Interimsweise Übernahme der Rolle des IT Risiko Managers. Als Teil der operationelle Risiken (MaRisk), habe ich in dieser Rolle verschiedene Aufgaben übernommen:

• Unterstützung des Kunden beim Management von IT Risiken
• Koordination bei der Einführung des internen Kontrollsystems (IKS), basierend auf NIST.
• Überwachung von incidents sowie ad hoc reporting.
• Regelmäßiges Reporting an die Stakeholder.
• Ansprechpartner für die Auditoren sowie für das Thema individuelle Datenverarbeitung (IDV).
• Methodische Weiterentwicklung des IT RM gemäß Compliancevorgaben (z.B. Implementierung von Key Risk Indikatoren (KRI), Abstimmung der Risikoszenarien mit internen und externen Vorgaben, Einsatz eines zentralen Risikoregisters, etc).
• Unterstützung CISO beim Management der Informationsrisiken gemäß BAIT, MARISK Vorgaben und bei Remediation von Audit findings.

Implementierung des Information Security Management Systems (ISMS). Vollständige, operative Umsetzung des ISMS. Vorbereitung und Begleitung des Kunden auf die erfolgreiche TÜV ISO 27k Zertifizierung des Unternehmens (u.a. das Aufsammeln sowie Vorbereitung der Nachweise).

• Implementierung ISMS für das Unternehmen, basierend auf ISO27001/ISO27002 Kontrollanforderungen. Dabei habe ich die Einführung/Implementierung im Unternehmen geplant, kommuniziert und operativ umgesetzt (hands-on). Die Ergebnisse dieser Implementierung wurden von den TÜV Auditoren sowie von der internen Revision geprüft und abgenommen.
• Nach der erfolgreichen Zertifizierung des Unternehmens war ich Zuständig für die Umsetzung der Verbesserungsvorschläge der Auditoren.
• Erstellung der Richtlinien basierend auf ISO 27001/ISO27002 (Compliance mit internen sowie externen Vorgaben). Kommunikation der Richtlinien mit allen Verantwortlichen im Unternehmen (sowohl C-Level als auch IT Mitarbeiter).
• Information Security Assessments der Lieferanten/Dienstleister des Kunden.

Cyber Defense Beraterin (KRITIS Projektleiterin sowie ISMS Implementierung) Vollständige, operative Umsetzung des Information Security Management Systems (ISMS). Dabei war ich u.a. auch Hauptansprechpartnerin bei IT-Sicherheitsprüfungen sowie IT Compliance Themen wie IFC, VAIT, KRITIS. Zusätzlich habe ich für die KRITIS relevanten Kunden meines Auftraggebers monatliche ?Reportings? vorbereitet. Im folgenden fasse ich meine Hauptaufgaben zusammen:

• Vollständige Implementierung ISMS für das Unternehmen, basierend auf ISO27001/ISO27002 Kontrollanforderungen. Dabei habe ich die Einführung/Implementierung im Unternehmen geplant, kommuniziert und operativ umgesetzt (hands-on). Die Ergebnisse dieser Implementierung wurden von dem Big Four Unternehmen E&Y sowie von der internen Revision geprüft und abgenommen.
• Erstellung monatliche ?Reportings? für KRITIS-Anforderungen des Kunden. Das ?Reporting? basierte auf ausgewählte ISO 27001 Bereiche, wie ?Identity Access Management?, ?Operations Security?, Security Incident Management?, ?Supplier Relationsships?, etc.
• Aufstellen von ?KEY Performance Indikatoren (KPI)? in Abstimmung mit den relevanten Ansprechpartner mein Auftraggebers sowie deren Kunden.
• Single Point of contact (SPOC) für IT Security relevanten Prüfungen sowie für IT Compliance Themen IFC, VAIT, KRITIS, etc.
• Erstellung sowie Abstimmung von C-Level Präsentation.
• International aufgestelltes Projekt. Projektsprache deutsch so wie englisch.

Beraterin sowie Qualitätssicherungsinstanz für ERGO?s international veröffentlichtes Informationssicherheitsanforderungen. Die Informationssicherheitsanforderungen (IS-Anforderungen) des Unternehmens wurden nach meiner Qualitätssicherung mit der Geschäftsführung abgestimmt und global veröffentlicht.

