IT- und GRC-Enzyklopädie
Was jedes Konzept, jede Methode, jedes Dokument und jede Norm bedeutet, wie es funktioniert und wie man es anwendet, mit den offiziellen Quellen zu jeder Antwort.
Vollständige Leitfäden
- ISO 27001: der vollständige LeitfadenLesen Sie diese Artikel der Reihe nach, und Sie folgen dem Ablauf eines echten Zertifizierungsprojekts, vom Verständnis der Norm bis zur Prüfung Ihres eigenen Systems.
- NIS2: der vollständige LeitfadenDieser Pfad beginnt mit der Frage, die sich die meisten Unternehmen zuerst stellen, ob NIS2 für sie gilt, und geht dann ihre Pflichten in der Reihenfolge durch, in der Sie sie angehen würden.
- Risikomanagement: der vollständige LeitfadenDiese Artikel bauen aufeinander auf. Am Ende können Sie einen Risikoprozess einrichten, den auch ein kleines Team wirklich am Laufen hält.
- Business Continuity: der vollständige LeitfadenContinuity-Planung geht schief, wenn sie mit dem Plan beginnt. Dieser Pfad beginnt bei dem, was das Geschäft wirklich braucht, und endet bei den Mitteln, es wiederherzustellen.
Risikomanagement
- Was ist ein Risikoregister?Ein Risikoregister ist die laufend gepflegte Liste dessen, was einem Unternehmen schaden könnte: wer für jedes Risiko einsteht, wie schwer es wiegt, was dagegen getan wird und wie weit diese Arbeit ist.
- Die Risikomatrix erklärtEine Risikomatrix ist ein Raster, das Wahrscheinlichkeit und Auswirkung kreuzt. Sie erlaubt einem Unternehmen, sehr unterschiedliche Risiken auf einer Skala zu vergleichen und zu entscheiden, welche zuerst anzugehen sind.
- Methodik der RisikobeurteilungEine Methodik der Risikobeurteilung ist das feste Vorgehen, mit dem ein Unternehmen seine Risiken identifiziert, analysiert und bewertet, damit zwei Personen, die dasselbe beurteilen, zu vergleichbaren Ergebnissen kommen.
- RisikobehandlungsplanEin Risikobehandlungsplan sagt, was mit jedem Risiko geschieht, das das Unternehmen nicht so belassen will, wie es ist: welche Option, welche Maßnahmen, wer sie umsetzt, bis wann und welches Ergebnis zu erwarten ist.
- RisikoverantwortungDer Risikoeigentümer ist die Person, die für ein bestimmtes Risiko einsteht, mit der Befugnis, über seine Behandlung zu entscheiden, sie zu bezahlen und zu akzeptieren, was bleibt.
- Risikobeurteilung nach ISO 27001ISO/IEC 27001 verlangt einen festgelegten Prozess zur Beurteilung von Informationssicherheitsrisiken (Abschnitt 6.1.2), durchgeführt in geplanten Abständen (Abschnitt 8.2), der Risiken und ihre Eigentümer identifiziert, sie analysiert und anhand festgelegter Kriterien bewertet.
- Inventar der WerteEin Inventar der Werte ist die aktuelle Liste der Informationen, Systeme, Geräte und Dienste, von denen ein Unternehmen abhängt, jeweils mit einem Verantwortlichen. Was man nicht kennt, kann man nicht schützen.
Compliance
- Risikobewertung nach DSGVOEine Risikobewertung nach DSGVO betrachtet die Risiken, die eine Verarbeitungstätigkeit für die Rechte und Freiheiten von Personen schafft. Ist dieses Risiko voraussichtlich hoch, verlangt Artikel 35 eine Datenschutz-Folgenabschätzung (DSFA).
- Was ist Compliance-Management?Compliance-Management ist die fortlaufende Arbeit, zu wissen, welche Pflichten für ein Unternehmen gelten, sie zu erfüllen, das nachzuweisen und zu korrigieren, was nicht ausreicht.
- Leitfaden zum Compliance-FragebogenEin Compliance-Fragebogen ist eine strukturierte Reihe von Fragen, die zeigt, wo ein Unternehmen gegenüber einem Gesetz, einer Norm oder einem Vertrag steht und wo es zurückbleibt.
