IT-gestützte Compliance ist kein Hexenwerk

Compliance-Vorgaben: Ob Bundesdatenschutzgesetz, GDPdU, MaRisk, Basel II und III oder Sarbanes-Oxley – all diese Regelwerke halten die unzähligen Anforderungen an die Compliance eines Unternehmens fest
Compliance gilt für alle Fachbereiche eines Unternehmens, auch für die IT-Abteilung: In den meisten Unternehmen sind heutzutage alle Daten elektronisch gespeichert und sämtliche Geschäftsprozesse in Software abgebildet

Von Ralf Nemeyer, Principal Consultant Secure Information, Computacenter AG & Co. oHG

(05.05.15) - Compliance wird immer wichtiger. Unternehmen müssen umfangreiche gesetzliche Vorgaben und Richtlinien einhalten und deren Befolgung auch nachweisen. Bei Rechtsverletzungen drohen empfindliche Strafen und ein erheblicher Imageschaden. Doch viele Firmen sind mit dem Compliance-Management überfordert. Abhilfe schafft hier ein pragmatischer, IT-gestützter Ansatz wie das Compliance-Framework von Computacenter, das die Regularien mit den entsprechenden IT- und Geschäftsprozessen verzahnt und Abweichungen erkennt.

Compliance gilt für alle Fachbereiche eines Unternehmens, auch für die IT-Abteilung. In den meisten Unternehmen sind heutzutage alle Daten elektronisch gespeichert und sämtliche Geschäftsprozesse in Software abgebildet. Angesichts der zentralen Rolle der IT fordert der Gesetzgeber verstärkt IT-Sicherheit und Datenschutz. Daher ist IT-Compliance oft geschäftskritisch für Unternehmen.

Ganz allgemein bedeutet Compliance, dass Unternehmen die Einhaltung von gesetzlichen Vorgaben sicherstellen und überwachen sowie auch eigene Richtlinien befolgen. Diese Regeln sollen den Missbrauch von vertraulichen Daten verhindern, mögliche Schadensersatzklagen sowie einen Imageschaden des Unternehmens abwehren. In vielen Branchen, vor allem bei Banken und Versicherungen, wächst zudem der Audit- und Zertifizierungsdruck.

Ganz allgemein bedeutet Compliance, dass Unternehmen die Einhaltung von gesetzlichen Vorgaben sicherstellen und überwachen sowie auch eigene Richtlinien befolgen. Diese Regeln sollen den Missbrauch von vertraulichen Daten verhindern, mögliche Schadensersatzklagen sowie einen Imageschaden des Unternehmens abwehren. In vielen Branchen, vor allem bei Banken und Versicherungen, wächst zudem der Audit- und Zertifizierungsdruck.

Vor allem seit der weltweiten Bankenkrise nimmt die BaFin (Bundesanstalt für Finanzdienstleistungsaufsicht) Kreditinstitute verschärft unter die Lupe. Auch bei Unternehmen anderer Branchen führen Wirtschaftsprüfer in regelmäßigen Abständen Audits durch. Regelverstöße können hier ein schmerzhaftes Nachspiel haben.

Komplexe und umfangreiche Regelwerke
Doch die Flut von Compliance-Vorgaben stellt Unternehmen vor große Herausforderungen. Ob Bundesdatenschutzgesetz, GDPdU, MaRisk, Basel II und III oder Sarbanes-Oxley – all diese Regelwerke halten die unzähligen Anforderungen an die Compliance eines Unternehmens fest. Die Komplexität dieser Aufgabe ist enorm, denn nicht selten umfassen die Compliance-Handbücher um die Tausend Regelungen, die internationale Unternehmen sogar noch in länderspezifische Vorgaben übersetzen müssen.

Ein Beispiel: Bei einem namhaften Automobilhersteller weist allein das Regel-Kompendium für IT-Sicherheit knapp 1.300 Einträge auf. IT-Systeme gelten in der Automobilindustrie zunehmend als kritischer Compliance-Faktor. In der integrierten Lieferkette sind die IT-Infrastrukturen von Auftraggebern und Zulieferern mittlerweile hochgradig vernetzt, so dass sie teilweise automatisch Daten austauschen. Zudem dringt die Digitalisierung immer weiter in produktionsnahe Bereiche vor. Das Risiko steigt: Fallen Server im Rechenzentrum aus, steht möglicherweise eine komplette Fertigungslinie still. Daher beziehen sich Zertifizierungen in dieser Branche mittlerweile verstärkt auch auf die IT-Landschaft. Die Automobil-Hersteller und -Zulieferer müssen hier die Verfügbarkeit und Compliance sicherstellen.

