- Anzeigen -


Sie sind hier: Home » Fachbeiträge » Grundlagen

IT-gestützte Compliance ist kein Hexenwerk


Compliance-Vorgaben: Ob Bundesdatenschutzgesetz, GDPdU, MaRisk, Basel II und III oder Sarbanes-Oxley – all diese Regelwerke halten die unzähligen Anforderungen an die Compliance eines Unternehmens fest
Compliance gilt für alle Fachbereiche eines Unternehmens, auch für die IT-Abteilung: In den meisten Unternehmen sind heutzutage alle Daten elektronisch gespeichert und sämtliche Geschäftsprozesse in Software abgebildet

Autor: Ralf Nemeyer
Autor: Ralf Nemeyer Pragmatische Vorgehensweise führt zu nachhaltiger Compliance und schont das IT-Budget, Bild: Computacenter

Von Ralf Nemeyer, Principal Consultant Secure Information, Computacenter AG & Co. oHG

(05.05.15) - Compliance wird immer wichtiger. Unternehmen müssen umfangreiche gesetzliche Vorgaben und Richtlinien einhalten und deren Befolgung auch nachweisen. Bei Rechtsverletzungen drohen empfindliche Strafen und ein erheblicher Imageschaden. Doch viele Firmen sind mit dem Compliance-Management überfordert. Abhilfe schafft hier ein pragmatischer, IT-gestützter Ansatz wie das Compliance-Framework von Computacenter, das die Regularien mit den entsprechenden IT- und Geschäftsprozessen verzahnt und Abweichungen erkennt.

Compliance gilt für alle Fachbereiche eines Unternehmens, auch für die IT-Abteilung. In den meisten Unternehmen sind heutzutage alle Daten elektronisch gespeichert und sämtliche Geschäftsprozesse in Software abgebildet. Angesichts der zentralen Rolle der IT fordert der Gesetzgeber verstärkt IT-Sicherheit und Datenschutz. Daher ist IT-Compliance oft geschäftskritisch für Unternehmen.

Ganz allgemein bedeutet Compliance, dass Unternehmen die Einhaltung von gesetzlichen Vorgaben sicherstellen und überwachen sowie auch eigene Richtlinien befolgen. Diese Regeln sollen den Missbrauch von vertraulichen Daten verhindern, mögliche Schadensersatzklagen sowie einen Imageschaden des Unternehmens abwehren. In vielen Branchen, vor allem bei Banken und Versicherungen, wächst zudem der Audit- und Zertifizierungsdruck.

Vor allem seit der weltweiten Bankenkrise nimmt die BaFin (Bundesanstalt für Finanzdienstleistungsaufsicht) Kreditinstitute verschärft unter die Lupe. Auch bei Unternehmen anderer Branchen führen Wirtschaftsprüfer in regelmäßigen Abständen Audits durch. Regelverstöße können hier ein schmerzhaftes Nachspiel haben.

Komplexe und umfangreiche Regelwerke
Doch die Flut von Compliance-Vorgaben stellt Unternehmen vor große Herausforderungen. Ob Bundesdatenschutzgesetz, GDPdU, MaRisk, Basel II und III oder Sarbanes-Oxley – all diese Regelwerke halten die unzähligen Anforderungen an die Compliance eines Unternehmens fest. Die Komplexität dieser Aufgabe ist enorm, denn nicht selten umfassen die Compliance-Handbücher um die Tausend Regelungen, die internationale Unternehmen sogar noch in länderspezifische Vorgaben übersetzen müssen.

Ein Beispiel: Bei einem namhaften Automobilhersteller weist allein das Regel-Kompendium für IT-Sicherheit knapp 1.300 Einträge auf. IT-Systeme gelten in der Automobilindustrie zunehmend als kritischer Compliance-Faktor. In der integrierten Lieferkette sind die IT-Infrastrukturen von Auftraggebern und Zulieferern mittlerweile hochgradig vernetzt, so dass sie teilweise automatisch Daten austauschen. Zudem dringt die Digitalisierung immer weiter in produktionsnahe Bereiche vor. Das Risiko steigt: Fallen Server im Rechenzentrum aus, steht möglicherweise eine komplette Fertigungslinie still. Daher beziehen sich Zertifizierungen in dieser Branche mittlerweile verstärkt auch auf die IT-Landschaft. Die Automobil-Hersteller und -Zulieferer müssen hier die Verfügbarkeit und Compliance sicherstellen.

