Branche: Finanzindustrie, Bank, Einzelhandel

Zeitraum: 2009 - 2015

Verantwortungsbereich: ISO 27001 / ISMS Management, Entwicklung, Implementierung, Consulting & Certification/Supplier/Customer Audits, ISO 22301 Business Continuity Management & ISO 31000 Risk Management Toolset Implementierung

Lokationen: Deutschland, Niederlande, Irland, UK, Norwegen

Auftraggeber: European Payments Services; Bank; Einzelhandel

-------------------------------

Projekthistorie:

• Entwicklung, Einführung, Review und Weiterentwicklung eines Corporate Policyframeworks (Rahmen-/Richtlinenwerkes, inkl. Policen & Prozeduren) 

  • Unterehmensweite Policyentwicklung, Abstimmung und Implementierung mit allen Fach- und Führungsebenen

  • Entwickeln einer unternehmensweiten Informationsplattform zur Sicherstellung der Verfügbarkeit Policyframeworks

  • Unterstützung der verschiedenen Unternehmensbereichen bei der Erstellung, Einführung und Umsetzung von Sicherheitsprozessen, -maßnahmen und ?kontrollen gemäß Richtlinien

     

• Entwicklung, Einführung,  Umsetzung, Weiterentwicklung und Überwachung eines firmenweiten Information Security Management Systems (ISMS) nach ISO 27001

  • Definition, Entwicklung, Einführung, Koordination und Implementierung von Kontrollinstrumenten und Massnahmen sowie deren beständige Weiterentwicklung

  • Sicherstellung der strategischen, taktischen und operationellen Weiterentwicklung und Anpassung zur Aufrechterhaltung und Überwachung des ISMS

  • Weiterentwicklung und Pflege des ISMS hinsichtlich 'Continous Improvements'

  • Überwachung und Überprüfung des ISMS hinsichtlich ISO 27001 interne und externe Compliance Anforderungen, Verstöße und Lücken bzw. Risiken.

  • Regelmäßige

• Entwicklung, Einführung einer Unternehmensweiten eines Governance Modells (Informations Sicherheits Strategie, Governance und Management Struktur).

  • Internationale Zusammenarbeit, Abstimmung und Entwicklung der Strategie, von Unternemenszielen und Konzepten

  • Aufbau, Enführung und Organisation und Vorsitz von lokalen und internationalen Informationssicherheits Meetings  (Local Advisory Board Information Secuirty & Global Information Security Committes)

  • Mitglied internationaler Committees ? Compliane / Business Continuity & Security ? zur Abstimmung

  • Managemes, Steuerung und Nachverfolgung von Informationssicherheit Aktivitäten

  • Beratung und Reportinglinie an das Management Board (Vorstand), CISO und COO

  • Erstellung und Implementierung eines Dokumentenmanagementsystems & einer einer internen Informationsplattform

  • Entwicklung und Erstellung SoA (Statement of Applicability)

  • Durchführung und Koordination von Management Review Aktivitäten 

Unterstützung im Bereich Independent Reviews & Continuous Improvements ? zu folgenden Themen (im folgenden ausführlicher erläutert): Annual ISO 27001 (Re-) Certification Audit, Internal Audits, External Audits, Customer Audits, Supplier Audits and Assessments; Management von Continuous Improvement Aktivitäten:

• Vorbereitung, Koordination und Durchführung einer ISO 27001 Erst-Zertifizierung eines Finanzunternehmens

  • Analyse & Aufnahme des Ist-Zustandes

  • Definition der Mindestanforderungen nach ISO 27001

  • Durchführung einer GAP-Analyse

  • Definition, Erstellung und Implementierung von Handlungsempfehlungen zum Schließen von 'GAPs' ? gemeinsam mit dem Fachbereich

     

• Vorbereitung, Begleitung, Koordination und Sicherstellung jährlicher ISO 27001 Re-Zertifizierungen

  • Ansprechpartner für alle Unternehmensbereiche sowie externe Auditerungspartner

  • Unterstützung hinsichtlich Suveillance Audit

  • Unterstützung bei der Definition und Impelementierung von Handlungsempfehlungen und dem Schließen von Audit Findings

  • Nachbehandlung von Auditergebnissen zur Qualitätssicherung und zur Weiterentwicklung des ISMS

     

• Vorbereitung, Begleitung, Koordination und Durchführung IT Supplier Audits eines IT Dienstleister hinsichtlich Physische Sicherheit

  • Konzeption und Entwiclung eines Fragebogens hinsichtlich Informationssicherheit und Business Contiunity ? gemeinsam mit dem Physical Security Officer

  • Auditierung eines Datencenters & der Back-Up Struktur

  • Auditierung Physische Sicherheit im gesamten Unternehmen vor Ort.

     

   

• Kundenprojekt / Salesanfragen hinsichtlich Kunden- & (Pre-)Assessment Audits im Rahmen der Leadgenerierung und Kundenpflege

  • Projektansprechpartner und Bearbeitung von ISO 27001 Anfragen durch namhafte nationale und internationaler (potentielle) Großkunden des Bankenumfeldes

  • Unterstützung von Kundengesprächen und Vertragsverhandlungen für den Bereich Informationssicherheit

  • Bearbeitung, Koordination und Abstimmung der Kundenanfrage - gemeinsam mit den unternehmensweiten Fachbereichen, im Rahmen von Security Meetings

  • Bestimmung des ISO 27001 Ist-Zustandes und der Sicherstellung der kundengerechten Aufbereitung von Auswertungen

  • Beantwortung der Anfrage und Fragebögen

     

     

• Konzeption, Entwicklung und Einführung eines 'Corporate E-Learning & Awareness Tools':

  • Definition und Erstellung  eines Fachkonzeptes & Abstimmung / Anpassung auf Internationaler Ebene.

