Komponenten der IT Compliance verstehen
Die Einhaltung von Gesetzen sowie von internen und externen Verträgen sind auch für die IT-Landschaft ein wichtiger Faktor. Für die Einhaltung der IT Compliance muss die IT-Infrastruktur einige Bedingungen erfüllen.
In diesem Beitrag gehen wir darauf ein, auf was Verantwortliche achten sollten. Gleichzeitig zeigen wir, wie Sie mit Identity und Access Management die IAM Compliance in Ihrem Unternehmen stärken.
Index
Was bedeutet IT Compliance
Einfach ausgedrückt beschreibt die IT Compliance einen verbindlichen Leitfaden zur Einhaltung von Regeln und anderen Auflagen im Bereich der IT-Infrastruktur. Im Rahmen der IT Compliance lassen sich auch interne Vorgaben umsetzen, um die IT-Sicherheit im Unternehmen signifikant zu erhöhen. Beispiele dafür sind:
Die IT Compliance im Unternehmen stellt sicher, dass eine Organisation alle Prozesse gesetzeskonform abwickelt. Auch Verträge, die es im Unternehmen und mit Kunden oder Partnern gibt, sind Sachen der IT Compliance, da hier auch die Sicherheit der Datenverarbeitung definiert wird. Die IT Compliance ist Bestandteil der IT Governance. Dazu gehören auch noch Richtlinien zum Controlling, den Geschäftsprozessen und auch dem Management.
Internationale Konventionen, EU-Richtlinien, „ungeschriebene Gesetze“, „Handelsbräuche“, moralische Verpflichtungen bei der Datenverarbeitung oder verschiedenste andere Regeln lassen sich zu einer zentralen IT Compliance im Unternehmen zusammenfassen. Schlussendlich geht es auch um einen Verhaltenskodex. Dieser beschreibt die Arbeit der Mitarbeiter im Unternehmen bezüglich
- des Umgangs mit der IT-Infrastruktur
- des Schutzes von Daten und
- des Umgangs mit Sicherheitsproblematiken.
Dabei helfen zuverlässige IT-Dienste und Anwendungen, zum Beispiel ein Identity und Access Management-System, welches sich auf IAM Compliance spezialisiert.
Die IT hilft bei der Einhaltung der Compliance
Halten sich Unternehmen oder einzelne Mitarbeiter nicht an die verschiedenen Regeln, spürt die ganze Organisation die negativen Auswirkungen. Aus diesem Grund sind klare Regeln und Strukturen notwendig, um das Risiko von Verstößen gegen die Compliance zu minimieren.
Die IT-Infrastruktur ist dabei ein wichtiges Hilfsmittel. Die IT Compliance beschreibt daher nicht nur das Einhalten der definierten Regeln während der Arbeit mit der IT. Vielmehr sorgt sie auch für die Einhaltung der Regeln, die durch die IT erst ermöglicht werden.
Beispiel dafür ist der Umgang mit Anmeldedaten und personenbezogenen Informationen. Diese sind durch gut strukturierte IT-Systeme wesentlich sicherer und effektiver, als ohne eine optimal angepasste Umgebung zur Verwaltung der Benutzeranmeldungen. Durch Verknüpfungen mit HR-Systemen können Anmeldeinformationen und Daten der Mitarbeiter einfacher, sicherer und vor allem mit fest definierten Regeln auf Basis der IT-Compliance verwaltet werden. Die IT ist nicht nur Bestandteil der Compliance, sie ist, richtig eingesetzt, ein Hilfsmittel, um die IT-Compliance zu jederzeit einhalten zu können.
Durch den Einsatz eines IAM-Systems, wie des FirstWare IDM-Portals der FirstAttribute AG, können wichtige Regeln durchgesetzt werden, die die Compliance stärken. Insbesondere Zugriffsberechtigungen sind durch Automatisierungen sicherer und einfacher zu verwalten.
IT-Sicherheit aller Systeme als Schwerpunkt
Die Compliance-Anforderungen an die IT bestehen vor allem
- aus der Sicherheit der Systeme,
- deren Verfügbarkeit und
- der Definition einer optimalen Datenaufbewahrung und Archivierung.
Auch der Datenschutz spielt dabei eine wesentliche Rolle, da in IT-Prozessen von den meisten Unternehmen auch jede Menge personenbezogene Daten verarbeitet werden.
Im Rahmen der IT Compliance sollte eine Dokumentation erfolgen, aus der auch auf Basis einer Risikoanalyse die Gefahrenpotentiale hervorgehen. Dabei spielen Hard- und Software genauso eine Rolle, wie der Rest der IT-Infrastruktur, also auch das Rechenzentrum, das Gebäude und die verschiedenen Sicherheitssysteme, die für den Zugang zu den Rechenzentren relevant sind.
