Auflistung nach Schlagwort "IT-Risikomanagement"
1 - 7 von 7
Treffer pro Seite
Sortieroptionen
- ZeitschriftenartikelDifferenzierung von Rahmenwerken des IT-Risikomanagements(HMD Praxis der Wirtschaftsinformatik: Vol. 54, No. 1, 2017) Beißel, StefanRahmenwerke des IT-Risikomanagements erleichtern die systematische Identifikation, Analyse und Bewältigung von Bedrohungen und Risiken im IT-Umfeld. Ohne einen effektiven Umgang mit Risiken steigt die Gefahr, dass ein Unternehmen mit signifikanten Schäden konfrontiert wird und aufgrund der Folgen sogar seine Geschäftstätigkeit einstellt. Rahmenwerke erleichtern nicht nur die quasi obligatorische Anwendung eines IT-Risikomanagements, sondern bieten auch weitere Vorteile aus Sicht des Ressourceneinsatzes und der Qualität. Durch die Nutzung von Rahmenwerken werden z. B. die Transparenz und Vergleichbarkeit der Aktivitäten und Ergebnisse im IT-Risikomanagement erhöht. Grundsätzlich sind Rahmenwerke zwar stark zu empfehlen, allerdings ist die Vielzahl der verfügbaren Rahmenwerke schwer überschaubar und auf den ersten Blick sind diese kaum differenzierbar. Es stellt sich also die Frage, welches Rahmenwerk tatsächlich zum Unternehmen passt. Dieser Artikel erleichtert die Auseinandersetzung mit Rahmenwerken des IT-Risikomanagements, indem er verbreitete Rahmenwerke vorstellt und außerdem ihre Unterschiede und Einsatzmöglichkeiten erläutert. Es wird unter anderem beschrieben, mit welchem Rahmenwerk man die schnellsten Ergebnisse erzielen kann, welches für Begriffsdefinitionen geeignet ist, welches sich auf Akteure, Szenarien oder Vermögenswerte bezieht und mit welchem der Reifegrad von Prozessen beurteilt werden kann. Manchmal eignet sich auch eine Kombination von ausgewählten Rahmenwerken, um die individuelle Situation und die Erwartungen eines Unternehmens am besten abzudecken.AbstractFrameworks for IT risk management facilitate the systematical identification, analysis and coping of threats and risks in the IT environment. Without an effective handling of risks, the danger will increase that a company will have to face significant damages and, because of the consequences, might even have to cease business operations. Frameworks facilitate not only the quasi-mandatory application of IT risk management, but also offer other advantages from the view of resource use and quality. By using frameworks, e.g. the transparency and comparability of activities and results in IT risk management will be increased. In general, frameworks are highly recommended, but the large number of available frameworks is difficult to understand and, at first sight, they can hardly be differentiated. This raises the question of what framework actually fits into the company. This article facilitates the confrontation with frameworks of IT risk management by introducing common frameworks and explaining their differences and possible applications. Among other things, it describes which framework can be used to obtain the fastest results, which framework is suitable for definitions, which framework refers to actors, scenarios or assets, and with which framework the maturity level of processes can be assessed. Sometimes also a combination of selected frameworks is suitable to cover the individual situation and the expectations of a company in the most suitable way.
