Selbstständige IT Beraterin

2/2016 – 10/2016

Unterstützung bei der Aufbau der Chief Information Security Office (CISO)
Meine Haupttätigkeiten umfassen die Beratung sowie Unterstützung des Kunden bei der Aufbau der CISO-Office:
Aufbau des CISO basierend auf gängige Standards sowie Best Practices (ISO 27001, COBIT)
Integration CISO Office in Risiko Management Bereich mit Betrachtung der MaRisk Novelle.
Schnittstelle zwischen dem Security Officer und den Fachabteilungen, um den neuen CISO in seiner Rolle zu unterstützen.
Konzentration auf die für die Bank wichtigen Bereiche “Identity Access Management”, “Daten Klassifizierung”, “Management Informationssystem”, “Werte Management (Asset)”, Compliance Themen (MaRisk Novelle, KWG, ITSiG, Datenschutz sowie Sarbanes Oxley) sowie internes Kontrollsystem.
Design der notwendigen internen Kontrollen für Identity & Access Management (IAM); Interimsweise Übernahme der Projektmanagement Funktion bei der Einführung des IAM Applikation “D1IM”.

Certified Information Systems Auditor, IT Sicherheit (allg.)

7/2014 – 9/2015

Meine Haupttätigkeiten umfassen die Beratung sowie Unterstützung des Kunden in den Bereichen IT Compliance und Governance:
Analyse sowie Aktualisierung der bestehenden IT Security Vorgaben in Abstimmung mit dem CISO Office.
Aufnahme, Bewertung und Dokumentation der neuen Vorgaben im Hinblick auf Business Impact (Business Impact Analyse).
Sicherheitsbewertungen: Definition von Kontrollen sowie Technischen-, Organisatorischen- und Verhaltensmaßnahmen um Sicherheitsschwachpunkte zu schliessen. Dabei habe ich ein risikoorientiertes Verfahren angewendet.

IT Sicherheit (allg.), Schulung / Training (IT), Projektmanagement - Risikomanagement

7/2014 – 9/2015

Meine Haupttätigkeiten umfassen die Beratung sowie Unterstützung des Kunden in den Bereichen IT Compliance und Governance:
Analyse sowie Aktualisierung der bestehenden IT Security Vorgaben in Abstimmung mit dem CISO Office.
Aufnahme, Bewertung und Dokumentation der neuen Vorgaben im Hinblick auf Business Impact (Business Impact Analyse).
Sicherheitsbewertungen: Definition von Kontrollen sowie Technischen-, Organisatorischen- und Verhaltensmaßnahmen um Sicherheitsschwachpunkte zu schliessen. Dabei habe ich ein risikoorientiertes Verfahren angewendet.

IT Sicherheit (allg.), Schulung / Training (IT), Projektmanagement - Risikomanagement

10/2013 – 5/2014

Aufsetzen sowie die Kommunikation eines IS Risk Management Verfahrens für ein IT Projekt basierend auf die bestehenden Vorgaben (Policies, Guidelines sowie regulatorische Vorgaben) des Kunden.
Durchführung von Risikoanalysen und Bewertung der Wirksamkeit der Kontrollen auf Applikationen und Prozesse im Hinblick auf Information Security.
Ausarbeitung der ISO 27001 Sicherheitsvorgaben und COBIT Kontrollen für Applikationssicherheit.

Certified Information Systems Auditor, IT Sicherheit (allg.), Risikomanagement

10/2013 – 5/2014

Aufsetzen sowie die Kommunikation eines IS Risk Management Verfahrens für ein IT Projekt basierend auf die bestehenden Vorgaben (Policies, Guidelines sowie regulatorische Vorgaben) des Kunden.
Durchführung von Risikoanalysen und Bewertung der Wirksamkeit der Kontrollen auf Applikationen und Prozesse im Hinblick auf Information Security.
Ausarbeitung der ISO 27001 Sicherheitsvorgaben und COBIT Kontrollen für Applikationssicherheit.

Certified Information Systems Auditor, IT Sicherheit (allg.), Risikomanagement

1/2012 – 6/2013

Als IT Security & Compliance Stream Lead war ich verantwortlich für die Ausarbeitung sowie Implementierung der Sicherheitsstandards und Telekommunikationsregularien in das Softwaresystem (das System wurde für die Huawei Kunden E-Plus in Düsseldorf und Virgin Media in London - Hook entwickelt).
Meine Rolle umfasste die Analyse der Compliance Vorgaben und Sicherheitsanforderungen um die projektrelevanten Anforderungen zusammenzufassen, diese das Projektteam zu präsentieren, damit diese angemessen implementiert wurden. 