Nutzen Unternehmen Cloud-Dienste, sind hier Sicherheit und Datenschutz ebenfalls sehr wichtig. Neben der Sicherheit, sind hier auch die verschiedenen Lizenzen relevant, denn alle kommerziell eingesetzten Produkte müssen natürlich auch richtig lizenziert sein. Lizenzverstöße können hohe Kosten verursachen. Unternehmen sollten durch die IT Compliance fehlerhafte Lizenzierungen vermeiden.
DSGVO, IT-Sicherheitsgesetz, ISO 27001
Neben Verträgen und Vorgaben, denen sich Unternehmen selbst unterwerfen, sind für die IT Compliance in der EU auch die Datenschutzgrundverordnung (DSGVO) wichtig sowie das IT-Sicherheitsgesetz (Gesetz zur Erhöhung der Sicherheit informationstechnischer Systeme), das vor allem für Betreiber kritischer Infrastrukturen (KRITIS) relevant ist. Dazu gehören Telekommunikationsanbieter oder auch Krankenhäuser.
Das Gesetz zur Kontrolle und Transparenz im Unternehmensbereich (KonTraG) soll die Corporate Governance vor allem in deutschen Unternehmen verbessern. Darüber hinaus sind noch die Zertifizierungen ISO 19600 und ISO 27001 eine Basis für viele Unternehmen. Mit ISO 27002:2022 erhält der Information Security Management Standard neue Maßnahmen. Wer nach ISO27001:2013 zertifiziert ist, hat in etwa zwei Jahre Zeit die Zertifizierung zum neuen Standard durchzuführen.
ITIL und COBIT für mehr IT-Sicherheit und Effizienz nutzen
Mit IT-Frameworks wie ITIL oder COBIT können Unternehmen steuern, dass IT-Prozesse nach standardisierten Vorgaben ablaufen und dabei so sicher und effizient wie möglich sind. Die Vorgaben sind nicht verpflichtend, helfen aber dabei, die eigene IT-Infrastruktur so sicher wie möglich zu betreiben und dabei auf die Erfahrung der Verfasser zurückzugreifen. Gleichzeitig verbessert sich durch die Einhaltung der Vorgaben von ITIL und COBIT nahezu immer die IT Compliance.
So erreichen Sie die optimale IT Compliance im Unternehmen
Anforderungen an die IT-Compliance definieren
Zunächst sollte genau dokumentiert werden, welche Gesetze, Normen und Verträge für das Unternehmen eine Rolle spielen, die im Rahmen der IT-Compliance unbedingt eingehalten werden müssen. Danach sollte eine Liste der betroffenen Prozesse, Programme und der IT-Infrastruktur erstellt werden, welche die IT Compliance betrifft. In diesem Rahmen lässt sich auch bereits feststellen, welche Anforderungen die einzelnen Prozesse erfüllen müssen, vor allem die Prozesse zur personenbezogenen Verarbeitung von Daten.
Unter Umständen gibt es im Unternehmen noch verschiedene Bereiche, die unterschiedliche Anforderungen an die IT Compliance haben. Hier kann es sinnvoll sein, auch Modernisierungsmaßnahmen durchzuführen, um zum Beispiel HR-Systeme direkt mit den Systemen zur Verwaltung von Benutzerkonten zu verknüpfen.
Ein Beispiel dafür ist das FirstWare IDM-Portal von FirstAttribute. Um das Onboarding von neuen Benutzern effektiver, schneller und fehlerfreier durchzuführen, ist eine Lösung mit dem Schwerpunkt IAM Compliance ideal, vor allem wenn Active Directory als Datenbasis zum Einsatz kommt.
Identifizierung von Risiken
Bestandteil der Erarbeitung einer IT Compliance ist das Identifizieren und Erörtern von Risiken, die ein Unternehmen erwartet, wenn es die Compliance nicht einhält. Dabei ist es auch sinnvoll, drohende Strafen für Verantwortliche im Unternehmen sowie Geldbußen und andere negative Auswirkungen festzuhalten.
Klare Kommunikation der Prozesse und regelmäßige Audits
Wenn alle Anforderungen klar sind und die IT Compliance-Richtlinie durch die verschiedenen Verantwortlichen im Unternehmen erstellt ist, muss diese natürlich auch im Unternehmen bekannt gemacht werden. Die Verbindlichkeit muss genauso klar sein, wie deren Durchsetzung und Überwachung. Ein Compliance-Manager kann in regelmäßigen Abständen ganzheitlich die Einhaltung der Compliance überprüfen und Audits durchführen. Erkannte Schwachstellen lassen sich damit fortlaufend erkennen und beheben sowie die dazugehörigen Prozesse optimieren. Dazu sollten Schulungen erfolgen, um die Mitarbeiter auf den neusten Stand zu bringen und für das Thema zu sensibilisieren.
Über die FirstAttribute AG
Die FirstAttribute AG ist ein unabhängiges deutsches Cloud Service- und Software-Unternehmen mit Schwerpunkt Compliance-konformes Identity & Access Management (IAM) für AD und M365/Azure AD.
Mehr über unsere anderen Produkte und Leistungen erfahren Sie unter Wir über uns.