- ZeitschriftenartikelFrühwarnsysteme für das IT-Sicherheits- und Risikomanagement(HMD Praxis der Wirtschaftsinformatik: Vol. 52, No. 5, 2015) Disterer, GeorgKomplexität und Dynamik der IT führen im IT-Risikomanagement zu zunehmendem Zeitdruck. Wegen der steigenden Komplexität wird mehr Zeit für Reaktionen auf Stör- oder Notfälle benötigt, zugleich steht wegen der steigenden Dynamik weniger Zeit für diese Reaktionen zur Verfügung. Notwendig sind also immer schnellere Reaktionen, obwohl dafür immer weniger Zeit verbleibt. Nur frühe Warnungen vor aufkommenden Stör- und Notfälle können helfen, das Dilemma zu verringern. In der Betriebswirtschaftslehre sind für die Unternehmensplanung und -steuerung seit langem Frühwarnsysteme bekannt, die auf nahende Unternehmenskrisen aufmerksam machen. Ein Vergleich und die Nutzung einer gängigen Klassifikation betriebswirtschaftlicher Frühwarnsysteme weist auf eine neue Generation von Frühwarnsystemen für das IT-Risikomanagement. Derartige Systeme sind in gängigen Vorgehensmodellen wie COBIT 5 für das IT-Risikomanagement zwar grundsätzlich vorgesehen, werden heute allerdings nur rudimentär eingesetzt. Dabei könnten bei verstärkter Nutzung früher Warnsignale Schutzmaßnahmen (COBIT „Manage Service Security“) und Abwehrmaßnahmen (COBIT „Manage Continuity“) früher geplant und umgesetzt werden.AbstractExperts in IT Risk Management are under increasing time pressure: Systems complexity induces an increase of time required for reaction on incidents and emergencies. At the same time, dynamics in IT induces a reduction of time available for reactions on incidents and emergencies. Early warning systems known from management science point on systems which can help to react early in IT Risk Management. Today such systems are only used rudimentary, but they can set up awareness for emerging risks and they can be implemented into common process models for IT Risk Management, e.g. COBIT 5.
- ZeitschriftenartikelInformationstechnologie, Governance und Compliance(Wirtschaftsinformatik: Vol. 50, No. 5, 2008) Teubner, Alexander; Feller, TomIn dem Beitrag werden die Ergebnisse einer Web-Recherche zu den Themen Governance und Compliance in Zusammenhang mit dem Einsatz von Informationstechnologie vorgestellt. Hierbei zeigt sich, dass die Informationstechnologie eine doppelte Rolle einnimmt. Sie tritt zum einen als Instrument zur Realisierung der betrieblichen Governance und Compliance in Erscheinung. Zum anderen ist die IT auch ein wesentlicher Gegenstand von Governance und Compliance, sodass sich die eigenständigen Arbeitsfelder „IT-Governance“ und „IT-Compliance“ etabliert haben. Da zwischen Governance und Compliance enge Bezüge bestehen, wird in der Praxis oft auf eine klare Positionierung verzichtet. Dies gilt für die Beratungsangebote von IT-Dienstleistern ebenso wie für das Angebot von Softwarewerkzeugen. Letztere werden i. d. R. unspezifisch als Governance-Risk-Compliance-Software bezeichnet. Die duale Rolle der IT und vor allem die unpräzise und tendenziell inflationäre Verwendung der Begriffe „Governance“ und „Compliance“ erschweren die thematische Ordnung von Inhalten auf dem Word Wide Web erheblich.AbstractThe paper presents the results of a World Wide Web research on the relationships between information technology (IT) on the one hand and governance and compliance on the other. The research sheds light on two different roles IT can take up in governance and compliance. Firstly, IT is used as an instrument or tool in support of implementing governance and compliance in organizations. Secondly, IT is an important concern in governance and assurance of compliance in organizations, resulting in IT-governance and IT-compliance as issues of their own. Since the domains of governance and compliance overlap in some respect, both areas are not always properly distinguished. This can especially be observed in offerings of IT consulting firms and in the positioning of products of software developers and vendors which are often vaguely labeled as “Governance, Risk and Compliance (GRC) Software”. An imprecise and somewhat inflationary use of the terms governance and compliance impedes a systematic analysis of the field.
- ZeitschriftenartikelIT-gestützte Methodik zum Management von Datenschutzanforderungen(HMD Praxis der Wirtschaftsinformatik: Vol. 54, No. 1, 2017) Anke, Jürgen; Berning, Wilhelm; Schmidt, Johannes; Zinke, ChristianDie datenschutzkonforme Handhabung von Daten ist für Unternehmen mit komplexen IT-Landschaften eine große Herausforderung. Datenschutzverstöße stellen rechtliche und finanzielle Risiken dar, insbesondere durch die umsatzabhängigen Bußgelder, die in der neuen EU-Datenschutzgrundverordnung (EU-DSGVO) vorgesehen sind. Die Sicherstellung der Datenschutzkonformität in betrieblichen Anwendungssystemen ist bislang aufwändig und nur in geringem Umfang automatisiert. In diesem Beitrag wird ein Lösungsansatz vorgestellt, der die durchgängige Dokumentation, Durchsetzung und Kontrolle von Datenschutzanforderungen für betriebliche Anwendungssysteme gewährleisten soll, um eine nachhaltige Datenschutzkonformität zu erreichen. Dazu schlagen wir eine Methodik vor, die organisatorische Prozesse sowie technische Komponenten miteinander verbindet, um die Verwaltung von Datenschutzanforderungen stärker in das unternehmensweite IT-Management zu integrieren.AbstractHandling data in a legally compliant manner is a major challenge for companies with complex IT landscapes. The violation of data protection acts poses legal and financial risks, particularly due to the turnover-dependent fines, which are provided for in the new European General Data Protection Regulation. Ensuring the compliance with data protection acts in enterprise software systems is currently a time-consuming and costly task with a very low level of automation. In this contribution, we present an approach for the consistent documentation, enforcement and monitoring of data protection requirements in enterprise software systems. For that, we propose a methodology, which links organizational processes and technical components to integrate the management of data protection rules with company-wide IT-management.