Präzise versus unscharf: Zwei Kategorien von Compliance-Regeln
Grundsätzlich gibt es zwei Kategorien von Compliance-Regeln. Die erste Gruppe umfasst eindeutig definierte Standards, die das geforderte Sicherheitsniveau präzise festlegen und genau vorschreiben, welche Schutzmaßnahmen an welcher Stelle implementiert werden müssen. Ein Beispiel dafür ist der Payment Card Industry Data Security Standard PCI-DSS, der bei der sicheren Abrechnung von Kreditkarten-Transaktionen eine zentrale Rolle spielt.

Etwas problematischer ist die zweite, deutlich größere Kategorie der Compliance-Richtlinien, die eher allgemein formuliert sind und Interpretations-Spielraum zulassen. Diese Klasse legt lediglich fest, dass Unternehmen bestimmte Themengebiete angemessen abdecken müssen. Ein Beispiel ist die Netzwerksicherheit. Hier muss das Unternehmen über die konkrete Umsetzung selbst entscheiden, sei es durch Aufteilung der Netze in bestimmte Zonen, Vergabe von unterschiedlichen Berechtigungen oder Verschlüsselung.

Diskrepanz zwischen Compliance-Theorie und Business-Praxis
Verantwortlich für das Erstellen des Compliance-Regelwerks ist der Chief Information Security Officer (CISO), Compliance Manager oder ein dezidiertes Compliance-Team. Sie sichten alle externen Anforderungen und formulieren die für das Unternehmen relevanten Regularien in interne Richtlinien um. Eine Großbank beispielsweise muss hier die deutschen MaRisk (Mindestanforderungen für Risikomanagement)beachten sowie auch ähnliche nationale Vorschriften all jener Länder, in denen sie Niederlassungen unterhält. In Asien wären das etwa die Technology Risk Management Guidelines (TMRG) der Monetary Authority of Singapore. Mit all diesen Vorgaben kann ein Compliance-Handbuch schnell unhandlich werden.

Mit der Interpretation der Regeln und der praktischen Umsetzung im Alltag hat die Compliance-Abteilung jedoch nichts mehr zu tun. Für diese komplexe Aufgabe sind die jeweiligen Fachabteilungen zuständig – neben ihrem Tagesgeschäft. Wie soll beispielsweise der IT-Betrieb neben seinen alltäglichen Aufgaben noch die Zeit finden, die umfangreichen Compliance-Handbücher gewissenhaft zu lesen? Kein Wunder also, dass manche Unternehmen Compliance nicht 100prozentig umsetzen können, zumal sich einige der definierten Regeln mit der Praxis der operativen Einheiten kaum vereinbaren lassen.

Vor diesem Hintergrund entstehen in vielen Unternehmen Konflikte zwischen den Verantwortlichen der Fachabteilungen und dem Compliance-Team. Hier sollten sich Unternehmen einen neutralen Beratungspartner ins Boot holen, der einen konstruktiven Dialog zwischen den beiden Parteien moderiert. Er kann diese internen Konflikte entschärfen, indem er die Anforderungen von Compliance-Theorie und Business-Praxis zusammenführt. Die Compliance-Verantwortlichen müssen mit den operativen Bereichen vor allem besprechen, wie sie die Regularien auf ihre täglichen Prozesse anwenden können.

Denn genau darum geht es: Unternehmen müssen in der Lage sein, die Compliance-relevanten Anforderungen der davon betroffenen Businessfunktion beziehungsweise dem entsprechenden Unternehmensprozess zuzuordnen – am besten automatisiert mit Hilfe von IT. So lässt sich jede Aktion daraufhin prüfen, ob sie den gesetzlichen Vorgaben sowie den internen Richtlinien entspricht.

