- Anzeigen -


Sie sind hier: Home » Fachbeiträge » Grundlagen

IT-gestützte Compliance ist kein Hexenwerk


Compliance-Vorgaben: Ob Bundesdatenschutzgesetz, GDPdU, MaRisk, Basel II und III oder Sarbanes-Oxley – all diese Regelwerke halten die unzähligen Anforderungen an die Compliance eines Unternehmens fest
Compliance gilt für alle Fachbereiche eines Unternehmens, auch für die IT-Abteilung: In den meisten Unternehmen sind heutzutage alle Daten elektronisch gespeichert und sämtliche Geschäftsprozesse in Software abgebildet

Autor: Ralf Nemeyer
Autor: Ralf Nemeyer Pragmatische Vorgehensweise führt zu nachhaltiger Compliance und schont das IT-Budget, Bild: Computacenter

Von Ralf Nemeyer, Principal Consultant Secure Information, Computacenter AG & Co. oHG

(05.05.15) - Compliance wird immer wichtiger. Unternehmen müssen umfangreiche gesetzliche Vorgaben und Richtlinien einhalten und deren Befolgung auch nachweisen. Bei Rechtsverletzungen drohen empfindliche Strafen und ein erheblicher Imageschaden. Doch viele Firmen sind mit dem Compliance-Management überfordert. Abhilfe schafft hier ein pragmatischer, IT-gestützter Ansatz wie das Compliance-Framework von Computacenter, das die Regularien mit den entsprechenden IT- und Geschäftsprozessen verzahnt und Abweichungen erkennt.

Compliance gilt für alle Fachbereiche eines Unternehmens, auch für die IT-Abteilung. In den meisten Unternehmen sind heutzutage alle Daten elektronisch gespeichert und sämtliche Geschäftsprozesse in Software abgebildet. Angesichts der zentralen Rolle der IT fordert der Gesetzgeber verstärkt IT-Sicherheit und Datenschutz. Daher ist IT-Compliance oft geschäftskritisch für Unternehmen.

Ganz allgemein bedeutet Compliance, dass Unternehmen die Einhaltung von gesetzlichen Vorgaben sicherstellen und überwachen sowie auch eigene Richtlinien befolgen. Diese Regeln sollen den Missbrauch von vertraulichen Daten verhindern, mögliche Schadensersatzklagen sowie einen Imageschaden des Unternehmens abwehren. In vielen Branchen, vor allem bei Banken und Versicherungen, wächst zudem der Audit- und Zertifizierungsdruck.

Vor allem seit der weltweiten Bankenkrise nimmt die BaFin (Bundesanstalt für Finanzdienstleistungsaufsicht) Kreditinstitute verschärft unter die Lupe. Auch bei Unternehmen anderer Branchen führen Wirtschaftsprüfer in regelmäßigen Abständen Audits durch. Regelverstöße können hier ein schmerzhaftes Nachspiel haben.

Komplexe und umfangreiche Regelwerke
Doch die Flut von Compliance-Vorgaben stellt Unternehmen vor große Herausforderungen. Ob Bundesdatenschutzgesetz, GDPdU, MaRisk, Basel II und III oder Sarbanes-Oxley – all diese Regelwerke halten die unzähligen Anforderungen an die Compliance eines Unternehmens fest. Die Komplexität dieser Aufgabe ist enorm, denn nicht selten umfassen die Compliance-Handbücher um die Tausend Regelungen, die internationale Unternehmen sogar noch in länderspezifische Vorgaben übersetzen müssen.

Ein Beispiel: Bei einem namhaften Automobilhersteller weist allein das Regel-Kompendium für IT-Sicherheit knapp 1.300 Einträge auf. IT-Systeme gelten in der Automobilindustrie zunehmend als kritischer Compliance-Faktor. In der integrierten Lieferkette sind die IT-Infrastrukturen von Auftraggebern und Zulieferern mittlerweile hochgradig vernetzt, so dass sie teilweise automatisch Daten austauschen. Zudem dringt die Digitalisierung immer weiter in produktionsnahe Bereiche vor. Das Risiko steigt: Fallen Server im Rechenzentrum aus, steht möglicherweise eine komplette Fertigungslinie still. Daher beziehen sich Zertifizierungen in dieser Branche mittlerweile verstärkt auch auf die IT-Landschaft. Die Automobil-Hersteller und -Zulieferer müssen hier die Verfügbarkeit und Compliance sicherstellen.

