- Anzeigen -


Sie sind hier: Home » Fachbeiträge » Grundlagen

IT-gestützte Compliance ist kein Hexenwerk


Compliance-Vorgaben: Ob Bundesdatenschutzgesetz, GDPdU, MaRisk, Basel II und III oder Sarbanes-Oxley – all diese Regelwerke halten die unzähligen Anforderungen an die Compliance eines Unternehmens fest
Compliance gilt für alle Fachbereiche eines Unternehmens, auch für die IT-Abteilung: In den meisten Unternehmen sind heutzutage alle Daten elektronisch gespeichert und sämtliche Geschäftsprozesse in Software abgebildet

Autor: Ralf Nemeyer
Autor: Ralf Nemeyer Pragmatische Vorgehensweise führt zu nachhaltiger Compliance und schont das IT-Budget, Bild: Computacenter

Von Ralf Nemeyer, Principal Consultant Secure Information, Computacenter AG & Co. oHG

(05.05.15) - Compliance wird immer wichtiger. Unternehmen müssen umfangreiche gesetzliche Vorgaben und Richtlinien einhalten und deren Befolgung auch nachweisen. Bei Rechtsverletzungen drohen empfindliche Strafen und ein erheblicher Imageschaden. Doch viele Firmen sind mit dem Compliance-Management überfordert. Abhilfe schafft hier ein pragmatischer, IT-gestützter Ansatz wie das Compliance-Framework von Computacenter, das die Regularien mit den entsprechenden IT- und Geschäftsprozessen verzahnt und Abweichungen erkennt.

Compliance gilt für alle Fachbereiche eines Unternehmens, auch für die IT-Abteilung. In den meisten Unternehmen sind heutzutage alle Daten elektronisch gespeichert und sämtliche Geschäftsprozesse in Software abgebildet. Angesichts der zentralen Rolle der IT fordert der Gesetzgeber verstärkt IT-Sicherheit und Datenschutz. Daher ist IT-Compliance oft geschäftskritisch für Unternehmen.

Ganz allgemein bedeutet Compliance, dass Unternehmen die Einhaltung von gesetzlichen Vorgaben sicherstellen und überwachen sowie auch eigene Richtlinien befolgen. Diese Regeln sollen den Missbrauch von vertraulichen Daten verhindern, mögliche Schadensersatzklagen sowie einen Imageschaden des Unternehmens abwehren. In vielen Branchen, vor allem bei Banken und Versicherungen, wächst zudem der Audit- und Zertifizierungsdruck.

Vor allem seit der weltweiten Bankenkrise nimmt die BaFin (Bundesanstalt für Finanzdienstleistungsaufsicht) Kreditinstitute verschärft unter die Lupe. Auch bei Unternehmen anderer Branchen führen Wirtschaftsprüfer in regelmäßigen Abständen Audits durch. Regelverstöße können hier ein schmerzhaftes Nachspiel haben.

Komplexe und umfangreiche Regelwerke
Doch die Flut von Compliance-Vorgaben stellt Unternehmen vor große Herausforderungen. Ob Bundesdatenschutzgesetz, GDPdU, MaRisk, Basel II und III oder Sarbanes-Oxley – all diese Regelwerke halten die unzähligen Anforderungen an die Compliance eines Unternehmens fest. Die Komplexität dieser Aufgabe ist enorm, denn nicht selten umfassen die Compliance-Handbücher um die Tausend Regelungen, die internationale Unternehmen sogar noch in länderspezifische Vorgaben übersetzen müssen.

Ein Beispiel: Bei einem namhaften Automobilhersteller weist allein das Regel-Kompendium für IT-Sicherheit knapp 1.300 Einträge auf. IT-Systeme gelten in der Automobilindustrie zunehmend als kritischer Compliance-Faktor. In der integrierten Lieferkette sind die IT-Infrastrukturen von Auftraggebern und Zulieferern mittlerweile hochgradig vernetzt, so dass sie teilweise automatisch Daten austauschen. Zudem dringt die Digitalisierung immer weiter in produktionsnahe Bereiche vor. Das Risiko steigt: Fallen Server im Rechenzentrum aus, steht möglicherweise eine komplette Fertigungslinie still. Daher beziehen sich Zertifizierungen in dieser Branche mittlerweile verstärkt auch auf die IT-Landschaft. Die Automobil-Hersteller und -Zulieferer müssen hier die Verfügbarkeit und Compliance sicherstellen.