Erstellen des Compliance-Regelwerks

Darum geht es:
Darum geht es: Die Flut von Compliance-Vorgaben stellt Unternehmen vor große Herausforderungen, Bild: Computacenter


Präzise versus unscharf: Zwei Kategorien von Compliance-Regeln
Grundsätzlich gibt es zwei Kategorien von Compliance-Regeln. Die erste Gruppe umfasst eindeutig definierte Standards, die das geforderte Sicherheitsniveau präzise festlegen und genau vorschreiben, welche Schutzmaßnahmen an welcher Stelle implementiert werden müssen. Ein Beispiel dafür ist der Payment Card Industry Data Security Standard PCI-DSS, der bei der sicheren Abrechnung von Kreditkarten-Transaktionen eine zentrale Rolle spielt.

Etwas problematischer ist die zweite, deutlich größere Kategorie der Compliance-Richtlinien, die eher allgemein formuliert sind und Interpretations-Spielraum zulassen. Diese Klasse legt lediglich fest, dass Unternehmen bestimmte Themengebiete angemessen abdecken müssen. Ein Beispiel ist die Netzwerksicherheit. Hier muss das Unternehmen über die konkrete Umsetzung selbst entscheiden, sei es durch Aufteilung der Netze in bestimmte Zonen, Vergabe von unterschiedlichen Berechtigungen oder Verschlüsselung.

Diskrepanz zwischen Compliance-Theorie und Business-Praxis
Verantwortlich für das Erstellen des Compliance-Regelwerks ist der Chief Information Security Officer (CISO), Compliance Manager oder ein dezidiertes Compliance-Team. Sie sichten alle externen Anforderungen und formulieren die für das Unternehmen relevanten Regularien in interne Richtlinien um. Eine Großbank beispielsweise muss hier die deutschen MaRisk (Mindestanforderungen für Risikomanagement)beachten sowie auch ähnliche nationale Vorschriften all jener Länder, in denen sie Niederlassungen unterhält. In Asien wären das etwa die Technology Risk Management Guidelines (TMRG) der Monetary Authority of Singapore. Mit all diesen Vorgaben kann ein Compliance-Handbuch schnell unhandlich werden.

Mit der Interpretation der Regeln und der praktischen Umsetzung im Alltag hat die Compliance-Abteilung jedoch nichts mehr zu tun. Für diese komplexe Aufgabe sind die jeweiligen Fachabteilungen zuständig – neben ihrem Tagesgeschäft. Wie soll beispielsweise der IT-Betrieb neben seinen alltäglichen Aufgaben noch die Zeit finden, die umfangreichen Compliance-Handbücher gewissenhaft zu lesen? Kein Wunder also, dass manche Unternehmen Compliance nicht 100prozentig umsetzen können, zumal sich einige der definierten Regeln mit der Praxis der operativen Einheiten kaum vereinbaren lassen.

Vor diesem Hintergrund entstehen in vielen Unternehmen Konflikte zwischen den Verantwortlichen der Fachabteilungen und dem Compliance-Team. Hier sollten sich Unternehmen einen neutralen Beratungspartner ins Boot holen, der einen konstruktiven Dialog zwischen den beiden Parteien moderiert. Er kann diese internen Konflikte entschärfen, indem er die Anforderungen von Compliance-Theorie und Business-Praxis zusammenführt. Die Compliance-Verantwortlichen müssen mit den operativen Bereichen vor allem besprechen, wie sie die Regularien auf ihre täglichen Prozesse anwenden können.

Denn genau darum geht es: Unternehmen müssen in der Lage sein, die Compliance-relevanten Anforderungen der davon betroffenen Businessfunktion beziehungsweise dem entsprechenden Unternehmensprozess zuzuordnen – am besten automatisiert mit Hilfe von IT. So lässt sich jede Aktion daraufhin prüfen, ob sie den gesetzlichen Vorgaben sowie den internen Richtlinien entspricht.

Fünf Schritte zur Compliance
Basierend auf Best Practices aus dem Beratungsalltag hat Computacenter dazu einen pragmatischen Ansatz entwickelt, mit dem Unternehmen in fünf Schritten ein automatisiertes Compliance-Management umsetzen können:

1. Der erste Schritt besteht in der Bestandsaufnahme aller Anforderungen, die für die Compliance von Unternehmen relevant sind. Die Palette reicht von internen Richtlinien über die Anforderungen von Wirtschaftsprüfern bis hin zu nationalen und internationalen Regularien.

