BEGIN:VCALENDAR VERSION:2.0 PRODID:https://github.com/derhansen/sf_event_mgt METHOD:PUBLISH BEGIN:VEVENT UID:626-1320@fg-secmgt.gi.de CLASS: PUBLIC SUMMARY:Operatives Risiko-Management und IT-Sicherheits-Management DESCRIPTION:Die Themen\n\n Operatives Risk- und Sicherheitsmanagement: Gem einsamkeiten und Unterschiede IT-Risiko- und IT-Sicherheitsmanagement als ganzheitlicher Ansatz Rollout and Methodology of Corporate Risk Management at SAP IDW PS330 Der neue Sicherheitsstandard für Wirtschaftsprüfer Eins atz einer Information Risk Scorecard \n\n\n\nBericht zum Workshop und Detai ls zu den Vorträgen\n\nStefan Kronschnabl (Institut für Bankinnovation, Uni Regensburg) Operatives Risk- und Sicherheitsmanagement: Gemeinsamkeiten un d Unterschiede\n\nDer Vortrag basiert auf Vorarbeiten zu einer Promotion zu diesem Thema, wobei spezifische Findings nicht präsentiert werden konnten. \n\nIT spielt eine tragende und wesentliche Rolle bei den Banken, somit sin d Operatives Risk Management und IT-Risiko-Management eng mit einander geko ppelt.\n\nRisiko wird als Erwartungswert für einen möglichen Schaden defini ert. Die Ermittlung von Zahlenwerten ist schwierig, insbesondere wenn eine statistische Basis fehlt oder (wie in der Diskussion vorgebracht) in vielen Fällen irreführend ist. Der Umgang mit Risiken ist deshalb "vermeiden, ver mindern, begrenzen" bzw. "versichern, tolerieren, reduzieren, beobachten".\ n\nEin detaillierter Vergleich von einem bei Basel II geforderten Vorgehen für ein "Operatives Risiko-Management" mit dem Vorgehen beim GSHB (Grundsch utzhandbuch des BSI) ergibt eine weitgehend vollständige Abbildbarkeit der Kategorien und der unterliegenden Konzepte. Aufbauend auf dieser Tatsache w ird ein Vergehens Konzept skizziert anhand dessen IT-Sicherheitsrisiken ide ntifiziert und bewertet werden können.\n\nIn der Diskussion wurde vermutet und auch bestritten, dass der wesentliche Unterschied nur in den verschiede nen Domains liegt, wobei daraus resultierende technische oder organisatoris che Unterschiede noch weiter zu untersuchen wären, ebenso wie Fragen, welch e Auswirkungen dies auf im Detail die Organisation des Operativen und des I T-Risiko-Managements hat. Offen blieben auch in der Diskussion, ob und wann eine organisatorische Trennung sinnvoll ist und welche Interaktionen ggf. als essentiell zu sehen sind.\n\n[  Präsentation als PDF]\n\nMarkus Gaulke (KPMG, Frankfurt) IT-Risiko- und IT-Sicherheitsmanagement als ganzheitliche r Ansatz\n\nDer Vortragende ist Autor eines Buches zu "Risikomanagement in IT-Projekten" (www.risikomanagement-in-it-projekten.de). In seiner Funktion als Vorstand des ISACA German Chapters e.V. geht sein Interesse mit COBIT deutlich über das Thema von Projekten hinaus, und bezieht sich generell auf IT-Risk-Management. Das Sarbanes Oxley Gesetz in USA und KontraG in Deutsc hland sind die wesentlichen Auslöser für die Bedeutung von COBIT.\n\nIntern e Kontrollen richten sich inzwischen an COBIT aus. Der Prüfungsansatz erstr eckt sich - anders als beim GSHB - auch auf Effizienz und Effektivität. Die Bedeutung der Checklisten bei der Risikoanalyse liegt darin, bei Bewertung en und Prüfungen eine (möglichst hohe) Vollständigkeit zu erreichen, ohne e ine individuelle Behandlung dabei auszuschließen. Es gibt keine wirklichen Vorgaben, wie Risiko-Analysen zu machen sind. Als immer noch generische Bas is wird ISO 13335 genommen. Auch beim GSHB des BSI ist inzwischen eine Abke hr von "Wahrscheinlichkeiten" erfolgt. Für die Praxis ist vor allem eine Pr iorisierung der erkannten Risiken wichtig. Als Erfahrung aus aktuellen Prüf ungen wird berichtet, dass die Integration von Operativem und IT-Risiko-Man agement in der Praxis oft mangelhaft ist.