Erstellen des Compliance-Regelwerks

Darum geht es:
Darum geht es: Die Flut von Compliance-Vorgaben stellt Unternehmen vor große Herausforderungen, Bild: Computacenter


Präzise versus unscharf: Zwei Kategorien von Compliance-Regeln
Grundsätzlich gibt es zwei Kategorien von Compliance-Regeln. Die erste Gruppe umfasst eindeutig definierte Standards, die das geforderte Sicherheitsniveau präzise festlegen und genau vorschreiben, welche Schutzmaßnahmen an welcher Stelle implementiert werden müssen. Ein Beispiel dafür ist der Payment Card Industry Data Security Standard PCI-DSS, der bei der sicheren Abrechnung von Kreditkarten-Transaktionen eine zentrale Rolle spielt.

Etwas problematischer ist die zweite, deutlich größere Kategorie der Compliance-Richtlinien, die eher allgemein formuliert sind und Interpretations-Spielraum zulassen. Diese Klasse legt lediglich fest, dass Unternehmen bestimmte Themengebiete angemessen abdecken müssen. Ein Beispiel ist die Netzwerksicherheit. Hier muss das Unternehmen über die konkrete Umsetzung selbst entscheiden, sei es durch Aufteilung der Netze in bestimmte Zonen, Vergabe von unterschiedlichen Berechtigungen oder Verschlüsselung.

Diskrepanz zwischen Compliance-Theorie und Business-Praxis
Verantwortlich für das Erstellen des Compliance-Regelwerks ist der Chief Information Security Officer (CISO), Compliance Manager oder ein dezidiertes Compliance-Team. Sie sichten alle externen Anforderungen und formulieren die für das Unternehmen relevanten Regularien in interne Richtlinien um. Eine Großbank beispielsweise muss hier die deutschen MaRisk (Mindestanforderungen für Risikomanagement)beachten sowie auch ähnliche nationale Vorschriften all jener Länder, in denen sie Niederlassungen unterhält. In Asien wären das etwa die Technology Risk Management Guidelines (TMRG) der Monetary Authority of Singapore. Mit all diesen Vorgaben kann ein Compliance-Handbuch schnell unhandlich werden.

Mit der Interpretation der Regeln und der praktischen Umsetzung im Alltag hat die Compliance-Abteilung jedoch nichts mehr zu tun. Für diese komplexe Aufgabe sind die jeweiligen Fachabteilungen zuständig – neben ihrem Tagesgeschäft. Wie soll beispielsweise der IT-Betrieb neben seinen alltäglichen Aufgaben noch die Zeit finden, die umfangreichen Compliance-Handbücher gewissenhaft zu lesen? Kein Wunder also, dass manche Unternehmen Compliance nicht 100prozentig umsetzen können, zumal sich einige der definierten Regeln mit der Praxis der operativen Einheiten kaum vereinbaren lassen.

Vor diesem Hintergrund entstehen in vielen Unternehmen Konflikte zwischen den Verantwortlichen der Fachabteilungen und dem Compliance-Team. Hier sollten sich Unternehmen einen neutralen Beratungspartner ins Boot holen, der einen konstruktiven Dialog zwischen den beiden Parteien moderiert. Er kann diese internen Konflikte entschärfen, indem er die Anforderungen von Compliance-Theorie und Business-Praxis zusammenführt. Die Compliance-Verantwortlichen müssen mit den operativen Bereichen vor allem besprechen, wie sie die Regularien auf ihre täglichen Prozesse anwenden können.

Denn genau darum geht es: Unternehmen müssen in der Lage sein, die Compliance-relevanten Anforderungen der davon betroffenen Businessfunktion beziehungsweise dem entsprechenden Unternehmensprozess zuzuordnen – am besten automatisiert mit Hilfe von IT. So lässt sich jede Aktion daraufhin prüfen, ob sie den gesetzlichen Vorgaben sowie den internen Richtlinien entspricht.

Fünf Schritte zur Compliance
Basierend auf Best Practices aus dem Beratungsalltag hat Computacenter dazu einen pragmatischen Ansatz entwickelt, mit dem Unternehmen in fünf Schritten ein automatisiertes Compliance-Management umsetzen können:

1. Der erste Schritt besteht in der Bestandsaufnahme aller Anforderungen, die für die Compliance von Unternehmen relevant sind. Die Palette reicht von internen Richtlinien über die Anforderungen von Wirtschaftsprüfern bis hin zu nationalen und internationalen Regularien.