• Review und Prüfung aller bestehenden IS-Anforderungen, die bereits vom Kunden vorbereitet waren.
• Zuordnung der ERGO IS-Anforderungen zu den aktuellen gesetzlichen Vorgaben und der ISO 27001 Anforderungen als Compliance Tätigkeiten. Ableitung und Dokumentation der entsprechenden Richtlinien aus diesen abgestimmten IS-Anforderungen.
• Ansprechpartner für die unternehmensweiten IS-Anforderungen.
• Aufsetzen von Meetings/Workshops mit internen Mitarbeitern, um meine Ergebnisse abzustimmen.
• Die Vorbereitung sowie Dokumentation aller Unterlagen erfolgte auf englisch.

Teilprojektleiterin für den SWIFT Customer Security Programm (CSP) Framework. Das SWIFT Projekt ist Teil des Cyber Security Programms mit weiteren Teilprojekten. Ziel des Teilprojektes ist die Umsetzung der von SWIFT angeforderten Kontrollen, die an ISO 27001, PCI DSS sowie NIST angelehnt sind.

• Dokumentation der angeforderten Kontrollen. Daraus habe ich für den Kunden einen Fragebogen abgeleitet, den ich mit den jeweiligen Abteilungen in Interviews abgestimmt habe.
• Erstellung eines “Remediation Plans” um die identifizierten Abweichungen zu schliessen. Den Plan habe ich in Workshops mit dem Kunden abgestimmt und daraus einen Umsetzungsplan abgeleitet.
• Risikobasiertes Vorgehen. Abstimmung des Risikoappetits in Abstimmung mit dem Risiko Fachbereich.
• Schnittstelle sowie Ansprechpartner für die SWIFT Organisation, für die internen Abteilungen sowie für das Globale SWIFT Programm des Kunden.
• Vorbereitung sowie Präsentation von Entscheidungsvorlagen für das Senior Management sowie für den Lenkungsausschuss.
• Projektmanagement Tätigkeiten. Die Planung sowie Leitung des Teilprojekts, der Ressourcen, der Ergebnisse und Meilensteine. Regelmäßige Berichterstattung an die Programmleitung.

• Berater und Autor für Informations-Technologie, Information Security, Compliance und Governance sowie für Prüfungsthemen. 
• Unterstützungen von kleinen bis mittelständigen Unternehmen bei Fragen zu den oben genannten Themen. 
• Erstellung von Richtlinien an Endbenutzer.

Unterstützung bei der Aufbau der Chief Information Security Office (CISO). Meine Haupttätigkeiten umfassen die Beratung sowie Unterstützung des Kunden bei der Aufbau der CISO-Office:

• Aufbau des CISO basierend auf gängige Standards sowie Best Practices (ISO 27001, COBIT)
• Integration CISO Office in Risiko Management Bereich mit Betrachtung der MaRisk Novelle.
• Schnittstelle zwischen dem Security Officer und den Fachabteilungen, um den neuen CISO in seiner Rolle zu unterstützen.
• Konzentration auf die für die Bank wichtigen Bereiche “Identity Access Management”, “Daten Klassifizierung”, “Management Informationssystem”, “Werte Management (Asset)”, Compliance Themen (u. a. MaRisk Novelle, KWG, ITSiG, Datenschutz sowie Sarbanes Oxley) sowie internes Kontrollsystem. Umsetzung dieser Themen für die von der Bank als “kritisch” vorgegebenen Systeme.
• Design der notwendigen internen Kontrollen für Identity & Access Management (IAM); Interimsweise Übernahme der Projektmanagement Funktion bei der Einführung des IAM Applikation “D1IM”. Unterstützung des Kunden bei der Erstellung der Berechtigungskonzepte. 

Meine Haupttätigkeiten umfassen die Beratung sowie Unterstützung des Kunden in den Bereichen IT Compliance und Governance:

• Analyse sowie Aktualisierung der bestehenden IT Security Vorgaben in Abstimmung mit dem CISO Office.
• Aufnahme, Bewertung und Dokumentation der neuen Vorgaben im Hinblick auf Business Impact (Business Impact Analyse) sowie Umsetzung insbesondere für die als “kritisch” definierten Systeme.
• Unterstützung sowie Beratung des Kunden bei der Identifikation der kritischen Systeme.
• Sicherheitsbewertungen: Definition von Kontrollen sowie Technischen-, Organisatorischen- und Verhaltensmaßnahmen um Sicherheitsschwachpunkte zu schliessen. Dabei habe ich ein risikoorientiertes Verfahren angewendet.
• Definition von Kontrollen sowie Maßnahmen um zukünftige Audit Schwachpunkte zu schliessen.
• Vorbereitung, Aufsetzen und die Durchführung von Trainings um das Sicherheitsbewusstsein im Unternehmen zu erhöhen.
• Aufsetzen und Durchführung von Trainings für das globale “information classification” Programm.
• Im Rahmen des globalen Programms habe ich unter anderem mehrere Teilprojekte in Leverkusen, in Belgien - Niederlanden - Luxemburg (BeNeLux - Länder), Bayer Türk in Istanbul sowie Bayer USA in Whippany, New Jersey, USA Vorort betreut.