2. Im zweiten Schritt folgt der Aufbau des so genannten Control Backbones, einer Datenbank, die alle Security-relevanten Themen umfasst und die jeweiligen Anforderungen mit den verschiedenen IT-Themenbereichen verknüpft – zum Beispiel Netzwerksicherheit, Verschlüsselung, Authentifizierung, Incident Management oder allgemeinen Sicherheitsrichtlinien. Einen guten Überblick über die IT-Themen bietet hier die Norm ISO/IEC 27001, Annex A, die wichtige Anforderungen für geeignete Sicherheitsmechanismen zum Schutz sämtlicher Werte in der IT spezifiziert. Alle für IT-Sicherheit relevanten Einzelanforderungen der einschlägigen Regularien und unternehmenseigenen Richtlinien werden im Control Backbone dem entsprechenden IT-Themenbereich zugeordnet. An diesem Punkt zeigen sich meist auch jene Redundanzen, die für den unbeherrschbaren Umfang mancher Regelwerke verantwortlich waren. Das Control Backbone bildet durch die Verknüpfung der Anforderungen mit den IT-Themen die zentrale Basis der automatisierten Compliance-Prozesse.

3. Im dritten Schritt werden die konkreten, in der täglichen Praxis gelebten unternehmensspezifischen Prozesse und Abläufe identifiziert und dokumentiert und

4. gemeinsam mit dem Control Backbone in das so genannte Control Framework integriert.

5. Abschließend prüft ein datenbankbasierter Scanner, ob und wie die technischen und organisatorischen Richtlinien von den Abteilungen im Alltag tatsächlich umgesetzt werden. Die Datenbank zeigt automatisch an, ob die technischen Compliance-Anforderungen erfüllt werden, beispielsweise bei der Vergabe von Server-Passwörtern und der Deaktivierung von Gast- und Default-Accounts. Diese Ergebnisse dienen bei Audits als Beweise dafür, dass die erforderlichen Vorschriften eingehalten werden. Die Einhaltung der organisatorischen Regeln wird mit einem spezifischen Fragenkatalog überprüft. Nutzer geben darin an, wie sie welche Aufgaben erledigen.

Nachhaltige Compliance mit dem Compliance Framework
Diese pragmatische Vorgehensweise führt zu nachhaltiger Compliance und schont das IT-Budget. Das Control Backbone, das sich innerhalb von wenigen Wochen schrittweise zu einem umfassenden Compliance Framework erweitern lässt, zeigt künftig für jede einzelne Unternehmensrichtlinie über wenige Mausklicks an, ob sie eingehalten wird – oder eben nicht. Damit bereiten sich Unternehmen nicht nur einmalig auf ein Audit vor, sondern legen zugleich den Grundstein für ein langfristiges Compliance Management.

Denn nach Abschluss des Projekts kann das Unternehmen selbstständig neue Regeln einarbeiten, mögliche Regelverstöße erkennen und diese unverzüglich beseitigen. Der Compliance-Check lässt sich über die zugrunde liegende Datenbank mit integrierten Reports und vorgefertigten Templates zudem weitgehend automatisieren. Fazit: Das effektive, kostensparende und IT-gestützte Compliance Framework von Computacenter macht Unternehmen fit für alle zukünftigen Compliance-Anforderungen. (Computacenter: ra)

Lesen Sie auch den Schwerpunkt:
"IT-Sicherheit im Kontext von Compliance"

- Anzeigen -





Kostenloser IT SecCity-Newsletter
Ihr IT SecCity-Newsletter hier >>>>>>

- Anzeigen -


Meldungen: Grundlagen

  • Identitätsdiebstahl und die Folgen

    Ist jemand nachweislich Opfer eines Identitätsdiebstahls geworden stecken nicht selten Gruppen aus der organisierten Kriminalität dahinter. Sie operieren länderübergreifend und sind selten dingfest zu machen. Meistens lässt sich zudem nicht mehr eindeutig ermitteln zu welchem Zeitpunkt genau die Daten kompromittiert wurden. Eine der bestätigten Ursachen ist die jüngst bekannt gewordene Datenschutzverletzung beim Finanzdienstleistungsunternehmen Equifax, der größten Wirtschaftsauskunftei der Vereinigten Staaten. Betroffen waren über die Hälfte aller Amerikaner. Vor kurzem erbrachte eine Senatsanhörung sogar, dass die Datenschutzverletzung noch wesentlich weitreichender sein soll als von Equifax im September 2017 eingeräumt wurde.