Erstellen des Compliance-Regelwerks

Darum geht es:
Darum geht es: Die Flut von Compliance-Vorgaben stellt Unternehmen vor große Herausforderungen, Bild: Computacenter


Präzise versus unscharf: Zwei Kategorien von Compliance-Regeln
Grundsätzlich gibt es zwei Kategorien von Compliance-Regeln. Die erste Gruppe umfasst eindeutig definierte Standards, die das geforderte Sicherheitsniveau präzise festlegen und genau vorschreiben, welche Schutzmaßnahmen an welcher Stelle implementiert werden müssen. Ein Beispiel dafür ist der Payment Card Industry Data Security Standard PCI-DSS, der bei der sicheren Abrechnung von Kreditkarten-Transaktionen eine zentrale Rolle spielt.

Etwas problematischer ist die zweite, deutlich größere Kategorie der Compliance-Richtlinien, die eher allgemein formuliert sind und Interpretations-Spielraum zulassen. Diese Klasse legt lediglich fest, dass Unternehmen bestimmte Themengebiete angemessen abdecken müssen. Ein Beispiel ist die Netzwerksicherheit. Hier muss das Unternehmen über die konkrete Umsetzung selbst entscheiden, sei es durch Aufteilung der Netze in bestimmte Zonen, Vergabe von unterschiedlichen Berechtigungen oder Verschlüsselung.

Diskrepanz zwischen Compliance-Theorie und Business-Praxis
Verantwortlich für das Erstellen des Compliance-Regelwerks ist der Chief Information Security Officer (CISO), Compliance Manager oder ein dezidiertes Compliance-Team. Sie sichten alle externen Anforderungen und formulieren die für das Unternehmen relevanten Regularien in interne Richtlinien um. Eine Großbank beispielsweise muss hier die deutschen MaRisk (Mindestanforderungen für Risikomanagement)beachten sowie auch ähnliche nationale Vorschriften all jener Länder, in denen sie Niederlassungen unterhält. In Asien wären das etwa die Technology Risk Management Guidelines (TMRG) der Monetary Authority of Singapore. Mit all diesen Vorgaben kann ein Compliance-Handbuch schnell unhandlich werden.

Mit der Interpretation der Regeln und der praktischen Umsetzung im Alltag hat die Compliance-Abteilung jedoch nichts mehr zu tun. Für diese komplexe Aufgabe sind die jeweiligen Fachabteilungen zuständig – neben ihrem Tagesgeschäft. Wie soll beispielsweise der IT-Betrieb neben seinen alltäglichen Aufgaben noch die Zeit finden, die umfangreichen Compliance-Handbücher gewissenhaft zu lesen? Kein Wunder also, dass manche Unternehmen Compliance nicht 100prozentig umsetzen können, zumal sich einige der definierten Regeln mit der Praxis der operativen Einheiten kaum vereinbaren lassen.

Vor diesem Hintergrund entstehen in vielen Unternehmen Konflikte zwischen den Verantwortlichen der Fachabteilungen und dem Compliance-Team. Hier sollten sich Unternehmen einen neutralen Beratungspartner ins Boot holen, der einen konstruktiven Dialog zwischen den beiden Parteien moderiert. Er kann diese internen Konflikte entschärfen, indem er die Anforderungen von Compliance-Theorie und Business-Praxis zusammenführt. Die Compliance-Verantwortlichen müssen mit den operativen Bereichen vor allem besprechen, wie sie die Regularien auf ihre täglichen Prozesse anwenden können.

Denn genau darum geht es: Unternehmen müssen in der Lage sein, die Compliance-relevanten Anforderungen der davon betroffenen Businessfunktion beziehungsweise dem entsprechenden Unternehmensprozess zuzuordnen – am besten automatisiert mit Hilfe von IT. So lässt sich jede Aktion daraufhin prüfen, ob sie den gesetzlichen Vorgaben sowie den internen Richtlinien entspricht.

Fünf Schritte zur Compliance
Basierend auf Best Practices aus dem Beratungsalltag hat Computacenter dazu einen pragmatischen Ansatz entwickelt, mit dem Unternehmen in fünf Schritten ein automatisiertes Compliance-Management umsetzen können:

1. Der erste Schritt besteht in der Bestandsaufnahme aller Anforderungen, die für die Compliance von Unternehmen relevant sind. Die Palette reicht von internen Richtlinien über die Anforderungen von Wirtschaftsprüfern bis hin zu nationalen und internationalen Regularien.

