sie für einen Moment an, sie… …, was mit welcher Wahrscheinlichkeit passieren kann – ein perfekter Anwendungsfall für die Risikoquantifizierung mit Wahr- scheinlichkeitsverteilungen… …. Doch was ist mit dem Dschungel? Über die Gefah- ren dort haben Sie keine Statistiken und Wahrscheinlichkeiten . Wie sollte also das Risikomanagement für… …den Dschungel aussehen? Zunächst ist klar, dass die bisher in diesem Leitfaden dargestellten Methoden zur Risikoquantifizierung für diesen Zweck nicht… …Effekte zu bewerten, – krisenhafte Veränderungen und Situationen zu quantifizieren und – interne Frühwarnungen für notwendige Anpassungen der… …Risikostruktur aufzu- zeigen. In Abgrenzung zu einer „Szenario-Betrachtung“, die sich allgemeiner auf beliebige Szenarios z. B. für Planungszwecke bezieht… …Sicherheitsüberprüfung für Kernkraft- werke in der Europäischen Union. Betrachtet man Stresstesting als Prozess, lassen sich grob drei Phasen abgrenzen (siehe Abbildung… …Szenario-Quantifizierung versucht man, die Auswirkun- gen des Eintritts der ausgewählten Szenarios abzuschätzen. – In einem letzten Schritt gilt es, die Ergebnisse für… …: Überblick Stresstesting-Prozess 84 Stefan Wilke Für die Risikoquantifizierung sind vor allem die ersten beiden Prozessschritte rele- vant . Diese werden…

  Alle Treffer im Inhalt anzeigen