• IT-Strategie: Formulierung einer detaillierten und konkreten IT-Strategie, die u. a. Organisations- und IT-Risiko-Fragestellungen adressiert
• IT Governance: Mechanismen zur wirksamen Umsetzung der IT-Strategie durch eine Organisation, die frei von Interessenkonflikten gestaltet ist
• Informationsrisikomanagement: Nutzung von Prozessen zur Erkennung und Steuerung von Risiken für die Schutzziele der Informationssicherheit
• Informationssicherheitsmanagement: Etablierung eines Systems zur Herstellung und Aufrechterhaltung eines angestrebten Sicherheitsniveaus
• Benutzerberechtigungsmanagement: Verfahren zur Einrichtung, Änderung und Entfernung von Berechtigungen unter Wahrung des Minimal- und Funktionstrennungsprinzips
• IT-Projekte und Anwendungsentwicklung: Regelungen zur Bereitstellung von Änderungen an IT-Systemen, von der Anforderungsdefinition bis zur Produktivstellung (inkl. individuelle Datenverarbeitung)
• IT-Betrieb (inkl. Datensicherung): Sicherstellung eines sicheren IT-Betriebs und kontrollierter Änderungen der IT-Systeme – unter Zuhilfenahme eines aktuellen Asset-Registers
• Auslagerung und sonstiger Fremdbezug von IT-Dienstleistungen: Steuerung –insbesondere der Risiken –  von IT-Auslagerungen und sonstigem Fremdbezug

Berechtigungskonzepte:

• Bilden zukünftig die Grundlage für die Berechtigungsvergabe und beschreiben die Nutzungsbedingungen der IT-Berechtigungen, ausgerichtet am Schutzbedarf des IT-Systems
• Zuweisung von Accounts zu handelnden Personen
• Nicht-personalisierte Berechtigungen und Accounts sind zukünftig zweifelsfrei einer handelnden Person zuzuweisen
• Genehmigungs- und Kontrollprozesse: Prozesse stellen unter Einbeziehung der fachlich verantwortlichen Stelle sicher, dass die Einrichtung, Änderung, Deaktivierung und Löschung von IT-Berechtigungen gemäß der IT-Berechtigungskonzepte eingehalten werden
• Rezertifzierung: Regelmäßige Überprüfung der vergebenen IT-Berechtigungen hinsichtlich ihrer Notwendigkeit sowie der damit ggf. verbundene Entzug
• Nachvollziehbarkeit und Dokumentation: Sämtliche Prozesse der Einrichtung, Änderung, Deaktivierung und Löschung von Berechtigungen sind in IT-Systemen nachvollziehbar und auswertbar zu dokumentieren

Aufbau der IAM Governance und -Prozesse zur Abdeckung von BaFin-Anforderungen

Die aufsichtlichen Anforderungen zur IT-Sicherheit in der Finanzwirtschaft (BAIT, KAIT, VAIT, ZAIT) verursachen bis heute vielfältige technisch-organisatorische Maßnahmen. Schon sind Nachschärfungen insbesondere in Richtung Identitäts- und Berechtigungsmanagement formuliert.

Anhand des Fallbeispiels eines Versicherungsunternehmens zeigen wir, wie es gelingen kann, effiziente und BaFin-konforme IAM Governance aufzubauen und gleichzeitig bestehende Prozesse zu optimieren.

In unserem Praxisbericht, den sie hier kostenlos herunterladen können, gehen wir u. a. auf folgende Aspekte ein:

• Nachhaltige Compliance sichert das Vertrauen

• Anforderungen der xAIT am Beispiel Benutzerberechtigungsmanagement

• Der Weg zu erfolgreichen Berechtigungskonzepten

• Vorgehen und Lösung zur Vereinheitlichung der IAM Governance

• Neumodellierung und Umsetzung der IAM-Prozesse

• Aufbau zentrale IAM-Organisation
  

Identity & Access Management unterstützt in der Einhaltung der DSGVO überall dort wo:

• Ein Risikoinventar erstellt wird und Schutzniveaus eine Rolle spielen
• Zugriff und Verarbeitung auf schützenswerte Daten gesteuert und belegt werden müssen   
• Verarbeitungstätigkeiten geschützt und nachvollzogen werden müssen
• Auftragsverarbeiter ihnen anvertraute Daten DSGVO-konform beherrschen und dies auch belegen müssen
• Die Rechte des Kunden in der Interaktion mit ihm effizient und sicher gewahrt werden sollen

• Zugriff und Verarbeitung schützenswerter Personendaten steuern und belegen
• Schutzniveau und Risikoorientierung kosteneffizient operationalisieren
• Wettbewerbsfähigkeit als Auftragsverarbeiter sichern
• Transparenz und konsistente Handhabung von Personendaten gegenüber dem Kunden sowie in der internen und weitervergebenen Verarbeitung

IT-gestützte Abläufe ermöglichen eine effiziente Umsetzung von Informationssicherheit und Datenschutz

Ein effektives Risikomanagement ermöglicht bewusste Entscheidungen darüber, welche Unternehmensrisiken im Fokus stehen, welche Risiken akzeptiert werden können und welchen entgegengesteuert werden muss. Unabhängig der Herkunft der Risiken erhalten Sie durch die gesamtheitliche Betrachtung die stetige Transparenz für Ihr Unternehmen.

Informationssicherheitsmanagement integriert unternehmerische Belange mit erforderlichen Schritten, um das wertvolle Vermögen vor Verlust, Manipulation oder Schaden zu bewahren. Begleitet wird das workflow-basierte ISMS durch wesentliche und integrierte Teilprozesse des ISMS wie ein kennzahlenbasiertes Berichtswesen, Security Incident Management und weitere Abläufe, die eine nachhaltige Steuerung ermöglichen.

Datenschutz ist eine für jedes Unternehmen und jede Behörde kontinuierliche Aufgabe. Das Datenschutzmanagement muss in das Unternehmen integriert werden. Durch eine intelligente Verknüpfung des Datenschutzmanagements mit dem Informationssicherheitsmanagement können Ressourcen geschont und die Qualität deutlich gesteigert werden.