  • Ethische Fragen in der IT

    Was haben Cybersicherheit, Compliance und die gute alte Neugier gemeinsam? Sie alle sind treibende Kräfte, wenn es um das Thema Ethik in der IT geht. Anders formuliert: was kann ein IT-Experte tun versus was sollte er tun. IT-Profis sehen sich heutzutage mit einer großen Zahl ethischer Entscheidungen konfrontiert. Das liegt an der vergleichsweise einzigartigen Position, in der sich IT-Spezialisten befinden. Nämlich am Schnittpunkt zwischen professionellen Anwendern, den Applikationen, die sie benutzen und den Daten, die sie verwenden. Das gibt IT-Experten reichlich Gelegenheit, dem Unternehmen dienlich zu sein oder ihm umgekehrt zu schaden. Wenn geschäftliche Anwendungen in der Finanzabteilung oder im Personalwesen abstürzen, ist es an der IT-Abteilung Systeme und Anwendungen wiederherzustellen. Das gehört zum Arbeitsalltag. Dieser Einflussbereich hat aber seine Schattenseiten. Und die ursprünglich zu anderen Zwecken erteilten Befugnisse können für weit weniger hehre Ziele genutzt werden.

  • Cybersicherheit ist ein schrittweiser Prozess

    Unsere zunehmende Abhängigkeit von digitalen Systemen schafft ständig neue Optionen für Hacker. Die jüngsten Änderungen bei der Kreditkarten- und E-Mail-Sicherheit erhöhen eher die Anzahl von Online-Identitätsdiebstählen und anderer Cyberverbrechen. Herkömmliche Maßnahmen reichen längst nicht mehr aus, meint GlobalSign-Gastautorin Shea Drake in ihrem Blogpost, rät aber trotzdem zu einer gewissen Pragmatik und gibt entsprechende Tipps.

  • Standardisierte Hacking-Techniken

    Anbieter von IT-Sicherheitslösungen werden sich stärker vor dem Gesetzgeber zu verantworten haben: Schwerwiegende und folgenreiche Angriffe wie WannaCry und Datenschutzverletzungen haben bereits die Aufmerksamkeit des Gesetzgebers sowohl in den USA als auch in Großbritannien und den übrigen europäischen Ländern auf sich gezogen. In den USA rechnet man fest damit, dass sich in nicht allzu ferner Zukunft Anbieter von Cybersicherheitslösungen vor dem Kongress werden verantworten müssen. Ähnliche Bestrebungen, Hersteller stärker als bisher in die Pflicht zu nehmen gibt es auch hierzulande. Das im Herbst letzten Jahres auf den Weg gebrachte BSI-Projekt "Impulse für eine smarte und sichere digitale Gesellschaft" zielt in eine ähnliche Richtung: "Ziel des von Vertretern aus Zivilgesellschaft, Kultur, Wirtschaft, Wissenschaft und Verwaltung formulierten Impulspapiers ist, den aktuellen Stand der gesellschaftlichen Debatte zu Fragen einer sicheren Informationsgesellschaft transparent zu machen und den weiteren Diskurs anzuregen. Insbesondere werden die Punkte der staatlichen und gesamtgesellschaftlichen Verantwortung, Bildung und Forschung, Haftung, Sicherheitsstandards sowie Zertifizierung adressiert."

  • Große Zahl ungesicherter IoT-Geräte

    DDoS-Angriffe haben sich in den letzten sechs Monaten nahezu verdoppelt. Laut einer Studie von Corero Network Security entspricht das einem monatlichen Mittel von 237 Angriffsversuchen. Einer der Gründe für den Anstieg liegt in der hohen Zahl einfach zu übernehmenden IoT-Geräten, die zumeist nur unzureichend geschützt sind. Diese "smarten" Geräte eignen sich dann ganz vorzüglich um zu einem Teil eines riesigen Botnets zu werden. Dieses Problem wird sich weiter verschärfen. Dazu muss man nur an die unzähligen Gadgets für Endverbraucher denken, die etwa in der Weihnachtszeit über die physischen und virtuellen Ladentische gewandert sind. Diese Geräte sind eines der vordringlichen Ziele für die Übernahme durch Hacker. Neben den Bedenken, die man im Hinblick auf die Sicherheit der Privatsphäre und vertraulicher Daten hegen kann gibt es noch eine ganze Reihe von weiteren ernsthaften Gefahren, die mit diesen Geräten verbunden sind. Hacker machen sich unsichere IoT-Geräte zunutze um riesige Bot-Netze aufzubauen und DDoS-Attacken zu lancieren. Unsichere IoT-Devices waren in einigen der größten DDoS-Angriffe auf Online-Plattformen innerhalb der letzten Jahre beteiligt. Es spielt bei DDoS-Angriffen keine Rolle, wie groß ein Unternehmen ist. Gefährdet sind alle. Und sollten entsprechend Sorge tragen, was die Sicherheit ihrer Geräte, Daten und Netzwerke anbelangt.

Computacenter: Kontakt und Steckbrief

Der Informationsanbieter hat seinen Kontakt leider noch nicht freigeschaltet.