Fünf Schritte zur Compliance
Basierend auf Best Practices aus dem Beratungsalltag hat Computacenter dazu einen pragmatischen Ansatz entwickelt, mit dem Unternehmen in fünf Schritten ein automatisiertes Compliance-Management umsetzen können:

1. Der erste Schritt besteht in der Bestandsaufnahme aller Anforderungen, die für die Compliance von Unternehmen relevant sind. Die Palette reicht von internen Richtlinien über die Anforderungen von Wirtschaftsprüfern bis hin zu nationalen und internationalen Regularien.

2. Im zweiten Schritt folgt der Aufbau des so genannten Control Backbones, einer Datenbank, die alle Security-relevanten Themen umfasst und die jeweiligen Anforderungen mit den verschiedenen IT-Themenbereichen verknüpft – zum Beispiel Netzwerksicherheit, Verschlüsselung, Authentifizierung, Incident Management oder allgemeinen Sicherheitsrichtlinien. Einen guten Überblick über die IT-Themen bietet hier die Norm ISO/IEC 27001, Annex A, die wichtige Anforderungen für geeignete Sicherheitsmechanismen zum Schutz sämtlicher Werte in der IT spezifiziert. Alle für IT-Sicherheit relevanten Einzelanforderungen der einschlägigen Regularien und unternehmenseigenen Richtlinien werden im Control Backbone dem entsprechenden IT-Themenbereich zugeordnet. An diesem Punkt zeigen sich meist auch jene Redundanzen, die für den unbeherrschbaren Umfang mancher Regelwerke verantwortlich waren. Das Control Backbone bildet durch die Verknüpfung der Anforderungen mit den IT-Themen die zentrale Basis der automatisierten Compliance-Prozesse.

3. Im dritten Schritt werden die konkreten, in der täglichen Praxis gelebten unternehmensspezifischen Prozesse und Abläufe identifiziert und dokumentiert und

4. gemeinsam mit dem Control Backbone in das so genannte Control Framework integriert.

5. Abschließend prüft ein datenbankbasierter Scanner, ob und wie die technischen und organisatorischen Richtlinien von den Abteilungen im Alltag tatsächlich umgesetzt werden. Die Datenbank zeigt automatisch an, ob die technischen Compliance-Anforderungen erfüllt werden, beispielsweise bei der Vergabe von Server-Passwörtern und der Deaktivierung von Gast- und Default-Accounts. Diese Ergebnisse dienen bei Audits als Beweise dafür, dass die erforderlichen Vorschriften eingehalten werden. Die Einhaltung der organisatorischen Regeln wird mit einem spezifischen Fragenkatalog überprüft. Nutzer geben darin an, wie sie welche Aufgaben erledigen.

Nachhaltige Compliance mit dem Compliance Framework
Diese pragmatische Vorgehensweise führt zu nachhaltiger Compliance und schont das IT-Budget. Das Control Backbone, das sich innerhalb von wenigen Wochen schrittweise zu einem umfassenden Compliance Framework erweitern lässt, zeigt künftig für jede einzelne Unternehmensrichtlinie über wenige Mausklicks an, ob sie eingehalten wird – oder eben nicht. Damit bereiten sich Unternehmen nicht nur einmalig auf ein Audit vor, sondern legen zugleich den Grundstein für ein langfristiges Compliance Management.

Denn nach Abschluss des Projekts kann das Unternehmen selbstständig neue Regeln einarbeiten, mögliche Regelverstöße erkennen und diese unverzüglich beseitigen. Der Compliance-Check lässt sich über die zugrunde liegende Datenbank mit integrierten Reports und vorgefertigten Templates zudem weitgehend automatisieren. Fazit: Das effektive, kostensparende und IT-gestützte Compliance Framework von Computacenter macht Unternehmen fit für alle zukünftigen Compliance-Anforderungen. (Computacenter: ra)

Lesen Sie auch den Schwerpunkt:
"IT-Sicherheit im Kontext von Compliance"

Computacenter: Kontakt und Steckbrief

Der Informationsanbieter hat seinen Kontakt leider noch nicht freigeschaltet.

Meldungen: Management

Amber Road: Kontakt und Steckbrief

Der Informationsanbieter hat seinen Kontakt leider noch nicht freigeschaltet.