10. Fachtagung Informationssicherheit

MaRisk und BAIT-Vorgaben zur Nutzung und Prüfung von Auslagerungslösungen Cloud Service Providern (CSPs).

• Was sind die Probleme?  
• Aufsichtliche "No-go areas" bei Couldauslagerungen  
• Schwerwiegende Feststellungen in 44er Prüfungen 

Welche Lösungsansätze können aus aufsichtlicher Sicht gelingen?

(IT-)Auslagerungen im Fokus des Informationssicherheitsmanagements

• Risikoanalyse, Steuerung und Prüfung von (IT-)Auslagerungen/Fremdbezug – Dokumentation; Anforderungen an die Due-Diligence-Prüfung und Einbindung des IT/Informations-Risikomanagement
• Anforderungen an Informationssicherheit, Datenschutz und Datenqualität des Dienstleisters – Besonderheiten bei vertraglichen Vereinbarungen bzgl. der Zulieferung von Steuerungsdaten für das IT/Informations-Risikomanagement
• Nutzung standardisierten Risikobewertung zur Steigerung der Effizienz im Outsourcing-Prozess
• Auswirkungen auf Schutzbedarfs- und Risikoanalysen – Methodische Fragestellung im Spannungsfeld der Risikotransparenz; Überwachungshandlungen zur Schaffung einer angemessenen Risikotransparenz; Einbindung der Fachbereich zur Dienstleister- und Risikosteuerung
• Handlungsoptionen und Exit-Strategien bei Beendigung von Auslagerungen vs. Business Continuity Management

Informationsrisiko- und Informationssicherheits-Management – häufige Problemfelder und Prüfungsschwerpunkte

• Häufige Probleme im Informationsverbund: Überblick, Aktivitäten und Ableitungen
• Einbindung in das Change- und Releasemanagement
• Informationssicherheitsmanagement: Handlungsempfehlungen zur Prozessgestaltung, Dokumentation und zum Test des Informationssicherheitsvorfalls
• Prüfung der Umsetzung nationaler und internationaler Standards und Best Practices (Cobit, ITIL, BSI, ISO etc.)
• Handlungsempfehlungen und Praxisbeispiele aus aktuellen IT-Prüfungserfahrungen

Konkretisierte Anforderungen der BAIT an die Informationssicherheit und das Informationssicherheitsrisikomanagement

• Notwendige Anpassungen der Prüfungsplanung und der Durchführung von Prüfungen mit IT-Bezug – neue Prüffelder – neue Prüfungsansätze
• Rezertifizierung von Benutzerberechtigungen: Minimale Rechtevergabe und Funktionstrennung – Wie sieht eine revisionssichere Protokollierung aus? – Dokumentation von Interessenkonflikten und des Eskalationsprozesses
• Sicherheitsseitige Begleitung von IT-Projekten und Umgang mit erkannten Informationssicherheitsrisiken - Auswirkungsanalyse – Wie geht man mit erkannten Risiken um?
• Individuelle Datenverarbeitung (IDV) mit angemessenen Prozessen unter Berücksichtigung des Schutzbedarfs – Identifikation und Dokumentation von IDV-Anwendungen in Zusammenarbeit mit den Fachabteilungen
• Risikoorientierte Prozesse zur Änderung von IT-Systemen – Changemanagement und Sicherheitspatches - Wie werden Störungen angemessen dokumentiert/analysiert?
• Auslagerungen und sonstiger Fremdbezug im Einklang mit den (IT-)Strategien – Cloud-Dienste im Kontext der BAIT – Einbindung der Funktion Informationssicherheit ins (zentrale) Auslagerungsmanagement