- ZeitschriftenartikelIT-Governance, Risiko- und Compliance-Management (IT‑GRC) – Ein Kompetenz-orientierter Ansatz für KMU(HMD Praxis der Wirtschaftsinformatik: Vol. 57, No. 5, 2020) Johannsen, A.; Kant, D.Kleine und mittlere Unternehmen aller Branchen versuchen sich nach wie vor angemessen mit den Herausforderungen der Globalisierung und der digitalen Transformation auseinanderzusetzen. Sie bilden in diesem Zusammenhang wachsende Kompetenz in der Produktionsautomatisierung (Industrie 4.0) und in digitalen Geschäfts- und Verwaltungsprozessen aus. In Bezug auf IT-GRC bleiben KMU demgegenüber faktisch oft noch unreif. Bestehende Ansätze des IT-Governance‑, Risiko- und Compliance-Managements sind noch zu wenig für KMU ausgestaltet. Der Artikel stellt vor diesem Hintergrund einen zunächst aus der Literatur abgeleiteten, und dann zusammen mit Feedback von 14 IT-GRC Experten aufgestellten, Kompetenz-orientierten Ansatz zur Wahrnehmung, Messung und Steuerung des IT-Governance, Risiko- und Compliance-Managements in KMU vor. Der Ansatz enthält sechs relevante Kompetenzkategorien. Der Beitrag stellt dann zwei abgeleitete, webbasierte Tools zur Messung und Erfassung der Handlungsbedarfe und zur Unterstützung von Management-Maßnahmen vor. Der Ansatz sowie die prototypisch realisierten Tools unterstützen das IT-GRC Management von KMU gemäß ihrem Reifegrad und bedarfsorientiert. Bei der Unterstützung wird der Fokus darauf gelegt, KMU bei der Umsetzung der ständig wachsenden IT-GRC-Anforderungen schlanke und konkrete Methoden, Werkzeuge und Hilfsmittel an die Hand zu geben und die verschiedenen Stakeholder einzubinden. SMEs in all sectors are still trying to deal adequately with the challenges of globalisation and digital transformation. They are building up competence in production automation (Industry 4.0) as well as in the digitalisation of common business models and administrative processes, SMEs are, however, often still immature with regard to IT-governance, IT-security and IT-compliance. Existing approaches for IT-GRC are not suitable and tailored enough towards the needs and realities of SMEs. The article thus presents a literature-based approach for the perception, measurement and control of IT governance, risk and compliance management in SMEs, which includes six relevant categories of competence, and which was formed by also using feedback from 14 IT-GRC experts. The article then introduces two web-based tools for measuring IT-GRC maturity, but also for the management of measures in the relevant areas of competence for SMEs. The approach as well as the prototypically realized tools supports IT-GRC management in SMEs depending on the degree of their IT-GRC maturity. It entails fields of action and result types (recommendations, checklists, sample contracts). In the approach, emphasis is put on the involvement of diverse stakeholders and their points of view, needs-driven and lean methods as well as concrete tools and aids.