2. Im zweiten Schritt folgt der Aufbau des so genannten Control Backbones, einer Datenbank, die alle Security-relevanten Themen umfasst und die jeweiligen Anforderungen mit den verschiedenen IT-Themenbereichen verknüpft – zum Beispiel Netzwerksicherheit, Verschlüsselung, Authentifizierung, Incident Management oder allgemeinen Sicherheitsrichtlinien. Einen guten Überblick über die IT-Themen bietet hier die Norm ISO/IEC 27001, Annex A, die wichtige Anforderungen für geeignete Sicherheitsmechanismen zum Schutz sämtlicher Werte in der IT spezifiziert. Alle für IT-Sicherheit relevanten Einzelanforderungen der einschlägigen Regularien und unternehmenseigenen Richtlinien werden im Control Backbone dem entsprechenden IT-Themenbereich zugeordnet. An diesem Punkt zeigen sich meist auch jene Redundanzen, die für den unbeherrschbaren Umfang mancher Regelwerke verantwortlich waren. Das Control Backbone bildet durch die Verknüpfung der Anforderungen mit den IT-Themen die zentrale Basis der automatisierten Compliance-Prozesse.

3. Im dritten Schritt werden die konkreten, in der täglichen Praxis gelebten unternehmensspezifischen Prozesse und Abläufe identifiziert und dokumentiert und

4. gemeinsam mit dem Control Backbone in das so genannte Control Framework integriert.

5. Abschließend prüft ein datenbankbasierter Scanner, ob und wie die technischen und organisatorischen Richtlinien von den Abteilungen im Alltag tatsächlich umgesetzt werden. Die Datenbank zeigt automatisch an, ob die technischen Compliance-Anforderungen erfüllt werden, beispielsweise bei der Vergabe von Server-Passwörtern und der Deaktivierung von Gast- und Default-Accounts. Diese Ergebnisse dienen bei Audits als Beweise dafür, dass die erforderlichen Vorschriften eingehalten werden. Die Einhaltung der organisatorischen Regeln wird mit einem spezifischen Fragenkatalog überprüft. Nutzer geben darin an, wie sie welche Aufgaben erledigen.

Nachhaltige Compliance mit dem Compliance Framework
Diese pragmatische Vorgehensweise führt zu nachhaltiger Compliance und schont das IT-Budget. Das Control Backbone, das sich innerhalb von wenigen Wochen schrittweise zu einem umfassenden Compliance Framework erweitern lässt, zeigt künftig für jede einzelne Unternehmensrichtlinie über wenige Mausklicks an, ob sie eingehalten wird – oder eben nicht. Damit bereiten sich Unternehmen nicht nur einmalig auf ein Audit vor, sondern legen zugleich den Grundstein für ein langfristiges Compliance Management.

Denn nach Abschluss des Projekts kann das Unternehmen selbstständig neue Regeln einarbeiten, mögliche Regelverstöße erkennen und diese unverzüglich beseitigen. Der Compliance-Check lässt sich über die zugrunde liegende Datenbank mit integrierten Reports und vorgefertigten Templates zudem weitgehend automatisieren. Fazit: Das effektive, kostensparende und IT-gestützte Compliance Framework von Computacenter macht Unternehmen fit für alle zukünftigen Compliance-Anforderungen. (Computacenter: ra)

Lesen Sie auch den Schwerpunkt:
"IT-Sicherheit im Kontext von Compliance"

- Anzeigen -





Kostenloser IT SecCity-Newsletter
Ihr IT SecCity-Newsletter hier >>>>>>

- Anzeigen -


Meldungen: Grundlagen

  • Ransomware: Es kommt schlimmer

    Seit ich im Jahr 2014 meine erste Keynote zu diesem Thema gehalten habe beschäftige ich mich mit Ransomware-Prognosen. Seinerzeit wagte ich etwa ein Dutzend Vorhersagen und tatsächlich sind alle eingetroffen. Vor kurzem wurde ich gebeten einen Beitrag für das ITSP Magazine beizusteuern. Und dieses Mal sollten die Prognosen nicht nur spezifischer sein, sondern die Sache auf die Spitze treiben. Sprich, welche Prognosen kommen dabei heraus, wenn man die aktuellen Szenarien bis zu Ende denkt. Soviel lässt sich sagen, alle sind einigermaßen beängstigend. Soeben hat eine Analyse von @David Formby eine der schlimmsten Befürchtungen bestätigt: Kritische Infrastrukturen geraten zunehmend ins Visier von Ransomware-Attacken (Targeting Critical Infrastructure for Ransom). Im letzten Frühjahr litten vornehmlich Krankenhäuser unter der sogenannten SamSam-Ransomware, und im Rahmen unserer Incident Containment-Methode haben wir drei Dinge übereinstimmend festgestellt.

