Cybersecurity-Compliance

Cybersecurity-Compliance bedeutet, dass die Sicherheitsmaßnahmen einer Organisation einem Satz externer Anforderungen entsprechen und dass sie das auf Verlangen zeigen kann. Die Anforderungen können aus einem Gesetz, einer Branchenregel, einem Kundenvertrag oder einer veröffentlichten Norm stammen. Die Frage ist immer dieselbe: Tut die Organisation, was die Regel verlangt, und kann sie es belegen?

Das Thema hängt eng mit dem Datenschutz zusammen, denn die meisten Regeln sollen personenbezogene, finanzielle oder Gesundheitsdaten schützen. Es ist zugleich eine Führungsaufgabe: Pflichten müssen verfolgt, zugewiesen und überprüft werden, womit sich das Compliance-Management befasst.

Das wichtigste Wort ist Nachweis. Eine Kontrolle, die wirkt, aber keine Spuren hinterlässt, lässt sich im Audit schwer verteidigen, und eine Richtlinie, die niemand befolgt, ist ein Risiko und kein Schutz.

Nur wenige Organisationen unterliegen einem einzigen Regelwerk. Die Quellen unterscheiden sich darin, wer sie durchsetzt und was bei Verstößen geschieht, deshalb ist es ein guter erster Schritt, sie nach Herkunft zu ordnen. Viele Programme orientieren sich an einem Managementrahmen wie einem ISMS, und Kunden verlangen häufig einen unabhängigen Bericht wie SOC 2.

Egal welches Regelwerk gilt, die Arbeit folgt einem Kreislauf. Sie endet nicht mit einem Zertifikat oder einem bestandenen Audit, denn Anforderungen, Systeme und Bedrohungen ändern sich ständig. Der Kreislauf wiederholt sich durch das Compliance-Monitoring.

1. 1

   Pflichten abgrenzen

   Listen Sie die geltenden Gesetze, Normen und Verträge auf sowie die Systeme und Daten, auf die sie sich beziehen.

2. 2

   Anforderungen Kontrollen zuordnen

   Machen Sie aus jeder Anforderung eine konkrete Kontrolle mit benanntem Verantwortlichen, etwa Zugriffsprüfungen oder Protokollaufbewahrung.

3. 3

   Umsetzen und dokumentieren

   Führen Sie die Kontrollen ein und halten Sie Richtlinien und Abläufe schriftlich fest, die Mitarbeitende befolgen können.

4. 4

   Nachweise sammeln

   Bewahren Sie Protokolle, Berichte und Aufzeichnungen auf, die zeigen, dass jede Kontrolle über die Zeit wirkt.

5. 5

   Prüfen und verbessern

   Testen Sie die Kontrollen, schließen Sie Lücken und wiederholen Sie den Kreislauf, wenn sich Regeln oder Systeme ändern.

Nachweise stammen meist aus den Werkzeugen, die Daten und Nutzer beobachten. In der Anexet-Konsole protokollieren Sicherheitsregeln Vorfälle mit einer Risikostufe, Vorfallberichte lassen sich pro Regel erstellen und zeitgesteuert versenden, und die Sicherheitsberichte geben Prüfern eine Aufzeichnung zum Arbeiten statt Screenshots, die in der Woche vor dem Audit zusammengetragen wurden.

1 / 3

• 
• 
• 

Compliance scheitert am häufigsten an den Übergaben und nicht an der Technik. Eine kurze Zuständigkeitsübersicht verbindet jede Anforderung mit jemandem, der handeln kann.

Ein bestandenes Audit zeigt, dass die geforderten Kontrollen zum Prüfzeitpunkt vorhanden waren und wirkten. Es beweist nicht, dass die Organisation nicht angegriffen werden kann. Regeln legen eine Untergrenze fest, und Angreifer lesen diese Untergrenze nicht, daher kann auch ein regelkonformes Unternehmen eine Datenschutzverletzung erleiden.

Umgekehrt gilt es auch: Starke, aber undokumentierte Sicherheit kann ein Audit nicht bestehen. Praktisch heißt das, die Regeln als Fundament zu behandeln und die Sicherheit darauf aufzubauen, wobei das Compliance-Risiko zeigt, wo Lücken am teuersten würden.

Die meisten Programme stolpern an denselben Stellen:

• Compliance als jährliches Projekt statt als fortlaufenden Prozess behandeln
• Nachweise erst in den Wochen vor dem Audit sammeln
• Ein Werkzeug kaufen und annehmen, dass es die Organisation konform macht
• Richtlinien schreiben, die niemand gelesen hat oder befolgen kann
• Dritte übersehen, obwohl ihr Zugriff auf Ihre Daten in Ihrer Verantwortung liegt

Fangen Sie klein und konkret an. Halten Sie fest, welche Regeln für Sie gelten, wählen Sie die Daten, deren Offenlegung am meisten schaden würde, und prüfen Sie, ob die Grundkontrollen für diese Daten vorhanden sind und Spuren hinterlassen. Bauen Sie von dort aus weiter, statt ein Rahmenwerk zu errichten, das niemand nutzt.