- Interne Kontrollen erklärtEine interne Kontrolle gibt angemessene Sicherheit, dass ein Unternehmen seine Ziele trotz seiner Risiken erreicht: eine vorgeschriebene Genehmigung, eine Funktionstrennung, eine Überprüfung, eine technische Beschränkung.
- Was ist ISO 27001?ISO/IEC 27001 ist die internationale Norm für ein Informationssicherheits-Managementsystem: die Art, wie ein Unternehmen die Sicherheit seiner Informationen steuert, bewertet und verbessert.
- Erklärung zur AnwendbarkeitDie Erklärung zur Anwendbarkeit ist das verpflichtende Dokument der ISO/IEC 27001, das angibt, welche Maßnahmen ein Unternehmen braucht, warum, ob sie umgesetzt sind und warum eine Maßnahme aus Anhang A entfällt.
- Was ist NIS2?NIS2 ist die EU-Richtlinie (2022/2555), die mittleren und großen Einrichtungen in kritischen Sektoren Cybersicherheitspflichten auferlegt: Risikomanagementmaßnahmen, Meldung von Vorfällen und Verantwortung der Leitung.
- NIS2-ChecklisteEine NIS2-Checkliste folgt dem Aufbau der Richtlinie: Anwendungsbereich, die Pflichten des Leitungsorgans (Artikel 20), die zehn Maßnahmen aus Artikel 21 Absatz 2 und die Meldefristen (Artikel 23).
- Was ist die DSGVO?Die Datenschutz-Grundverordnung (EU) 2016/679 legt die Regeln für die Nutzung personenbezogener Daten in der Europäischen Union fest. Sie gilt seit dem 25. Mai 2018.
- Compliance-ÜberwachungCompliance-Überwachung ist die regelmäßige Prüfung durch die Verantwortlichen, dass Pflichten weiterhin erfüllt werden und Kontrollen weiterhin wirken, damit Probleme vor dem Audit sichtbar werden.
Business Continuity
- Was ist Business Continuity?Business Continuity ist die Fähigkeit eines Unternehmens, seine wichtigsten Produkte und Dienstleistungen während einer Störung auf einem akzeptablen Niveau weiter zu erbringen, egal was sie verursacht hat.
- Was ist Disaster Recovery?Disaster Recovery ist die Gesamtheit der Pläne und technischen Mittel, die IT-Systeme und Daten nach einer schweren Störung innerhalb der mit dem Geschäft vereinbarten Zeiten zurückbringen.
- Business Continuity oder Disaster RecoveryBusiness Continuity hält das Geschäft während einer Störung am Laufen, und Disaster Recovery stellt die IT wieder her, von der es abhängt. Die Wiederherstellung ist ein Teil der Continuity.
- Business-Impact-AnalyseEine Business-Impact-Analyse, kurz BIA, ermittelt, was im Zeitverlauf geschieht, wenn eine Tätigkeit stillsteht, und legt daraus ihre Priorität und ihre Wiederherstellungsziele fest.
- RTO erklärtDie Recovery Time Objective, kurz RTO, ist die Zeit, innerhalb derer eine Tätigkeit oder ein System nach einer Störung wieder verfügbar sein muss, bevor die Folgen inakzeptabel werden.
- RPO erklärtDie Recovery Point Objective, kurz RPO, beschreibt, wie viele der jüngsten Daten ein Unternehmen verlieren darf, ausgedrückt als Zeitspanne vor dem Vorfall.
Audit
- Leitfaden zum internen AuditEin internes Audit ist eine unabhängige, geplante und dokumentierte Prüfung, ob die Praxis eines Unternehmens seine Anforderungen erfüllt und wie vorgesehen funktioniert.
- Audit-ChecklisteDie Audit-Checkliste ist das Arbeitsdokument des Auditors. Sie sagt für jedes Kriterium, was anzusehen ist, wen man fragt und was man stichprobenartig prüft, und sie hält fest, was gefunden wurde.
- AuditfeststellungenEine Auditfeststellung vergleicht einen Nachweis mit einem Kriterium. Sie sagt, was geschehen sollte, was gesehen wurde, warum es wichtig ist und warum es geschah.
- Checkliste für das NetzwerkauditEine Checkliste für das Netzwerkaudit prüft, dass ein Netzwerk bekannt, segmentiert, aktuell, überwacht und nur für diejenigen erreichbar ist, die es erreichen sollen, mit einem Nachweis für jede Zeile.