  • Von IT-Sicherheitsexperten lernen

    Die Varonis Blog-Autoren haben inzwischen mit etlichen Sicherheitsexperten aus den unterschiedlichsten Bereichen gesprochen: mit Penetrationstestern, Anwälten, CDOs, Datenschützern, IT-Experten und sogar einem IT-Security-Guru. Wir haben die wichtigsten Analysen und Tipps hier für Sie zusammengetragen. Die Weltformel: Das Internet der Dinge (IoT) ist ein guter Ausgangspunkt, um seine Lehren in Sachen IT-Sicherheit zu ziehen. Mit dem IoT, also dem Internet der Dinge mit seiner überwältigen Zahl an Geräten, werden Unternehmen und Endverbraucher mit praktisch allen Datenschutz- und Datensicherheitsproblemen konfrontiert, die man sich denken kann.

  • Lösegeld-Erpressung über Ransomware

    Die Erpressung von Lösegeld war im abgelaufenen Jahr weltweit das häufigste Motiv für Angriffe auf Netzwerke, Server und Anwendungen von Unternehmen und Organisationen. Das geht aus dem jetzt veröffentlichten Global Application and Network Security Report 2016-2017 von Radware hervor, in dem über 40 Prozent der knapp 600 befragten Unternehmen angaben, dass die Lösegelderpressung 2016 der häufigste Grund für Angriffe auf ihre Netzwerke gewesen sei. Speziell in Europa liegt dieser Wert mit 49 Prozent noch deutlich höher als im weltweiten Durchschnitt. Die Erpressung von Lösegeld erfolgt in der Regel über Ransomware oder über Ransom Denial of Service (RDoS). Ransomware nennt man einen Trojaner, einen Wurm oder eine andere Schadsoftware, die ein System unter ihre Kontrolle bringt und den legitimen Zugriff darauf unmöglich macht, bis ein Lösegeld gezahlt wird (und manchmal auch darüber hinaus). In der Regel werden dabei die Daten verschlüsselt, und das Opfer muss für die Entschlüsselung zahlen.

  • Volumetrische DDoS-Angriffe abwehren

    Experten sind sich einig. IoT-Geräte - gerade für Endverbraucher - bekommen mangelnde Sicherheit quasi automatisch mitgeliefert. Und wir in den letzten Wochen die Quittung. Für Sicherheitsspezialisten keine große Überraschung, sie warnen schon lange. Die jüngsten Angriffe aber haben gezeigt, in welche Dimensionen uns IoT-basierte Botnetze bei DDoS-Angriffen katapultieren und welche Schäden sie in der Lage sind anzurichten. Die Attacke auf den DNS-Provider Dyn im Oktober dieses Jahres war ein solcher Weckruf. Das prognostizierte Szenario ist keine bloß theoretische Annahme mehr, sondern real. Und es gibt Handlungsbedarf. Unternehmen und Verbraucher fragen sich angesichts einer steigenden Zahl von im Internet der Dinge verbundenen Geräten wie sie sich besser schützen können. Es ist kein großes Geheimnis, dass IoT-fähige Geräte aus sicherheitstechnischer Hinsicht wenig überzeugend sind. Die überwiegende Zahl von ihnen integriert kaum Sicherheitsmechanismen, und ist mit äußerst simplen Standard-Passwörtern ausgestattet. Das macht die Geräte für potenzielle Angreifer zu einer leichten Beute. Die Folge: Hacker machen sie beispielsweise zum Teil eines Botnetzes von dem DDoS-Angriffe mit enormer Bandbreite ausgehen können.

  • S/MIME und wie es funktioniert

    S/MIME, oder Secure/Multipurpose Internet Mail Extensions, ist eine relativ bekannte Technologie um E-Mails zu verschlüsseln. S/MIME basiert auf asymmetrischer Verschlüsselung, um E-Mails vor unerwünschtem Zugriff zu schützen. Zusätzlich dient S/MIME dazu E-Mails digital zu signieren, um den legitimen Absender einer Nachricht als solchen zu verifizieren. Das macht S/MIME zu einer effektiven Waffe gegen verschiedene Arten von Phishing-Angriffen. Das ist, kurz gefasst, worum bei S/MIME geht. Wenn es allerdings darum geht, S/MIME praktisch einzusetzen, taucht meist noch eine Reihe von Fragen beim Anwender auf.

Computacenter: Kontakt und Steckbrief

Der Informationsanbieter hat seinen Kontakt leider noch nicht freigeschaltet.