Informationssicherheit, Datenschutz, BCM und IT-Compliance

10/2012 – 10/2013

Interims-ISB (Informationssicherheitsbeauftragter, CISO) bei einem Bankendienstleister, Aufbau, Etablierung und Weiterentwicklung eines Informationssicherheits-Management-Systems, Vorbereitung und Unterstützung auf eine Sonderprüfung nach §44 KWG.

- Verantwortlich für den Aufbau, Betrieb und Weiterentwicklung der Informationssicherheitsorganisation (IS-Organisation) und eines Information Security Management Systems (ISMS) nach ISO 27001/2/5

- Erstellen einer an das Unternehmen angepasster Sicherheitsleitlinie und Abstimmung mit der Leitungsebene

- Vorbereitung auf eine Sonderprüfung nach §44 KWG

- Unterstützung bei der Sonderprüfung nach §44 KWG

- Koordinierung von Aktivitäten bei Kontrollen und Prüfungen durch Aufsichtsbehörden

- Unterstützung der Leitungsebene bei der Kommunikation mit Aufsichtsbehörden bei sicherheitsrelevanten Fragestellungen

- Beratung der Leitungsebene in allen Fragen der Informationssicherheit sowie bei Ereignissen im Betrieb, die die Informationssicherheit beeinflussen oder betreffen

-Aufbau, Unterstützung und Fortführung des IS-Risikomanagements im Rahmen des ISMS

- Informieren über rechtliche Neuerungen und Entwicklungen auf dem Gebiet der Informationssicherheit (IS)

- Erstellen und schreiben von Informationssicherheitskonzepten und Anpassung der Konzepte an neue gesetzliche und regulatorische Gegebenheiten

- Berichte zur Informationssicherheit

- Analyse und Nachbearbeitung von Sicherheitsvorfällen

- Unterstützung bei strategischen, systemischen und operativen Maßnahmen im Rahmen des ISMS

- Koordinierung von Sensibilisierungs- und Schulungsmaßnahmen zur Informationssicherheit

- Kontrolle der Maßnahmen zur Informationssicherheit

- Durchführung interner Audits zur Informationssicherheit

- Unterstützung der Revision im Themenbereich der Informationssicherheit- Zusammenarbeit mit dem zentralen Risikomanagement, dem Compliance-Beauftragten und dem Datenschutzbeauftragten und dem Notfallbeauftragten

8/2012 – 10/2012

Unterstützung bei der Durchführung eines Basis-Sicherheitschecks gem. BSI für eine Fachgruppe eines Landesamt, Bewertung und Dokumentation des IST-Zustandes, Abstimmung/Vorschlag von Maßnahmen zur Beseitigung von Mängeln, Erstellung eines Strategiedokumentes.

- Erstellen und Abstimmen der Webserver-Sicherheitsstrategie
- Befragung der Mitarbeiter der Fachgruppe
- Bewertung und Dokumentation des IST-Zustandes der von der Fachgruppe betreuten Systeme
- Basis-Sicherheitscheck für div. Bausteine
- Abstimmung/Vorschläge zur Beseitigung von Schwachstellen oder erkannten Mängeln

8/2012 – 8/2012

Schulung des zukünftigen Datenschutzbeauftragten (DSB) und seines Vertreters, Einführung in die Grundlagen des Datenschutzes und der Informationssicherheit, Sensibilisierung und Awareness.

- Grundlagen des Datenschutzes, Ziele, Aufbau und Grundregeln des BDSG
- Aufgaben des Datenschutzbeauftragten, Verfahrensverzeichnisse, Mitwirkung im Unternehmen
- Rechte und Pflichten eines DSB, Organisation des betrieblichen Datenschutzes
- Arbeitnehmerdatenschutz und innerbetriebliche Daten
- Werbedaten, Auskunftsrecht Berichtigung, Löschung und Sperrung von Daten; Widerspruchsrecht
- Datenschutz und IT-Sicherheit - Technische und organisatorische Maßnahmen
- Datenübermittlung ins Ausland

3/2012 – 6/2012

Durchführung eines Re-Audits auf der Basis des Rahmenwerkes des Kunden (Kombination von BSI Grundschutz, ISO 27001 und weiterer Security-Frameworks), Empfehlung von Maßnahmen.

