- Anzeigen -


Sie sind hier: Home » Fachbeiträge » Grundlagen

IT-gestützte Compliance ist kein Hexenwerk


Compliance-Vorgaben: Ob Bundesdatenschutzgesetz, GDPdU, MaRisk, Basel II und III oder Sarbanes-Oxley – all diese Regelwerke halten die unzähligen Anforderungen an die Compliance eines Unternehmens fest
Compliance gilt für alle Fachbereiche eines Unternehmens, auch für die IT-Abteilung: In den meisten Unternehmen sind heutzutage alle Daten elektronisch gespeichert und sämtliche Geschäftsprozesse in Software abgebildet

Autor: Ralf Nemeyer
Autor: Ralf Nemeyer Pragmatische Vorgehensweise führt zu nachhaltiger Compliance und schont das IT-Budget, Bild: Computacenter

Von Ralf Nemeyer, Principal Consultant Secure Information, Computacenter AG & Co. oHG

(05.05.15) - Compliance wird immer wichtiger. Unternehmen müssen umfangreiche gesetzliche Vorgaben und Richtlinien einhalten und deren Befolgung auch nachweisen. Bei Rechtsverletzungen drohen empfindliche Strafen und ein erheblicher Imageschaden. Doch viele Firmen sind mit dem Compliance-Management überfordert. Abhilfe schafft hier ein pragmatischer, IT-gestützter Ansatz wie das Compliance-Framework von Computacenter, das die Regularien mit den entsprechenden IT- und Geschäftsprozessen verzahnt und Abweichungen erkennt.

Compliance gilt für alle Fachbereiche eines Unternehmens, auch für die IT-Abteilung. In den meisten Unternehmen sind heutzutage alle Daten elektronisch gespeichert und sämtliche Geschäftsprozesse in Software abgebildet. Angesichts der zentralen Rolle der IT fordert der Gesetzgeber verstärkt IT-Sicherheit und Datenschutz. Daher ist IT-Compliance oft geschäftskritisch für Unternehmen.

Ganz allgemein bedeutet Compliance, dass Unternehmen die Einhaltung von gesetzlichen Vorgaben sicherstellen und überwachen sowie auch eigene Richtlinien befolgen. Diese Regeln sollen den Missbrauch von vertraulichen Daten verhindern, mögliche Schadensersatzklagen sowie einen Imageschaden des Unternehmens abwehren. In vielen Branchen, vor allem bei Banken und Versicherungen, wächst zudem der Audit- und Zertifizierungsdruck.

Vor allem seit der weltweiten Bankenkrise nimmt die BaFin (Bundesanstalt für Finanzdienstleistungsaufsicht) Kreditinstitute verschärft unter die Lupe. Auch bei Unternehmen anderer Branchen führen Wirtschaftsprüfer in regelmäßigen Abständen Audits durch. Regelverstöße können hier ein schmerzhaftes Nachspiel haben.

Komplexe und umfangreiche Regelwerke
Doch die Flut von Compliance-Vorgaben stellt Unternehmen vor große Herausforderungen. Ob Bundesdatenschutzgesetz, GDPdU, MaRisk, Basel II und III oder Sarbanes-Oxley – all diese Regelwerke halten die unzähligen Anforderungen an die Compliance eines Unternehmens fest. Die Komplexität dieser Aufgabe ist enorm, denn nicht selten umfassen die Compliance-Handbücher um die Tausend Regelungen, die internationale Unternehmen sogar noch in länderspezifische Vorgaben übersetzen müssen.

Ein Beispiel: Bei einem namhaften Automobilhersteller weist allein das Regel-Kompendium für IT-Sicherheit knapp 1.300 Einträge auf. IT-Systeme gelten in der Automobilindustrie zunehmend als kritischer Compliance-Faktor. In der integrierten Lieferkette sind die IT-Infrastrukturen von Auftraggebern und Zulieferern mittlerweile hochgradig vernetzt, so dass sie teilweise automatisch Daten austauschen. Zudem dringt die Digitalisierung immer weiter in produktionsnahe Bereiche vor. Das Risiko steigt: Fallen Server im Rechenzentrum aus, steht möglicherweise eine komplette Fertigungslinie still. Daher beziehen sich Zertifizierungen in dieser Branche mittlerweile verstärkt auch auf die IT-Landschaft. Die Automobil-Hersteller und -Zulieferer müssen hier die Verfügbarkeit und Compliance sicherstellen.