• Aufsetzen sowie die Kommunikation eines IS Risk Management Verfahrens für ein IT Projekt basierend auf die bestehenden Vorgaben (Policies, Guidelines sowie regulatorische Vorgaben) des Kunden.
• Durchführung von Risikobewertungen (Business Impact Analysen) auf Applikationen und Prozesse im Hinblick auf Information Security.
• Ausarbeitung der ISO 27001 Sicherheitsvorgaben und COBIT Kontrollen für Applikationssicherheit.
• Identifikation von Sicherheitsschwachpunkten und gemeinsame Evaluierung der identifizierten Punkte mit den Interessengruppen (Stakeholder) um die Schwachpunkte zu schliessen.
• Begleitung des SAP GRC Projekts. Überwachung der User Management, Autorisierung und Rollendefinition um Risiken zu vermeiden.
• Unterstützung des Kunden um Prüfungsschwachpunkte (Audit Findings) zu schliessen und um weitere “Findings” zu vermeiden.
• Beratung des Kunden bei Themen Information Security Assessment, Risk based approach sowie Business Impact Analysen.
• Präsentation der Arbeitsergebnisse sowie Lösungsansätze an die Stakeholder.

Als IT Security & Compliance Stream Lead war ich verantwortlich für die Ausarbeitung sowie Implementierung der Sicherheitsstandards und Telekommunikationsregularien in das Softwaresystem (das System wurde für die Huawei Kunden E-Plus in Düsseldorf und Virgin Media in London - Hook entwickelt). Meine Rolle umfasste die Analyse der Compliance Vorgaben und Sicherheitsanforderungen um die projektrelevanten Anforderungen zusammenzufassen, diese das Projektteam zu präsentieren, damit diese angemessen implementiert wurden. 

• Entwicklung der sog. ?Compliance matrix? (Bewertung und Aufnahme für das Projekt relevanten Regularien und Standards).
• Vorbereitung und Ausbildung der Business Analysten (BA) und Entwickler.
• Management Meetings (Präsentation von Lösungsansätzen im Falle von Konfliktsituation, Aufklärung, etc.). 
• Betreuung und Beratung des Projektteams durch das gesamte ?Software Development Life Cycle?.
• Vorbereitung der End to End und User Acceptance Tests.
• Verantwortung über ein Projektteam von ca. 50 Mitarbeitern (Business Analysten, Entwickler, Solution Architekten, Mitarbeiter des Endkunden. Zusammenarbeit und Führung von Spezialisten aus China, Indien, Rumänien, USA, UK, Deutschland).

Ausgewählte Tätigkeitsfelder und Module:

• User Management (USM)
• Customer Relations Management (CRM)
• Partner Relations Management (PRM)
• Convergent Billing Solution (CBS)
• Revenue Assurance
• Reporting (BICP)
• Mediation Device

Verantwortliche Regularien & Industrie Standards:

• ISO 27001
• COBIT
• Financial Standards (USGAAP, IFRS, GOBS, IDW Vorgaben wie z.B. PS330)
• SOX (Application controls und General Computer Controls)
• PCI DSS
• Datenschutz sowie SEPA

Definition der Key Leistungsindikatoren (KPI), um die Ausrichtung der Sicherheitsstrategie auf die IT-Strategie sowie den Sicherheitsgrad des Unternehmens zu messen. Die Rolle umfasste die Definition von geeigneten KPI?s und KPI-Attributen, die Operationalisierung der Attribute sowie die Abstimmung mit dem Kunden. Die KPI?s wurden auf die Bereiche ?Strategy?, ?Compliance?, ?Risk Management? und ?Sicherheitsberatung? ausgerichtet. =>Das Ergebnis ist ein sog. ?Governance Framework und Reporting System? für das Senior Management. Dabei wurde dem Management folgendes ermöglicht:

• Prozentuale Angabe, in wie weit Business-Ziele durch IT Sicherheit abgedeckt werden
• Prozentuale Angabe, in wie weit die Compliance Anforderungen durch das operative IT Geschäft erreicht werden
• Berichte über das operative IT Geschäft sowie IT- Prozess Effektivität

Strategische und operationale Führung des Test Teams eines Software Entwicklungsprojektes. Erstellung sowie Dokumentation der Teststrategie für ein Software Entwicklungsprojekt mit komplexer Systemumgebung (SAP, Oracle und weitere Bankenapplikationen ?Kondor+?, ?Finance Kit?, ?KontenDB?, KreDa, ?Zahlungssystem ABK?). Verantwortlich für ein gemischtes Team bestehend aus Businessanalysten, Entwicklern sowie Business End User. Aufsetzen der Teststrategie für die Vorbereitung und Ausführung der Software Teststufen ?Systemtest?, ?Integrationstest?, ?User Acceptance Test?. 