\n\n[  Präsentation als PDF]\n\nMi chael Collet (SAP) Rollout and Methodology of Corporate Risk Management at SAP\n\nEine detaillierte Schilderung eines für interne Zwecke aufgebauten M odels für "Corporate Risk Management". Die dazu entwickelten Tools, weitgeh end auf Excel-Basis, werden in einzelnen Projekten auch an Kunden ausgelief ert. Die Reife eines Standard-Tools ist allerdings noch nicht gegeben, wohl weil hier auch immer individueller Beratungsbedarf besteht.\n\nDie Priorit ät eines Risikos ergibt sich aus dem zeitlichen Horizont und der Höhe. Die Klassifikation der Behandlung ist: delegate, research, transfer, accept, mi tigate, watch. Ein Risiko-Clustering hat sich als wenig relevant erwiesen.\ n\nFür die Etablierung ist ein detailliertes und - bei SAP selbst - erprobt es Konzept erarbeitet worden. Ziel des gesamten Konzeptes ist, dass das Ris iko-Management möglichst integriert in die sie betreffenden Prozesse erfolg t. Durch die zusätzliche technische Integration der Tools in R3 ist u.a. au ch eine lückenlose Protokollierungsfunktion und Nachvollsziehbarkeit gegebe n. Es bestehen naturgemäß neben den positiven Einführungserfahrungen leider noch keine Erfahrungen mit einer längeren Anwendung von Methodik und Tool. \n\n[  Präsentation als PDF]\n\nFlorian Oehlmaier(MSG) IDW PS330 Der neue S icherheitsstandard für Wirtschaftsprüfer\n\nEs wird die Sicht eines Betrieb sprüfers für SMEs dargelegt, der sich gemäß des Wortlauts der Bestimmungen (prüfen auf: Vollständigkeit, Richtigkeit, Zeitgerechtikeit, Ordnungsmäßigk eit, Nachvollziehbarkeit, Unveränderlichbarkeit) und den Prüfungsstandards des Instituts der Wirtschaftsprüfer (IDW PS 330) auch aufgefordert fühlt, d ie IT eines Betriebs mit zu prüfen. Dafür ist aber traditionell weder Knowh ow in einer mittelständischen Betriebsprüfer-Kanzlei vorhanden, noch schein t der Aufwand erbringbar zu sein. Einer der Ansatzpunkte für die übergreife nde Prüfung ist der zu prüfende "Lagebericht", der einen Bezug zur gesamten IT eröffnet.\n\nEs bestehen in Bezug auf den Prüfumfang ("Aufbauprüfung" - auf Basis von Dokumenten, und "Funktionsprüfung" in Bezug "Wirksamkeit im Betrieb") deutliche Unklarheiten, vor allem was die geforderte Tiefe der Pr üfung betrifft. Bisher hat es z.B. genügt, wenn die Buchhaltungssoftware na ch IDW PS 880 geprüft worden war. Eine genauere Prüfung der Installation wa r nicht erfolgt.\n\nDie IDW-Vorgaben grenzen sich von den Vorgaben des GSHB s weder terminologisch ("windschiefe Definitionen") noch inhaltlich ab. (Fr au Münch/BSI: "eine Abgrenzung wurde von allen Seiten bisher versäumt und s ollte schleunigst nachgeholt werden").\n\n[  Präsentation als PDF]\n\nDr. D irk Loomans (Dr. Loomans Unternehmensberatung) Einsatz einer Information Ri sk Scorecard\n\nBeispielhaft wird die Balanced Scorcard Methode FIRM der IS F (International Security Forum) vorgestellt. Sie richtet sich dabei geziel t an die Leitungsebene einer Firma, arbeitet also mit zusammenfassenden Dar stellungen. Messbarkeit auf der Ebene des oberen Managements wird hier durc h die Gegenüberstellung von "Ziele - Indikatoren - Maßnahmen" gegeben, wobe i nur wenige Kennzahlen (3 bis 5) genügen müssen. Es werden hier mehr quali tativ basierte Schätzungen als statistische Schätzungen zu Grunde gelegt.\n \nDie Methode hat zwei Phasen ("dry run", "for real"). In der ersten Phase können erste Verbesserungen erfolgen, die in der zweiten Phase schon als er ste Erfolge verbucht werden können, wodurch die Akzeptanz der Risk-Analyse bei den betroffenen Abteilungen gehoben wird.\n\nFIRM ist zwar nur Mitglied erfirmen von ISF zugänglich, wesentliche Details der Vorgehensweise stehen aber öffentlich zur Verfügung und können übernommen werden (z.B. über citic us.com oder den Vortragenden selbst).\n\n[  Präsentation als PDF] LOCATION:DB Systel GmbH DTSTAMP:20180726T171125Z DTSTART:20050128T091500Z DTEND:20050128T161500Z END:VEVENT END:VCALENDAR