• Vorbereitung der Prüflisten für die Dokumenten und die Vor-Ort-prüfung für die ausgewählten und im Prüf-Scope liegenden Anforderungen 

• Planung und Organisation der Vor-Ort-Prüfungen 

Teil 02: Durchführung von Audits 

• Durchführung von Dokumentenprüfungen für die prüfungsrelevanten Anforderungen 

• Durchführung von Vor-Ort-Prüfungen an den Standorten der GIZ in Bonn und Belgrad  

• Überprüfung des Umsetzungsstandes der Anforderungen 

• Dokumentation der Ergebnisse der Prüfung des Umsetzungsstandes der Anforderungen 

• Ableitung des Umsetzungsstandes (umgesetzt, teilweise umgesetzt, nicht umgesetzt uvm.) in Abhängigkeit zur Folge einer Empfehlung, Abweichung oder schwerwiegenden Abweichung 

• Herleitung des Gaps zwischen der Anforderung und der Umsetzung sowie Definition der umzusetzenden Maßnahmen oder Empfehlung  

• Ergebniszusammenfassung und Vorstellung gegenüber der geprüften Stelle, insb. gegenüber den Auditbeteiligten der Vor-Ort-Prüfungen (Audit-Summary) 

Teil 03: Nachbereitung von Audits 

• Bereinigung und Aufbereitung der Prüfungsergebnisse 

• Qualitätssicherung der Prüfungsergebnisse 

• Vorstellung der Ergebnisse beim Kunden 

• Unterstützung im Rahmen der Überführung der Prüfungsergebnisse aus den Prüflisten in den Auditbericht 

• Prüfung von Richtlinien u.a. in den Themenbereichen Informationssicherheit, Risikomanagement und Notfallmanagement
• Schwerpunkte: Prüfung der Dokumente in Gegenüberstellung zu vertraglichen Anforderungen und Anforderungen der Sicherheitsstandards des BSI IT-Grundschutzes
• Teilnahme an Planung und Vorbereitung zu IS-Revisionen in Orientierung an den Vorgaben des IS-Revisionsleitfadens des BSI
• Mitwirkung bei der Konzeptionierung und Entwicklung von Richtlinien und Konzepten zu spezifischen Teilbereichen der Informationssicherheit (u.a. Rollen- und Berechtigungsmanagement, Lenkung von dokumentierten Informationen usw.)

• Beratung im Bereich der Informationssicherheit
• Mitwirkung bei Sicherheitskonzeptionierungen nach BSI-IT-Grundschutz (Praktizierung der Standardreihe 200-X und des Grundschutz-Kompendiums 202X)
• Eigenverantwortliche Entwicklung verfahrensspezifischer Konzepte (u.a. Rollen- und Berechtigungskonzepte, Kryptokonzepte, Datensicherungskonzepte und Angriffserkennungskonzepte)
• Eigenverantwortliche Entwicklung übergreifender Konzepte für hochkomplexe und spezifische Informationsverbünde (insb. im Bereich Informationssicherheit)
• Mitwirkender bei der Entwicklung und Prüfung von Richtlinien und Konzepten in den Bereichen Sicherheitskonzepten und damit verbundener Themenkomplexe (u.a. Notfallmanagement, Risikomanagement, Rollen- und Berechtigungsmanagement uvm.)
• Entwicklung von Richtlinien und Geschäftsfortführungs- sowie Wiederanlauf/Wiederherstellungsplänen Plänen für das Notfallmanagement/Business Continuity Management gemäß Standard 100-4 und 200-4
• Auditierung von Informationssicherheitsmanagementsystemen (ISMS) gemäß ISO27001 (nativ)
• Mitwirkung am Aufbau und Betrieb von Informationssicherheitsmanagementsystemen
• Begleitung von IS-Revisionen gemäß BSI-Grundschutz und weiterer Referenzdokumente
• Mitwirkung an der Vorgehensweise von IS-Revisionen gemäß der Leitfadendokumente des BSIs
• Teilnahme an zahlreichen IS-Revisions-Prozessschritten (u.a. Revisionsplanung, Auftaktgesprächen etc.)
• Erstellung und Vorbereitung von Prüflisten als Grundlage für die Revisionsdurchführung

Im Rahmen des Projekts wurde eine nachhaltige und zukunftsfähige Grundlage für die systematische Verbesserung des Patchmanagements geschaffen. Durch eine umfassende Bestandsaufnahme sowie die detaillierte Analyse der bestehenden Prozesse und Schwachstellen konnte nicht nur Transparenz über den aktuellen Status quo hergestellt, sondern auch konkrete Handlungsempfehlungen zur Reduzierung von Sicherheitsrisiken abgeleitet werden. Die Ergebnisse bilden eine klare und priorisierte Roadmap für die weiteren Maßnahmen des Kunden ? mit Fokus auf Effizienz, Compliance und Risikominimierung. 

Projektschwerpunkte: 

•  Risikobewertung & Priorisierung

Systematische Bewertung und Einordnung identifizierter Schwachstellen nach Kritikalität (CVSS, Exploit-Risiko, betroffene Systeme) für eine fokussierte Ressourcenallokation und Reduzierung der Angriffsfläche durch eine zielgerichtete Patch-Strategie 

•  Kritikalitätsgestaffeltes Patchmanagement

Etablierung und Umsetzung eines gestuften Patchprozesses für Windows-Betriebssysteme und Anwendungen (Apps) ? priorisiert nach Risiko und Business-Impact zum schnelleren Schließen kritischer Lücken, Minimierung von Ausfallzeiten durch geplante Patch-Zyklen 

•  Bereinigung historischer Altlasten

Identifikation und Beginn des Abbaus veralteter Systeme, von unsupported Software und nicht mehr genutzter Anwendungen, die kontinuierlich neue Schwachstellen generieren zur nachhaltigen Reduktion der Schwachstellenanzahl und Senkung des Wartungsaufwands 

•  Strategische Handlungsfelder

Definition, Beschreibung und Empfehlung von Handlungsfeldern inklusive Abhängigkeits- und Aufwandsbetrachtung für die vollständige Behebung der Schwachstellen. 

Erstellung von Richtlinien und Konzepten für ausgewählte Sicherheitsprozesse

Durchführung einer Notfall-Planbesprechung zu einem Schadensszenario ?Schadsoftware?

Teil 2 des Referenzprojekts:

• Beratung im Rahmen des Aufbaus und betriebs von Informationssicherheitsmanagementsystemen
• Mitwirkung bei Sicherheitskonzeptionierungen nach BSI-IT-Grundschutz (Praktizierung der Standardreihe 200-X)
• Entwicklung spezifischer Verfahrensanweisungen und Konzepte (u.a. Rollen- und Berechtigungskonzepte, Krypto Konzepte, Datensicherungskonzepte und Angriffserkennungskonzepte)
• Auditierung von Informationssicherheitsmanagementsystemen nach ISO/IEC 27001)
• Planung von Audits (u.a. Erstellung von Prüfauftragen)
• Vorbereitung von Audits (u.a. Erstellung und Umsetzung von Prüflisten auf Grundlage der Prüfschwerpunkte)
• Durchführung und Nachbereitung von internen Audits