BEGIN:VCALENDAR VERSION:2.0 PRODID:https://github.com/derhansen/sf_event_mgt METHOD:PUBLISH BEGIN:VEVENT UID:600-1320@fg-secmgt.gi.de CLASS: PUBLIC SUMMARY:Outsourcing und Vendor Security DESCRIPTION:Die Teilnahme am Workshop ist kostenlos und ist auch für Nicht- Mitglieder offen. \n\nWir bitten allerdings um formlose Anmeldung der Teiln ahme via Email mit Ihren Kontaktdaten an anmeldung(at)secmgt.de, damit die Raumplanung entsprechend vorgenommen werden kann. Vielen Dank!\n\n\n\nAbstr act\n\nDer Workshop "Outsourcing und Vendor Security" beschäftigt sich mit der Rolle der Informationssicherheit beim Outsourcing von Geschäftsprozesse n, und der Verpflichtung für Auftraggeber und Dienstleistungserbringer, dab ei für eine angemessene Sicherheit zu sorgen.\n\nIn vielen Branchen (wie be ispielsweise in der Finanzbranche) ist das Outsourcing von Geschäftsprozess en an der Tagesordnung. Der Auftraggeber ist dabei verpflichtet, dem Dienst leistungserbringer angemessene Sicherheitsvorgaben für die Verarbeitung und Speicherung von sensitiven Informationen zu machen, und sich regelmäßig vo n deren angemessenen Umsetzung und Einhaltung zu überzeugen.\n\nDer Aufwand von Kundenaudits kann dabei sowohl für den Auftraggeber als auch für den D ienstleistungserbringer immens sein. Dieser Druck wird aufgrund erhöhter Se nsibilität für Datenschutz und Datensicherheit in der Gesellschaft und den Behörden nicht abnehmen.\n\nEs stellen sich grundsätzliche Fragen:\n\n Wie erfolgen Kundenaudits in der Praxis?  Mit welchen Problemen sehen sich di e Parteien dabei konfrontiert? Wie intensiv muss die Überprüfung von Diens tleistungserbringern erfolgen, um effektiv zu sein? Welche Rolle spielen Z ertifizierungen wie ISO/IEC 27001, SAS70 (Statement on Auditing Standards N o. 70, Service Organizations) und IT-Grundschutz, und können sie helfen, de n Aufwand zu reduzieren? Wie sähe ein ideales Umfeld für Auftraggeber und Dienstleistungserbringer aus, das ein angemessenes Schutzniveau der ausgela gerten Prozesse bei minimalen Prüfaufwand gewährleistet? \n\nDie Sichtweise n von Auftraggeber, Dienstleistungserbringer und Behörden sollen auf dem Wo rkshop explizit zu Wort kommen. Spezielle Ansätze wie BITS Shared Assessmen ts (im amerikanischen Finanzwesen verankert) oder ISO/IEC 27036 Guideline f or security for supplier relationships sollen thematisiert werden.\n\nDer W orkshop wird moderiert von Claus Stark, Citigroup AG.\n\n\n\n\n\nDetails zu den Beiträgen\n\nModeration:\n\nDer Workshop wird moderiert von Claus Star k, Citigroup AG. \n\nBegrüßung & Vorstellung der FG SECMGT, Einführung in d en Workshop \n\n[SECMGT Workshop Einführung] \n\nDr. Adrian Davis (ISF - In formation Security Forum, London, UK): Securing external suppliers and supp ly chains: the ISF approach\n\nAdrian Davis of the ISF (Information Securit y Forum, UK, https://www.securityforum.org/) outlines the key challenges fa ced by organisations in their supply chains from a business and information security perspective. Using data from the ISF's 300 corporate Members, Adr ian highlights the ISF approach to managing external suppliers and the ISF baseline for external supplier security. The presentation concludes with a high-level overview of the liaison work with ISO on this topic and the next steps the ISF is looking to undertake in this field.\n\n[Präsentation Dr. Adrian Davis] \n\n[ISF Executive Overview - Information security for extern al suppliers: A common baseline]  Kurt Küpper, (Citigroup AG, Frankfurt): Der Third Party Information Security Assessment Prozess bei der Citigroup\n \nCiti makes use of Third Party providers for many services.  Some of these services require that Citi give Third Parties access to information classi fied by the Information Security Standards as Confidential or higher.  This information may be stored, processed, managed, or accessed by the Third Pa rty to meet the business needs of Citi and its clients. When access to this information is given to Third Parties outside of Citi facilities and manag ement oversight, the responsible Business Unit must ensure that the Third P arty Information Security Assessment (TPISA) process is followed.  This inc ludes an Annual Due Diligence of the relationship and periodic Controls Ass essments of the Third Party.  This will help ensure information confidentia lity, integrity and availability, as well as allow Citi to meet its regulat ory and policy requirements.  \n\nKlaus Martens (Itella Information GmbH, D üsseldorf): Auditprozess beim Auftragsdatenverarbeiter: Darf’s ein bißchen mehr sein?\n\nItella Information (www.itella.de) ist ein führender Anbieter für Dokumenten- und Informationslogistik in Europa, insbesondere im Bereic h der Optimierung von Rechnungsprozessen. Das Unternehmen bietet eine Kombi nation aus 40 Jahren Erfahrung im klassischen Archiv- und Print-Outsourcing und moderner Technologie für den elektronischen Dokumenten- und Datenausta usch sowie das e-Invoicing. Ein Teil des Produktportfolios ist das Drucken und Versenden von Gehaltsabrechnungen und Kontoauszügen für viele namhafte Unternehmen. Da i.d.R. vertrauliche, personenbezogene Daten verarbeitet wer den, sind viele Kunden auf Grund ihrer internen Richtlinien oder gesetzlich er Anforderungen verpflichtet, Audits bei Itella durchzuführen. Herr Marten s, Datenschutzbeauftragter bei Itella, gibt in seiner Präsentation einen Üb erblick über diese Kundenaudits, die sehr unterschiedlich ausfallen können und zeigt Verbesserungspotiale im generellen Vendor Management Prozess auf. \n\n [Präsentation Klaus Martens] \n\nUlrich Kunitz (Deutsche Bank, Frankfu rt):Shared Assessments - Ein unternehmensübergreifender Ansatz zur Risikobe wertung von Vendoren\n\nIn der Präsentation wurde auf die Herausforderungen bei Informationssicherheit-Prüfungen von IT-Dienstleistern eingegangen. Kl assische Vorgehensweisen sind mit hohen Aufwänden für Kundenunternehmen und Dienstleister verbunden.\n\nDas Shared Assessments Programm hat Werkzeuge entwickelt, die die Prüfungen effizienter und effektiver gestalten. Diese W erkzeuge sind: \n\n Standard Information Gathering (SIG), ein Fragenkatalo g der alle Bereiche der Vendor-Risiko-Prüfung abdeckt  AUP (Agreed Upon Pr ocedures), ein Dokument, dass das Prüfungsverfahren für die im SIG definier ten Kontrollen beschreibt \n\nKundenunternehmen können durch Automatisierun g Ihre Prüfungen mit GRC-Softwarelösungen minimieren. Dienstleister sind in der Lage die Antworten für den Fragenkatalog einmal zu erfassen und sparen Aufwände wenn mehrere Unternehmen Ihre Prüfungen nach dem SIG vornehmen. D ie Shared Assessments Werkzeuge werden von Unternehmen aus verschiedenen Br anchen in den USA eingesetzt und sind damit in der Praxis erprobt.\n\n [Prä sentation Ulrich Kunitz] \n\n [Shared Assessment Homepage]\n\nDr. Frank Ked ziur (British Telekom, Eschborn): Vendor Security aus Sicht der BT Germany\ n\nIm Beitrag "Vendor Security" stellt Hr. Kedziur von der BT (Germany) dar , welche Assets es bei der BT im Zusammenhang mit Kunden-Netzwerken und -IT zu schützen gilt. Ein Überblick zur entsprechenden Security-Organisation d er BT sowie zu deren -Maßnahmen, -Prozessen und -Zertifikaten wird gegeben. Der Hauptteil fokussiert sich auf die Beschreibung drei grundsätzlicher An sätze, die BT's Kunden bezüglich Vendor Security typisch nutzen:\n\n die N utzung der in der Einleitung beschriebenen Security der Standard-Plattform die Nutzung eines durch ein geführtes Ausschreibungsverfahren spezifiziert en Sicherheitsniveaus Die Nutzung eines gemeinsamen, nach einer Risikoanal yse erstellten Information Security Management Systems (ISMS) nach ISO27001 Abschließend werden FAQs beantwortet. \n\nWeitere Details sind zu finden u nter http://www.bt.com/security          \n\n [Präsentation Dr. Frank Kedzi ur]   \n\nBernhard C. Witt (it.sec, DIN, Ulm): Der neue Standard ISO/IEC 27 036 - Information security for supplier relationships\n\nVorgestellt wird d er aktuelle Zwischenstand zum neuen, mehrteiligen International Standard IS O/IEC 27036 über "Information security for supplier relationships", der die im Zusammenhang mit Outsourcing zu beachtenden Controls aus der ISO/IEC 27 002 ergänzt. Dieser Standard liefert auf der Basis eines risikobasierten An satzes ein Vorgehensmodell, das für beide Sichtweisen (also sowohl des Acqu irers, also des Beziehers von Outsourcing, als auch des Suppliers, also des Anbieters entsprechender Produkte oder Services im Kontext von Outsourcing ) die relevanten Aspekte zur Informationssicherheit detailliert benennt. Im Vortrag wird der zugrunde liegende Ansatz sowie Geltungsbereich und Strukt ur der derzeit in Bearbeitung befindlichen Teile näher beschrieben.\n\n [Pr äsentation Bernhard C. Witt]  LOCATION:DB Systel GmbH DTSTAMP:20180726T165956Z DTSTART:20111111T091500Z DTEND:20111111T160000Z END:VEVENT END:VCALENDAR