• Interviews mit Stakeholder, mit den Schlüsselfunktionen im Betrieb und im Projekt um das Gesamtbild über das Projekt zu erhalten und die Strategie zu bestimmen.
• Dokumentation, Verifikation und die Abstimmung der Teststrategie mit den Stakeholder.
• Leitung und Überwachung der Teststufen ?Systemtest? und ?Integrationstest?.
• Leitung und Überwachung der ?User Acceptance Tests? und der ?End Benutzer Training?.
• Leitung des ?Business Transformationsprozess? mit Stakeholder, End Benutzer und das Projektteam.
• Mitglied des Lösungsteams sowie Kontaktperson für die Risiken im Projekt.

Verantwortlich für die SAP User Management Prozess Optimierung und technische Zuordnung von Rollen an Benutzer (Provisioning für ca. 30.000 Benutzer). Teil des Projektscopes waren die europäischen Tochterunternehmen United Kingdom und Deutschland. Dabei habe ich ein Team bestehend aus IBM und BearingPoint Beratern geleitet und folgende Aufgaben verantwortet:

• Optimierung und Harmonisierung der Sub Prozesse „Change Request Management“, „Provisioning“ und „Freigabeprozess“.
• Überwachung der Einhaltung der genannten Prozesse sowie der Service Level Agreements. 
• Modellierung und Dokumentation von Policies, Guidelines der erwähnten Prozesse sowie Kontrollen für die ISO 9001 Zertifizierung des Kunden.
• Erstellung und Präsentation von Konzepten bei Handlungsbedarf, neuen strategischen Ausrichtung sowie Kostensenkungspotenzialen.
• Erstellung und Präsentation des Managementreports.
• Kontaktperson für die interne und externe Audits des Kunden.
• Ausbildung der  internen und externen Mitarbeiter des Kunden.

• Review, Bewertung und Optimierung des Security Handbuchs basierend auf Industriestandards, Compliance.Anforderungen sowie der IT Strategie des Unternehmens.
• Review und Optimierung des Notfall Benutzer Konzepts.
• Aufsetzen und Leitung von Workshops.
• Definition von Key Schlüsselindikatoren (KPI) um die Ausrichtung der Sicherheitsstrategie mit der IT-Strategie des Unternehmens zu bewerten sowie um den Sicherheitsgrad im Unternehmen zu messen.
• Aufsetzen eines Information System Security Reporting Systems.

Projektbegleitende Prüfung Online Banking System

• Projektbegleitende Prüfung bei der Entwicklung des Online Banking Systems für Volks- und Raiffeisen Banken.
• Bewertung der Einhaltung der internen Anforderungen.
• Bewertung der Überführung der fachlichen Anforderungen in die technische Spezifikation.
• Vergleich der Anforderungen des im Unternehmen bestehenden Vorgehensmodells mit best practices wie z.B. „COBIT“ Anforderungen.
• Bewertung der Einhaltung der Unternehmensvorgaben im Projekt.
• Kommunikation der Ergebnisse - in Berichtsform - mit dem Kunden.

Teilprojektleiter des Sarbanes Oxley Act Projektes für die IT Themen “Software Entwicklung“, „Change Request Management“ und „Ensure System Security“.

• Bewertung der  „design“ und „operational effectiveness“ der oben aufgeführten IT-Prozesse.
• Aufsetzen und Durchführen von Walkthroughs sowie Interviews mit Stakeholder.
• Erarbeiten von Lösungsansätzen bei Abweichungen (Redesign/Remediation).
• Aufstellung des Testverfahrens zur Bestimmung der „operational effectiveness“.
• Training und Mentoring des Senior Managements über SOX-Anforderungen sowie Aufbau und Einhaltung des internen Kontrollsystems.
• Unterstützungen bei der “Business Transformation”, während des Change Management Prozesses sowie bei der Aufbau der Compliance - Abteilung.
• Dokumentation und Kommunikation der Ergebnisse mit dem Kunden.