Erstellen des Compliance-Regelwerks

Darum geht es:
Darum geht es: Die Flut von Compliance-Vorgaben stellt Unternehmen vor große Herausforderungen, Bild: Computacenter


Präzise versus unscharf: Zwei Kategorien von Compliance-Regeln
Grundsätzlich gibt es zwei Kategorien von Compliance-Regeln. Die erste Gruppe umfasst eindeutig definierte Standards, die das geforderte Sicherheitsniveau präzise festlegen und genau vorschreiben, welche Schutzmaßnahmen an welcher Stelle implementiert werden müssen. Ein Beispiel dafür ist der Payment Card Industry Data Security Standard PCI-DSS, der bei der sicheren Abrechnung von Kreditkarten-Transaktionen eine zentrale Rolle spielt.

Etwas problematischer ist die zweite, deutlich größere Kategorie der Compliance-Richtlinien, die eher allgemein formuliert sind und Interpretations-Spielraum zulassen. Diese Klasse legt lediglich fest, dass Unternehmen bestimmte Themengebiete angemessen abdecken müssen. Ein Beispiel ist die Netzwerksicherheit. Hier muss das Unternehmen über die konkrete Umsetzung selbst entscheiden, sei es durch Aufteilung der Netze in bestimmte Zonen, Vergabe von unterschiedlichen Berechtigungen oder Verschlüsselung.

Diskrepanz zwischen Compliance-Theorie und Business-Praxis
Verantwortlich für das Erstellen des Compliance-Regelwerks ist der Chief Information Security Officer (CISO), Compliance Manager oder ein dezidiertes Compliance-Team. Sie sichten alle externen Anforderungen und formulieren die für das Unternehmen relevanten Regularien in interne Richtlinien um. Eine Großbank beispielsweise muss hier die deutschen MaRisk (Mindestanforderungen für Risikomanagement)beachten sowie auch ähnliche nationale Vorschriften all jener Länder, in denen sie Niederlassungen unterhält. In Asien wären das etwa die Technology Risk Management Guidelines (TMRG) der Monetary Authority of Singapore. Mit all diesen Vorgaben kann ein Compliance-Handbuch schnell unhandlich werden.

Mit der Interpretation der Regeln und der praktischen Umsetzung im Alltag hat die Compliance-Abteilung jedoch nichts mehr zu tun. Für diese komplexe Aufgabe sind die jeweiligen Fachabteilungen zuständig – neben ihrem Tagesgeschäft. Wie soll beispielsweise der IT-Betrieb neben seinen alltäglichen Aufgaben noch die Zeit finden, die umfangreichen Compliance-Handbücher gewissenhaft zu lesen? Kein Wunder also, dass manche Unternehmen Compliance nicht 100prozentig umsetzen können, zumal sich einige der definierten Regeln mit der Praxis der operativen Einheiten kaum vereinbaren lassen.

Vor diesem Hintergrund entstehen in vielen Unternehmen Konflikte zwischen den Verantwortlichen der Fachabteilungen und dem Compliance-Team. Hier sollten sich Unternehmen einen neutralen Beratungspartner ins Boot holen, der einen konstruktiven Dialog zwischen den beiden Parteien moderiert. Er kann diese internen Konflikte entschärfen, indem er die Anforderungen von Compliance-Theorie und Business-Praxis zusammenführt. Die Compliance-Verantwortlichen müssen mit den operativen Bereichen vor allem besprechen, wie sie die Regularien auf ihre täglichen Prozesse anwenden können.

Denn genau darum geht es: Unternehmen müssen in der Lage sein, die Compliance-relevanten Anforderungen der davon betroffenen Businessfunktion beziehungsweise dem entsprechenden Unternehmensprozess zuzuordnen – am besten automatisiert mit Hilfe von IT. So lässt sich jede Aktion daraufhin prüfen, ob sie den gesetzlichen Vorgaben sowie den internen Richtlinien entspricht.

Fünf Schritte zur Compliance
Basierend auf Best Practices aus dem Beratungsalltag hat Computacenter dazu einen pragmatischen Ansatz entwickelt, mit dem Unternehmen in fünf Schritten ein automatisiertes Compliance-Management umsetzen können:

1. Der erste Schritt besteht in der Bestandsaufnahme aller Anforderungen, die für die Compliance von Unternehmen relevant sind. Die Palette reicht von internen Richtlinien über die Anforderungen von Wirtschaftsprüfern bis hin zu nationalen und internationalen Regularien.