Drittparteirisiken
- LieferantenrisikobewertungEine Lieferantenrisikobewertung ermittelt, was über einen bestimmten Lieferanten schiefgehen könnte, wie gut dieser vorbereitet ist und ob das verbleibende Risiko tragbar ist.
- Drittparteien-RisikomanagementDrittparteien-Risikomanagement ist das Programm, das die Risiken der Abhängigkeit von Lieferanten und Partnern steuert, von ihrer Auswahl bis zum Ende der Geschäftsbeziehung.
- SicherheitsfragebögenEin Sicherheitsfragebogen ist die Liste von Fragen, die ein Einkäufer einem Lieferanten schickt, um dessen Sicherheitspraxis zu prüfen. Ihn gut zu beantworten ist heute Teil des Verkaufs.
Praxisleitfäden
- Was ist GRC? Governance, Risiko und Compliance erklärtGRC steht für Governance, Risiko und Compliance: wie ein Unternehmen seine Regeln festlegt, mit dem umgeht, was schiefgehen könnte, und nachweist, dass es seine Pflichten erfüllt.
- Wie man den Anwendungsbereich eines ISMS festlegtDer Anwendungsbereich sagt, welchen Teil des Unternehmens das ISMS abdeckt. Abschnitt 4.3 der ISO/IEC 27001 verlangt, seine Grenzen und Anwendbarkeit festzulegen und ihn als dokumentierte Information aufzubewahren.
- Wie man eine Compliance-Gap-Analyse durchführtEine Gap-Analyse vergleicht Ihre heutige Praxis mit den Anforderungen eines Rahmenwerks, um zu zeigen, was fehlt und was zuerst zu tun ist. Sie ist oft der erste Schritt eines Compliance-Projekts.
- DORA-Anforderungen: die fünf Säulen erklärtDer Digital Operational Resilience Act, Verordnung (EU) 2022/2554, gilt seit dem 17. Januar 2025 für Finanzunternehmen in der EU und legt einheitliche Regeln zur IKT-Resilienz fest.
- HIPAA Security Rule: Schutzmaßnahmen und DokumentationDie HIPAA Security Rule (45 CFR Part 164, Subpart C) legt US-Standards zum Schutz elektronischer Gesundheitsinformationen fest, die von erfassten Einrichtungen und ihren Geschäftspartnern gehalten werden.
- Die 12 Anforderungen von PCI DSS erklärtPCI DSS ist der Sicherheitsstandard der Kartenbranche für jedes Unternehmen, das Karteninhaberdaten speichert, verarbeitet oder überträgt. Dieser Leitfaden folgt Version 4.0.1, veröffentlicht im Juni 2024: Die neueste Version finden Sie in der Dokumentenbibliothek des PCI SSC.
- DSGVO-Datenpanne: was in 72 Stunden zu tun istNach Artikel 33 DSGVO muss eine Verletzung des Schutzes personenbezogener Daten innerhalb von 72 Stunden nach Bekanntwerden der Aufsichtsbehörde gemeldet werden, es sei denn, sie führt voraussichtlich nicht zu einem Risiko für die Menschen.
- SOC 2 oder ISO 27001: Unterschiede und AuswahlISO/IEC 27001 zertifiziert ein Managementsystem; ein SOC-2-Bericht gibt das Urteil eines Prüfers über Ihre Kontrollen. Beide überschneiden sich stark, und die richtige Wahl hängt vor allem davon ab, was Ihre Kunden verlangen.
- Richtlinie, Verfahren, Standard, Leitfaden: was ist der Unterschied?Diese vier Dokumentarten beantworten unterschiedliche Fragen. Sie getrennt zu halten macht jedes kürzer, leichter zu genehmigen und leichter aktuell zu halten.
- Zugriffsüberprüfungen: wie man sie durchführtEine Zugriffsüberprüfung prüft, ob Menschen die Zugriffe, die sie haben, noch brauchen. Sie gehört zu den am häufigsten getesteten Kontrollen, und Mängel hier tauchen oft in Auditfeststellungen auf.
- Wie man einen Incident-Response-Plan schreibtEin Incident-Response-Plan sagt, wer was tut, wenn etwas schiefgeht. Im Voraus geschrieben, spart er die Stunden, in denen Entscheidungen am meisten zählen.