Wirksame Security-Governance

Security-Standards wie BSI C5, CCM, ISO 27001 oder NIST CSF bieten Orientierung bei der Auswahl und Absicherung von Cloud-Diensten. Sie zeigen, was gefordert ist – aber nicht, wie du es konkret umsetzt.
Wir schließen diese Lücke: Gemeinsam mit deinem Projektteam entwickeln wir passgenaue Sicherheitsmaßnahmen für deinen Cloud-Use-Case – konform mit Unternehmensrichtlinien und aktuellen Marktstandards. 

Damit du nicht nur auditfähig, sondern wirklich sicher bist.

Ein fundiertes Risiko-Assessment identifiziert operationelle Risiken aus finanzieller und nicht-finanzieller Sicht – bewertet als Kombination aus Eintrittswahrscheinlichkeit und Schadensausmaß.
Gerade in regulierten Branchen bildet der risikobasierte Ansatz die Grundlage: Er stellt sicher, dass Aufwand und Maßnahmen zielgerichtet auf kritische Aktivitäten konzentriert werden – im Sinne von Sicherheit, Effizienz und Compliance. Vorgaben ergeben sich u. a. aus den MaRisk.

Risikomanagement im "Three lines of defense"-Modell:

• First Line (z. B. Business Owner): verantwortet die Risikoanalyse inkl. Beschreibung, Bewertung, Maßnahmenplanung, Umsetzung und Reporting.
• Second Line (z. B. ISB, Datenschutz, Compliance): berät zur Risikoeinschätzung, validiert Bewertungen, überwacht die Umsetzung und gibt Maßnahmen frei.
• Third Line (z. B. Revision / Internal Audit): überwacht das Risikomanagement-System und stellt Vollständigkeit der Risiken und Angemessenheit von Maßnahmen und Risikokommunikation sicher.

Worauf es beim Risiko-Assessment ankommt:

• Ziel und Umfang festlegen: Was wird betrachtet – Projekte, Prozesse, Systeme? Welche Stakeholder sind beteiligt? Welche regulatorischen Vorgaben und Systeme sind relevant?
• Risiken richtig identifizieren: Welche Treiber und Kategorien von Risiken gibt es? Gibt es ein unternehmensweites Bewertungsmodell?
• Risiken aus finanzieller und nicht-finanzieller Sicht bewerten: Wie verändert sich das Risiko durch Mitigationsmaßnahmen? Welche Auswirkungen bestehen auf Kunden, Mitarbeitende, Reputation und Audits?
• Angemessen reagieren: Reduzieren, akzeptieren, übertragen oder vermeiden? Der risikobasierte Ansatz hilft, Aufwand und Risiko in Balance zu bringen.

Schaffe bei allen Mitarbeitenden ein Bewusstsein für die dynamische Bedrohungslage. 

Baue spezifisches Wissen entsprechend der Tätigkeitsschwerpunkte von Mitarbeitenden über die Notwendigkeit von Sicherheitsmaßnahmen und deren Umsetzung auf und aus. 

So werden Mitarbeitende selbst Teil der IT-Sicherheitsstrategie und können Gefahrenquellen für die IT-Sicherheit erkennen bzw. frühzeitig Risiken mitigieren.

Passe deine Exit-Strategie, Business-Continuity-Pläne, Disaster-Recovery-Planungen und Backup-Konzepte regelmäßig an Betriebsmodelländerungen und Marktlage an. 

Verbinde technologie-agnostische Sicherheitslösungen auf Use-Case- und Plattform-Ebene, die dir im Notfall eine schnelle Migration erleichtern. 

Setze Security-Detection-Response(SDR)-Lösungen zur automatisierten Angriffsanalyse/-abwehr sowie Aufbereitung und Analysen durch Fachpersonal ein.

Beachte, dass Zugriffsbeschränkungen unterschiedlichen Anforderungen von Benutzergruppen gerecht werden, damit Mitarbeitende auf die für ihre Arbeit notwendigen Daten und Prozesse zugreifen und unberechtigte Zugriffe abgewehrt werden. 

Zusätzlich empfehlen wir die Implementierung von Zero-Trust und Least Privilege Strukturen.

So banal es auch klingt: Setze regulatorische Anforderungen um und überprüfe in regelmäßigen Audits die Schwachstellen deines Unternehmens sowie deiner IT-Provider. Dies dient der Prävention gegen Audit-Findings und um wachsende Anforderungen aus Compliance-Vorgaben deiner Kunden zu adressieren. 

Das Aufdecken von Schwachstellen trägt dazu bei, Risiken zu begegnen und die IT-Sicherheitsstrategie weiterzuentwickeln.

Das Modell der drei Abwehrlinien, auch bekannt als "three lines of defense", ist ein Organisationskonzept in Unternehmen, das ursprünglich aus dem Bereich der Risikomanagement- und Kontrollsysteme stammt. Es soll eine klare Aufteilung der Verantwortlichkeiten gewährleisten.

In IT-Organisationen wird das Modell angewendet, um sicherzustellen, dass Risiken auf allen IT-Ebenen angemessen identifiziert, bewertet und gemanagt werden, wobei die verschiedenen Linien jeweils spezifische Rollen und Verantwortlichkeiten übernehmen, wodurch die Gesamtrisikobereitschaft verbessert werden soll.

Die erste Linie umfasst die operativen Einheiten (z.B. IT-Betrieb, IT-Product-Owner oder IT-Security), die zweite Linie definiert und überwacht Vorgaben (z.B. Business Continuity Management, Datenschutz, Informationssicherheit, Recht und Risikomanagement), während die dritte Linie unabhängige Prüfungs- und Überwachungseinheiten umfasst (z.B. Aufsichtsbehörden, interne Revision und Abschlussprüfung).