2. Im zweiten Schritt folgt der Aufbau des so genannten Control Backbones, einer Datenbank, die alle Security-relevanten Themen umfasst und die jeweiligen Anforderungen mit den verschiedenen IT-Themenbereichen verknüpft – zum Beispiel Netzwerksicherheit, Verschlüsselung, Authentifizierung, Incident Management oder allgemeinen Sicherheitsrichtlinien. Einen guten Überblick über die IT-Themen bietet hier die Norm ISO/IEC 27001, Annex A, die wichtige Anforderungen für geeignete Sicherheitsmechanismen zum Schutz sämtlicher Werte in der IT spezifiziert. Alle für IT-Sicherheit relevanten Einzelanforderungen der einschlägigen Regularien und unternehmenseigenen Richtlinien werden im Control Backbone dem entsprechenden IT-Themenbereich zugeordnet. An diesem Punkt zeigen sich meist auch jene Redundanzen, die für den unbeherrschbaren Umfang mancher Regelwerke verantwortlich waren. Das Control Backbone bildet durch die Verknüpfung der Anforderungen mit den IT-Themen die zentrale Basis der automatisierten Compliance-Prozesse.

3. Im dritten Schritt werden die konkreten, in der täglichen Praxis gelebten unternehmensspezifischen Prozesse und Abläufe identifiziert und dokumentiert und

4. gemeinsam mit dem Control Backbone in das so genannte Control Framework integriert.

5. Abschließend prüft ein datenbankbasierter Scanner, ob und wie die technischen und organisatorischen Richtlinien von den Abteilungen im Alltag tatsächlich umgesetzt werden. Die Datenbank zeigt automatisch an, ob die technischen Compliance-Anforderungen erfüllt werden, beispielsweise bei der Vergabe von Server-Passwörtern und der Deaktivierung von Gast- und Default-Accounts. Diese Ergebnisse dienen bei Audits als Beweise dafür, dass die erforderlichen Vorschriften eingehalten werden. Die Einhaltung der organisatorischen Regeln wird mit einem spezifischen Fragenkatalog überprüft. Nutzer geben darin an, wie sie welche Aufgaben erledigen.

Nachhaltige Compliance mit dem Compliance Framework
Diese pragmatische Vorgehensweise führt zu nachhaltiger Compliance und schont das IT-Budget. Das Control Backbone, das sich innerhalb von wenigen Wochen schrittweise zu einem umfassenden Compliance Framework erweitern lässt, zeigt künftig für jede einzelne Unternehmensrichtlinie über wenige Mausklicks an, ob sie eingehalten wird – oder eben nicht. Damit bereiten sich Unternehmen nicht nur einmalig auf ein Audit vor, sondern legen zugleich den Grundstein für ein langfristiges Compliance Management.

Denn nach Abschluss des Projekts kann das Unternehmen selbstständig neue Regeln einarbeiten, mögliche Regelverstöße erkennen und diese unverzüglich beseitigen. Der Compliance-Check lässt sich über die zugrunde liegende Datenbank mit integrierten Reports und vorgefertigten Templates zudem weitgehend automatisieren. Fazit: Das effektive, kostensparende und IT-gestützte Compliance Framework von Computacenter macht Unternehmen fit für alle zukünftigen Compliance-Anforderungen. (Computacenter: ra)

Lesen Sie auch den Schwerpunkt:
"IT-Sicherheit im Kontext von Compliance"

- Anzeigen -





Kostenloser IT SecCity-Newsletter
Ihr IT SecCity-Newsletter hier >>>>>>

- Anzeigen -


Meldungen: Grundlagen

  • PKI ist im 21. Jahrhundert angekommen

    Um ein IoT-Ökosystem sicher aufzubauen und zu entwickeln, braucht man zwingend Tools und Architekturen, um IoT-Geräte zu identifizieren, zu kontrollieren und zu verwalten. Dieser Prozess beginnt mit dem Festlegen einer starken Identität für jedes IoT-Gerät. Der folgende Beitrag beschäftigt sich mit einigen der Möglichkeiten, wie man die Authentizität von IoT-Geräten verifizieren kann, bevor man sie integriert. Die IoT-Entwicklung durchdringt mittlerweile alle Facetten unseres Lebens. Entsprechend rasant ist das Innovationstempo in diesem Bereich. Es existieren viele Anwendungen, die klug und ausgereift sind, aber leider auch solche, die das genaue Gegenteil davon sind. Dessen ungeachtet sind die weitaus meisten Anwendungen sehr wirkungsvoll etwa in der Landwirtschaft oder im Gesundheitswesen. Das IoT ist also nicht mehr weg zu denken. Trotzdem mutet die Entwicklung bisweilen so an, als versuche jemand zu rennen bevor er noch überhaupt laufen gelernt hat. Übersetzt heißt das, IoT-Entwickler vernachlässigen eine Kernkomponente unserer vernetzten Welt, die Sicherheit.