Certified Information Systems Auditor, ISO / IEC 27001, Compliance management

1/2012 – 6/2013

Als IT Security & Compliance Stream Lead war ich verantwortlich für die Ausarbeitung sowie Implementierung der Sicherheitsstandards und Telekommunikationsregularien in das Softwaresystem (das System wurde für die Huawei Kunden E-Plus in Düsseldorf und Virgin Media in London - Hook entwickelt).
Meine Rolle umfasste die Analyse der Compliance Vorgaben und Sicherheitsanforderungen um die projektrelevanten Anforderungen zusammenzufassen, diese das Projektteam zu präsentieren, damit diese angemessen implementiert wurden. 

Certified Information Systems Auditor, ISO / IEC 27001, Compliance management

7/2011 – 12/2011

Project Manager IT Security and Compliance (Bonn)
Role description: Responsible to establish an IT Governance Framework for the IT Security and Compliance department of Deutsche Post AG.
I am responsible to establish a Governance Framework which will create transparent Reports to the Senior Management and Board of Management. The Framework will include the topics Strategy, Compliance, Risk Management and Security Advisory.
Responsible for the project plan with regarding the milestones, time scale, resources and budget.
Set up several interviews with stakeholders and key staff to understand and document the big picture.
Developing and implementing key performance indicators.
Define metrics for Strategy, Compliance, Risk Management and Security Advisory areas.
Enabling the operational process to create reports with key performance indicators.
Tool selection to centralise the framework and to automatically generate the reports.
End user trainings and change management process with all stakeholders, end users and the project team.
Budget in excess of 1 M, managing a department of 60 employees.
=> Main results: A Governance Framework and Reporting System for the senior management and board of management.
The results will enable the Management to
align with the business and IT objectives,
achieve compliance requirements for business and IT operations,
have reliable reports about IT and process performance,
prove the value creation of the IT organisation.

Management-Informationssysteme, Business Analysis

9/2008 – 2/2010

KPMG LLP Europe SAP Logical Access and User Management (18 months -Berlin-London)

Role description: Sub Project Lead for the workstream SAP logical access and user management.
I was responsible for a team of IBM and BearingPoint consultants to manage the following tasks:
Optimised, documented and communicated SAP user management and provisioning process.
Assigned the system roles to end users.
Harmonised clients user management processes (provisioning, guidelines, policies, technical structuring) for different sub companies (United Kingdom and Germany).
Managed and observed the user access to nearly 100 different system environments (development, test, project, training and production) for the SAP modules HR, FI/CO, CRM, BW and Portal.
Documented the processes and established controls for clients ISO 9001 certification as well as for the internal and external Audits.
Contact person for clients internal and external audits.
Planned, developed and delivered training to clients internal and external staff.
Budget in excess of 10 M, managing a department of 50 employees.

=> Main results: Harmonising clients provisioning process within Europe. Implementing a strong and secure Authorisation and Role assignment process. Providing clients end users authorisation with regarding their functions and Segregation of Duty requirements.

1/2006 – 7/2006

Allied Irish Bank (AIB) Enterprise SOX re-engineering Programme (6 months Dublin)

Role description: Sub Project Lead for the processes change request management, ensure system security and system development.
Worked as the client driver to enable SOX compliancy in all assigned workstreams.
Established interviews with clients key personal to document processes and controls (design effectiveness).
Documented and reported missing controls (design effectiveness).
Implemented and remediated new controls performing interviews at the Managing Director and CIO level (design effectiveness).
Prepared, executed and documented the dry run testing for the new control environment (preparation for operational effectiveness).
Budget in excess of 4 M, managing a department of 50 staff.

=> Main results: SOX compliancy in all assigned processes.

9/2004 – 9/2007

Postbank AG Year end audit and diverse IT projects (3 years - Bonn)
Role description I: Year end auditor
Investigated the IT general controls and IT processes regarding the design effectiveness and operational effectiveness. IT general controls are covering IT operations (e.g. data recovery, business continuity, problem management, system monitoring, etc.), logical access (access to the network, data base, operating system and to the application), change management and system development.
=>Main result: With all parts communicated and verified Year end Audit report.


Role description II: Sub project lead for the project Basel II.
Established a new Firm-Wide Operational Risk Management Framework including Governance, Culture and Awareness, Policy and Procedures, Risk and control self assessment, Key risk indicators (KRI) and Reporting.
Client driver to establish an IT Risk Management Framework from the scratch.
Conducted and led workshops to enable risk and control self assessment.
Developed, documented and communicated Key risk indicators to establish a transparent IT Risk Management reporting system.
Supported the Banks tool selection process for the Risk Management Framework.
Training of clients operational IT staff, Change Management.
=> Main results: IT Risk Management Framework which enables a translation of IT Risk in a monetary value as well as appropriate and transparent Management reporting. Risk awareness within clients different IT departments.

Role description III: Sub compliancy project lead for several client projects: Payment Solutions, Bank Analyzer, High available system solutions.