2. Im zweiten Schritt folgt der Aufbau des so genannten Control Backbones, einer Datenbank, die alle Security-relevanten Themen umfasst und die jeweiligen Anforderungen mit den verschiedenen IT-Themenbereichen verknüpft – zum Beispiel Netzwerksicherheit, Verschlüsselung, Authentifizierung, Incident Management oder allgemeinen Sicherheitsrichtlinien. Einen guten Überblick über die IT-Themen bietet hier die Norm ISO/IEC 27001, Annex A, die wichtige Anforderungen für geeignete Sicherheitsmechanismen zum Schutz sämtlicher Werte in der IT spezifiziert. Alle für IT-Sicherheit relevanten Einzelanforderungen der einschlägigen Regularien und unternehmenseigenen Richtlinien werden im Control Backbone dem entsprechenden IT-Themenbereich zugeordnet. An diesem Punkt zeigen sich meist auch jene Redundanzen, die für den unbeherrschbaren Umfang mancher Regelwerke verantwortlich waren. Das Control Backbone bildet durch die Verknüpfung der Anforderungen mit den IT-Themen die zentrale Basis der automatisierten Compliance-Prozesse.

3. Im dritten Schritt werden die konkreten, in der täglichen Praxis gelebten unternehmensspezifischen Prozesse und Abläufe identifiziert und dokumentiert und

4. gemeinsam mit dem Control Backbone in das so genannte Control Framework integriert.

5. Abschließend prüft ein datenbankbasierter Scanner, ob und wie die technischen und organisatorischen Richtlinien von den Abteilungen im Alltag tatsächlich umgesetzt werden. Die Datenbank zeigt automatisch an, ob die technischen Compliance-Anforderungen erfüllt werden, beispielsweise bei der Vergabe von Server-Passwörtern und der Deaktivierung von Gast- und Default-Accounts. Diese Ergebnisse dienen bei Audits als Beweise dafür, dass die erforderlichen Vorschriften eingehalten werden. Die Einhaltung der organisatorischen Regeln wird mit einem spezifischen Fragenkatalog überprüft. Nutzer geben darin an, wie sie welche Aufgaben erledigen.

Nachhaltige Compliance mit dem Compliance Framework
Diese pragmatische Vorgehensweise führt zu nachhaltiger Compliance und schont das IT-Budget. Das Control Backbone, das sich innerhalb von wenigen Wochen schrittweise zu einem umfassenden Compliance Framework erweitern lässt, zeigt künftig für jede einzelne Unternehmensrichtlinie über wenige Mausklicks an, ob sie eingehalten wird – oder eben nicht. Damit bereiten sich Unternehmen nicht nur einmalig auf ein Audit vor, sondern legen zugleich den Grundstein für ein langfristiges Compliance Management.

Denn nach Abschluss des Projekts kann das Unternehmen selbstständig neue Regeln einarbeiten, mögliche Regelverstöße erkennen und diese unverzüglich beseitigen. Der Compliance-Check lässt sich über die zugrunde liegende Datenbank mit integrierten Reports und vorgefertigten Templates zudem weitgehend automatisieren. Fazit: Das effektive, kostensparende und IT-gestützte Compliance Framework von Computacenter macht Unternehmen fit für alle zukünftigen Compliance-Anforderungen. (Computacenter: ra)

Lesen Sie auch den Schwerpunkt:
"IT-Sicherheit im Kontext von Compliance"

- Anzeigen -





Kostenloser IT SecCity-Newsletter
Ihr IT SecCity-Newsletter hier >>>>>>

- Anzeigen -


Meldungen: Grundlagen

  • Große Zahl ungesicherter IoT-Geräte

    DDoS-Angriffe haben sich in den letzten sechs Monaten nahezu verdoppelt. Laut einer Studie von Corero Network Security entspricht das einem monatlichen Mittel von 237 Angriffsversuchen. Einer der Gründe für den Anstieg liegt in der hohen Zahl einfach zu übernehmenden IoT-Geräten, die zumeist nur unzureichend geschützt sind. Diese "smarten" Geräte eignen sich dann ganz vorzüglich um zu einem Teil eines riesigen Botnets zu werden. Dieses Problem wird sich weiter verschärfen. Dazu muss man nur an die unzähligen Gadgets für Endverbraucher denken, die etwa in der Weihnachtszeit über die physischen und virtuellen Ladentische gewandert sind. Diese Geräte sind eines der vordringlichen Ziele für die Übernahme durch Hacker. Neben den Bedenken, die man im Hinblick auf die Sicherheit der Privatsphäre und vertraulicher Daten hegen kann gibt es noch eine ganze Reihe von weiteren ernsthaften Gefahren, die mit diesen Geräten verbunden sind. Hacker machen sich unsichere IoT-Geräte zunutze um riesige Bot-Netze aufzubauen und DDoS-Attacken zu lancieren. Unsichere IoT-Devices waren in einigen der größten DDoS-Angriffe auf Online-Plattformen innerhalb der letzten Jahre beteiligt. Es spielt bei DDoS-Angriffen keine Rolle, wie groß ein Unternehmen ist. Gefährdet sind alle. Und sollten entsprechend Sorge tragen, was die Sicherheit ihrer Geräte, Daten und Netzwerke anbelangt.