- Bewertung des Reifegrades des ISMS
- Bewertung der durchgeführten Risikoanalyse und -behandlung
- Befragung relevanter Bereiche zur Informations- und IT-Sicherheit
- Bewertung der Umsetzung der IT- und Informationssicherheit
- Bewertung der Umsetzung des Datenschutzes nach BDSG
- Aufzeigen von Schwachstellen
- Identifikation von Maßnahmen
- Abdeckung der Anforderungen aus dem KWG §25a, §25c, MaRISK

7/2011 – 7/2012

Planung, Konzeption und Aufbau einer Informationssicherheitsorganisation und dazugehörigem ISMS, Unterstützung bei der Konzeption und Einführung von Informationssicherheits-Prozessen.

- Erstellen, abstimmen und veröffentlichen der Sicherheitsleitlinie
- Erstellen, abstimmen und veröffentlichen notwendiger Richtlinien zur Informationssicherheit (IS)
- Abstimmung der Richtlinien mit beteiligten Fachbereichen (IT, Personal, Facility-Management)
- Planung, Konzeption und Vorbereitung eines Awareness- und Sensibilisierungsprogramms
- Vorbereitung und Durchführung von Awareness- und Sensibilisierungsmaßnahmen
- Planung, Vorbereitung und Etablierung der notwendigen Prozesse und Rollen
- Ermittlung notwendiger Schnittstellen
- Etablierung von Schnittstellen
- Abstimmung und Vorbereitung für die Steuerung ausländischer Gesellschaften
- Analyse und Bewertung vorhandener Arbeitsanweisungen und Dokumentationen bezogen auf Informationssicherheit

2/2011 – 2/2012

nach Bedarf stundenweise, Coaching Notfallvorsorge, Unterstützung bei der Ermittlung kritischer Geschäftsprozesse, der Business Impact Analyse (BIA) und der Erstellung eines geeigneten Notfallhandbuches, Aktualisierung des ISMS auf der Basis des unternehmenseigenen Information Security Frameworks.

- Erfassung kritischer Prozesse
- Bewertung der definierten Ersatzprozesse
- Moderation von Workshops zur Ermittlung der Kritikalität von Geschäftsprozessen und deren
- Einstufung durch die betroffenen Fachbereiche
- Aktualisierung des ISMS
- Kurzaudit über neu hinzugekommene Maßnahmen im unternehmenseigenen Information Security Framework
- Unterstützung bei der Aktualisierung der Informationssicherheits-Leitlinie

8/2010 – 2/2011

Aufbau eines ISMS, Erstellung einer Unternehmens-Sicherheitsleitlinie, Erstellung grundlegender weiterer Richtlinien und Arbeitsanweisungen, IT-Strukturanalyse und Schutzbedarfsfeststellung, Risikoanalyse kritischer Geschäftsprozesse, Integration des ISMS in vorhandenes QMS-Portal, Abstimmung mit IT-Leitung, Datenschutzbeauftragten und QM-Beauftragten, Abstimmung des Vorgehens mit den Vorgaben des Mutterkonzerns, Übergabe des Basis-ISMS an neu einzustellenden CISO.

- Aufbau eines Basis-ISMS
- Ermittlung notwendiger Richtlinien und Arbeitsanweisung
- Erstellung der notwendigen Richtlinien und Arbeitsanweisung in Abstimmung mit der IT-Leitung und den Vorgaben des Mutterkonzerns, u.a.:
o Leitlinie
o Sicherheitsrichtlinie
o Richtlinie zur IT-Nutzung
o Richtlinie zur Sensibilisierung von Mitarbeitern
o Richtlinie zum Management von IT-Sicherheitsvorfällen
o Viren- und Datenschutzkonzept
o …
- Definition von notwendigen Maßnahmen
- Unterstützung bei der IT-Strukturanalyse und Schutzbedarfsfeststellung
- Risikoanalyse auf Basis der erhobenen Daten aus der Schutzbedarfsfeststellung
- Vorbereitung der Integration des ISMS in ein bestehendes QMS (ISO 9001)
- Aufzeigen von Schwachstellen
- Aufzeigen von Lösungsmöglichkeiten zur Beseitigung der ermittelten Schwachstellen
- Einarbeitung des zukünftigen IT-Sicherheitsverantwortlichen
- Absprache und Zusammenarbeit mit dem DSB