  • Providerauswahl zur technischen Unterstützung innerhalb des Unternehmens

  • Entwicklung, Einführung und Kommunikation des unternehmensweiten E-Learning Tools ? in verschiedenen Sprachen

  • Zusammenarbeit mit der Personalabteilung und Betriebsrat hinsichtlich Auswertung, Behandlung von erfolgreichen und unerfolgreichen Trainingsergebnissen.

  • Definition, Entwicklung und Implementierung weiterer Maßnahmen zur Mitarbeitersensibilisierung hinsichtlich Informationssicherheit.

     

• Physische Zugangskontrolle: Beratung und Sicherstellung der Implementierung physischer Zutrittskontrolle.

  • Definition, Abstimmung und Einführung von Prozeduren zu Zugangskontrollen

  • Erstellung von Optionsdokumenten und Entscheidungsvorlagen für das Seniormanagement  (Vorstand und CISO) hinsichtlich möglicher Massnahmen

  • Abstimmung und Entscheidung zur Implementierung von Drehtüren & Kartenlesegeräte

  • Koordination und Unterstützung der Fachabteilungen zur Sicherstellung der Implementierung physicher Zugangskontrollen.

  • Regeln von Verantwortlichkeiten am Empfangsschalter.

  • Implementierung weiterer Kontrollen: Clear Desk / Screen, Branschutz, Office Security, etc.

• BYOD (Bring Your Own Devise): Durchführung, Koordination und Kommunikation einer Anforderungsanalyse zur Einführung von BYOD in Deutschland unter Berücksichtigung rechtlicher Aspekte an den BoD. Abstimmung mit allen Fachbereichen.

• Unterstützung bei der Entwicklung, Einführung und Implementierung einer Unternehmensweiten Risiko Management Methodik, Risikostrategie und eines Risiko Modells auf strategischer, operativer und taktischer Ebene (Enterprise Risk Management Methodology)

  • Entwicklung und Unterstützung bei der Umsetzung von Lösungen und Instrumentarien zur zielgerechten Identifikation, Bewertung, Steuerung und Überwachung von Risiken.

  • Sicherstellung und Unterstützung bei der Identifikation, Analyse, Bewertung, Management und Kommunikation von Risiken auf Prozess, Projekt, Strategischer und Operativer Ebene.

  • Durchführung des jährlichen Risiko Bewertungs Prozesses, inklusive Auswertung von Auswirkungen und Erstellung von Maßnahmen Plänen zur Behandlung und Beseitigung von Risiken (Risk Assessment & Risk Treatment)

  • Erstellung von Instrumentarien zur Sicherstellung und zum Erhalt des angemessenen Schutzes von Informationen und Werten (Inventory of Assests & Data Classification Scheme) 

  • Durchführung von Business Impact Assessments mit allen Bereichen

     

• Vorbereitung, Entwicklung und Durchführung der Operativen Risikobewertung kritischer externer IT Dienstleister.

  • Konzeption und Entwiclung von Fragebögen zur Bewertung von Operativen und Informationsicherheits Risiken (ORAM: 'Operational Risk Assessemnt Methodology')

  • Durchführung, Analyse und Auswertung der Risk-Assessment

  • Definition, Verhandlung und Nachverfolgung von Handlungsmassnahmen mit dem Dienstleister

  • Anpassung von Vertragsvereinbarungen und Massnahmen / Kontrollen.

     

• Management und Behandlung von Incidents & entsprechende Nachverfolgung zur Verbesserung und Vermeidung von Schäden (Incident Logs, Risk Assessment Incidents, Closure.

• Unterstützung des Bereiches HR Security wie bspw. Entwicklung Screening procedures, Acceptable Use Policy, Confidentiality Agreements, Changers/Leavers Process, Disciplinary Process.

• Unterstützung zum Themenbereich IT - / System Security (3rd Party Management, Change, Management, Segregations of duties concept, User Profiles, Validation Checks, System Planning and Acceptance Testing, Monitoring, Back-Up Management, Secure Disposal Process, Penetration Testing-, Vulnerability- and System Maintenance controls etc.)

• Unterstützung des Bereiches Access- und Identitymanagement: User Access Management and Control Procedure (registration, identification / authentication, review), Access Right Structure / Profiles (RBAC ? Role-based Access Control) Authorisation Structure, Review & Reports, etc.

   

• Unterstützung, Erstellung und Einführung eines  Business Continuity Management Regelwerks gemäß ISO 27001

  • Unterstützung bei der Einführung eines unternehmensweiten Business Continuity Management Systems und  Regelwerkes gemäß ISO 22301 und Abgleich zu ISO 27001

• Internationale Projektunterstützung Salesdepartments bei (Vorverkaufs-)Aktivitäten zum Thema Bewertung Risikomangement System & Reifergrad des ISMS namhafter Großbanken (vor Ort).

   

• Einführung von Maßnahmen und Kontrollen lokaler Business Continuity Pläne, Tests und Instandhaltungs Massnahmen zur Sicherstellung des Geschäftsbetriebs. Weitere Aktivitäten: Disaster Recovery, Crisis Management, Business Impact Assessments.

• Unternehmensweite Erstellung und Konzepten eines 'Control Frameworks' zur Identifikation und Behandlung von internen und externen Compliance Anforderungen (Bsp. ISO 27001, PCI DSS, MaRisk, ITIL).