  • A fool with a tool

    Unternehmen stehen heute vielfältige Sicherheitslösungen zur Verfügung. Doch ein Sammelsurium aus technischen Einzelmaßnahmen kann nur bedingt gegen Angriffe schützen. Vielmehr benötigen Unternehmen eine Informationssicherheitsstrategie, gestützt auf Prozesse und Tools die es einem Unternehmen ermöglichen, Informationssicherheit effizient und effektiv zu managen. Der Schlüssel zum Erfolg wird dabei im richtigen Mix aus Menschen und deren Fähigkeiten, Prozessen und Tools liegen. Nur so wird es Unternehmen gelingen proaktiv zu agieren und durch Antizipation zukünftiger Bedrohungen und entsprechender Vorbereitung die richtigen Maßnahmen zum Schutz ihrer sensiblen Daten zu treffen.

  • Was ist Certificate Transparency?

    Möglicherweise haben Sie schon vor einigen Jahren von Certificate Transparency (CT) gehört, als Google die Anforderung für alle Extended Validation (EV) SSL/TLS-Zertifikate ankündigte, die nach dem 1. Januar 2015 ausgestellt worden sind. Seitdem hat Google die Anforderung auf alle Arten von SSL-Zertifikaten ausgedehnt und zuletzt eine Frist bis zum April 2018 gesetzt. Zertifikaten, die nicht CT-qualifiziert sind und die nach diesem Datum ausgestellt werden, wird in Chrome nicht vertraut. GlobalSign hat im Hintergrund bereits daran gearbeitet, dass alle Zertifikate mit CT ausgestattet werden - Extended Validation (EV) seit 2015, Domain Validated (DV) seit August 2016 und Organisation Validated (OV) ab Oktober 2017 - GlobalSign-Kunden sind damit für den Fristablauf seitens Google gerüstet.

  • Wo ist der Authentifizierungsprozess fehlbar?

    Ich habe den größten Teil meines beruflichen Lebens damit verbracht Authentifizierungslösungen zu programmieren, zu implementieren, weiterzuentwickeln und zu patentieren. Daher nehme ich mir das Recht heraus zu sagen, letzten Endes funktioniert Authentifizierung einfach nicht. Mit "funktionieren" im engeren Sinne meine ich, dass es zu 100Prozent garantiert ist, dass es sich tatsächlich um eine vertrauenswürdige Identität handelt, wenn eine Benutzeridentität von einer Authentifizierungslösung an den betreffenden Partner weitergeleitet wird. Und genau das lässt sich nicht garantieren. Es lässt sich belegen, dass und wie der eigentliche Validierungsprozess innerhalb der Authentisierung funktioniert. Das bedeutet, wir verifizieren mathematisch und empirisch, dass die von einem Authentifizierungsmechanismus zusammengestellte Entität mit den Werten übereinstimmt, die in der Datenbank des akzeptierenden Dritten gespeichert sind, also "matched". Das kann ein Passwort sein, ein Einmal-Passwort, OTP, X.509-basierte Verschlüsselung, biometrische Merkmale, mobile Push-Werte oder eine Gesichtserkennung. In einem Satz: Der Authentisierungsprozess lässt sich validieren und damit auch, dass das technische System korrekt arbeitet.

  • Rollende Sicherheitslücken

    Viele Fahrzeuge sind heutzutage längst zu rollenden Computern geworden, denn bereits jetzt stecken in der Software eines modernen Oberklasse-PKW etwa 100 Millionen Codezeilen. Zum Vergleich: Die Flugsoftware einer Boeing 787 Dreamliner kommt mit etwa 14 Millionen Zeilen aus. Die Erwartungen an das zukünftige autonom fahrende Auto sind vielzählig: Mehr Sicherheit auf den Straßen, mehr Komfort, beispielsweise durch selbstständiges Einparken, die Nutzung eines Autopiloten im Stau oder komplett fahrerlose Roboterautos, welche im Car-Sharing-Verfahren neue Infrastrukturmöglichkeiten bieten könnten. Dem gegenüber stehen die Ängste: Bei Technikfehlern nur noch ein hilfloser Passagier an Board zu sein oder Opfer eines Hacker-Angriffs zu werden.

Computacenter: Kontakt und Steckbrief

Der Informationsanbieter hat seinen Kontakt leider noch nicht freigeschaltet.