- ZeitschriftenartikelIT-Risikomanagement von Cloud-Dienstleistungen im Kontext des IT-Sicherheitsgesetzes(HMD Praxis der Wirtschaftsinformatik: Vol. 54, No. 1, 2017) Adelmeyer, Michael; Petrick, Christopher; Teuteberg, FrankNeben den Vorteilen von Cloud-Diensten ergeben sich durch ihren Einsatz häufig Risiken für die IT-Sicherheit von Unternehmen. Durch das am 12. Juni 2015 verabschiedete Gesetz zur Erhöhung der Sicherheit informationstechnischer Systeme sollen Betreiber Kritischer Infrastrukturen dazu verpflichtet werden, ihre IT besser vor Cyber-Attacken zu schützen. In diesem Kontext gilt es zu klären, welche Anforderungen Cloud-Betreiber als Dienstleister Kritischer Infrastrukturen umzusetzen haben oder inwiefern diese per Definition des IT-Sicherheitsgesetzes als Betreiber Kritischer Infrastrukturen angesehen werden können. Im Rahmen des IT-Risiko- und Sicherheitsmanagements bei Kritischen Infrastrukturen entstehen bei der Auslagerung von (zentralen) Prozessen und Funktionen zudem Unklarheiten, wie der Einsatz von Cloud-Dienstleistungen zu bewerten ist und welcher Handlungsbedarf auf die Cloud-Betreiber zukommt, zum Beispiel durch das geforderte Mindestsicherheitsniveau der IT-Systeme. In dem Beitrag werden ein Anforderungskatalog an Cloud-Dienstleistungen zur Umsetzung des IT-Sicherheitsgesetzes auf Grundlage von Experteninterviews entwickelt sowie Implikationen für das IT-Risikomanagement von Cloud-Dienstleistungen dargestellt. Abschließend werden Handlungsempfehlungen für Cloud-Betreiber und Betreiber Kritischer Infrastrukturen gegeben.AbstractAlongside the benefits of cloud computing IT security risks arise from the use of cloud services. The German act to increase the safety of information technology systems, which was issued on June 12, 2015, requires critical infrastructures to improve the protection of their IT against cyber-attacks. In this context, the requirements cloud operators have to implement as service providers of critical infrastructures, or whether they can be viewed as operators of critical infrastructures by definition of the IT security law, have to be clarified. Furthermore, concerning the IT risk management of critical infrastructures, questions arise when outsourcing (central) processes and functions to the cloud. Regarding this, the overall use of cloud services and the actions cloud operators have to take, for example in order to meet the required minimum level of safety of IT systems, have to be assessed. In this article, a requirements catalog for cloud services and service providers to implement the requirements of the IT security law is developed on the basis of expert interviews. Furthermore, implications for the IT risk management of cloud services and recommendations for cloud providers and critical infrastructures are presented.
- ZeitschriftenartikelUnternehmensarchitekturen aus Sicht von IT-Risikomanagement und IT-Revision(HMD Praxis der Wirtschaftsinformatik: Vol. 55, No. 5, 2018) Knoll, MatthiasDie Wahl der „richtigen“ Architektur im Kontext des Einsatzes von Informationssystemen in Unternehmen aller Branchen und Größen wird vor dem Hintergrund der fortschreitenden Digitalisierung und damit der zunehmenden IT-Durchdringung der Geschäftsmodelle und -prozesse immer wichtiger. Häufig gerät dabei eine systematische Beschäftigung mit Risiken, die sich aus der Entscheidung für (oder gegen) ein bestimmtes Architekturkonzept ergeben, in den Hintergrund. Weil jedoch Architektur-Entscheidungen einen strategischen Charakter besitzen und ihre Folgen lange nachwirken, erscheint eine risikoorientierte Betrachtung auch unter dem Gesichtspunkt einer prüferischen Begleitung entsprechender Vorhaben immer wichtiger. Der Beitrag zeigt am Three-Lines-of-Defence-Modell auf, welche Herausforderungen auf die einzelnen „Verteidigungslinien“ zukommen, wo welche Verantwortung angesiedelt sein sollte und welche Aufgaben zu übernehmen sind. In the age of digital transformation and disruptive business models the choice of a suitable architecture will play an increasingly important role when employing information technology within businesses of all sizes and industry sectors. Unfortunately a systematic consideration of risks related to a specific decision for or against a certain architectural concept often is of minor importance. However, because architecture decisions are always strategic and bear long-term effects, a risk based approach seems advisable, for example when IT-auditors provide independent (project) assurance. Based on the Three-Lines-of-Defense-Model this article demonstrates which challenges each line of defense has to meet, where responsibilities should be assumed, and which tasks each line of defense has to take over.