  • Mustererkennung umgehen

    Ob Viren, Würmer, Bots, Trojaner oder Keylogger, viele der gängigen Malware-Formen bergen nicht nur ein hohes Schadenspotential, sondern sind auch überaus wandlungsfähig. Ein berüchtigtes Beispiel ist die CryptoWall-Ransomware, mit der Cyberkriminelle nach Schätzung des FBI mehr als 18 Millionen Dollar erbeutet haben. CryptoWall ist ein polymorpher Ransomware-Stamm, der in bekannter Manier Daten auf dem Computer des Opfers verschlüsselt und anschließend Lösegeld erpresst. Der in CryptoWall verwendete polymorphe Builder entwickelt dabei für jedes Angriffsziel eine im Wesentlichen neue Code-Variante, um der Entdeckung durch traditionelle Sicherheitslösungen zu entgehen. Polymorphe Malware ändert ständig ihre identifizierbaren Merkmale, beispielsweise durch Veränderung von Dateinamen und -typen, Verschlüsselung oder Komprimierung. Einige polymorphe Taktiken existieren bereits seit den 1990ern, doch in den letzten zehn Jahren hat sich eine neue Welle aggressiver polymorpher Malware entwickelt.

  • Unterschätztes Risiko Insider-Angriff

    Beim Stichwort Cyber-Bedrohung denkt man häufig an großangelegte Malware-Angriffe wie Ransomware, mit denen Kriminelle versuchen, das Firmennetzwerk zu kompromittieren. Unterschätzt wird jedoch oft eine Gefahr, die bereits im Firmengebäude sitzt: Die Insider-Bedrohung. Insider - seien es unachtsame Angestellte oder böswillige Mitarbeiter, die aus finanziellen oder persönlichen Motiven Daten stehlen oder gar löschen - sind ein enormes Risiko für die Datensicherheit in Unternehmen. Oft haben Angestellte, externe Auftragnehmer und andere Dritte legitimen Zugriff auf sensible Daten, um effektiv und flexibel arbeiten zu können. Dies stellt eine Herausforderung für Sicherheitsteams dar, denn es ist wesentlich schwieriger, Bedrohungen zu erkennen, wenn der betreffende Akteur gültigen Zugriff auf Unternehmensdaten hat. Mit entsprechenden Richtlinien und Technologien kann die Gefahr eines internen Datenverlustes oder -diebstahls jedoch erheblich reduziert werden.

  • Crashtest für die IT-Sicherheit

    Im Jahr 2016 stoppten zwei Automobilzulieferer die Belieferung ihres Kunden Volkswagen. Dies führte bei Volkswagen zu erheblichen Verzögerungen in der Produktion und führte zu Verlusten von schätzungsweise bis zu 100 Millionen Euro. Diese damals sehr öffentliche Konfrontation veranschaulichte aber auch, wie anfällig die komplexe Automobil-Zulieferkette für Störungen sein kann. Da die IT-Anwendungen in diesem komplexen System immer wichtiger werden, haben die Automobilhersteller damit begonnen zu prüfen, ob die IT ihrer Zulieferer auf dem neuesten Stand und nicht durch ungeplante Ausfallzeiten gefährdet ist. Damit rücken die BC/DR-Strategien der Automobilzulieferer in den Fokus ihrer Hauptkunden. Für diese Lieferanten ist es an der Zeit, zu prüfen, ob ihre Strategien aktuell sind. Falls nicht, sollten sie auf eine modernere IT-Resilienz-Lösung umsteigen.

  • Eine sichere Zukunft für das Internet der Dinge

    Mittlerweile kontrollieren wir die Steuerung von Licht und Heizung über Amazon Echo, lassen die Leistung des PKW remote analysieren und potenzielle Fehler diagnostizieren, und wir verlassen uns auf die automatisierte Verwaltung von Systemen in betrieblichen Umgebungen. Das Internet der Dinge (Internet of Things - IoT) bestimmt bereits viele Aspekte dessen wie wir arbeiten und leben. Ein Ende des Booms ist nicht abzusehen. In immer neuen Studien gehen die prognostizierten Zahlen weiter nach oben. Inzwischen gehen Schätzungen davon aus, dass die Zahl der vernetzten Geräte innerhalb der nächsten drei Jahre auf 30 Milliarden anwachsen wird, bereits im Jahr 2025 soll sie sogar bei 80 Milliarden Dingen liegen.

Computacenter: Kontakt und Steckbrief

Der Informationsanbieter hat seinen Kontakt leider noch nicht freigeschaltet.