GRC

1. Risiken und Maßnahmen festlegen

   • Sind kritische Anwendungen bekannt?

   • Sind Risiken wirklich identifiziert?

   • Wie tragbar ist das Restrisiko?

   • Ist das Unternehmen nach einer RZ-Katastrophe noch arbeitsfähig?

   • Welche Funktionen sind bei Netzausfall beeinträchtigt?

2. Wirksamkeit und Aktualität prüfen

   • Sind die Sicherheitsmaßnahmen noch aktuell?

   • Sind Mitarbeiter und Führungskräfte ausreichend sensibiliert und trainiert?

3. Risikokontrolle

   • gemäß Anforderungen des KonTraG (Gesetz zur Kontrolle und Transparenz im Unternehmen)

Sicherheitsmaßnahmen zusammengefasst:

1. Softwareaktualisierung:

   Regekmäßige Updates und Sicherheits-Patches

2. Werbedienstleister:

   Vertragliche Verpflichtung zu Schutzmaßnahmen

3. Verschlüsselung und Authentifzierung:

   Anwendung von Verschlüsselungsverfahren und Authentifzierungsverfahren bei personalisierten Telemedien

4. Schutz vor unerlaubtem Zugriff:

   Sicherstellen, das keine unerlaubten Zugriffe auf technische Einrichtungen der Webseiten möglich sind

5. Datenschutz und Störungssicherheit:

   Schutz personenbezogener Daten und Sicherung gegen Störungen

6. Verhältnismäßigkeit:

   Maßnahmen müssen technisch möglich und wirtschaftlich zumutbar sein

7. Unklarheit der Maßnahmen:

   Gesetz lässt offen, welche konkreten technischen und organisatorischen Maßnahmen zu ergreifen sind

Reduzierung von IKT-Risiken:

Konzept von “Privacy by Design” bzw. “Data Protection by Design”

• Entwicklungsansatz:

  Für datenschutzfreundliche Systeme und Dienste

• Berücksichtigung:

  Technische Lösungen und organisatorische Umsetzungsmöglichkeiten/ Geschäftsmodelle

• Herausforderung:

  Unklarheit bei den konkreten Implementierungsanforderungen trotz Vorgaben der EU-Datenschutz-Grundverordnung (DSGVO)

Nutzeffekte:

• Kostensenkung durch Nutzung vorhandener und praxiserporbter Vorgehensmodelle

• Einführung eines angemessenen Sicherheitsnievaus durch Standards

• Wettbewerbsvorteile:

  für die Vergabeverfahren werden zunehmend auf IT-Sicherheitsstandards basierende Zertifikate als Voraussetzung für die Teilnahme gefordert

1. Öffentlich:

   • Info für internen Gebrauch

   • möglicher finanzieller Verlust von 0-5.000 EUR

   • Verstöße können zu Geldstrafen führen

2. Externer Gebrauch:

   • Info für internen Gebrauch und Kunden/ Partner

   • finanzielle Verluste variabel

   • Verstöße können Geldstrafen nach sich ziehen

3. Interner Gebrauch:

   • Nur für internen Gebrauch

   • höhere finanzielle Verluste möglich

   • Vertrauensbruch kann zu Persönenschäden führen

4. Vertraulich:

   • Hocher finanzieller Verlust

   • Verstöße können zu Strafverfolgung und schweren Verletzungen/Lebensverlust führen

1. Basis:

   • Geringer finanzieller Verlust

   • längere Ausfallzeiten akzeptabel

2. Normal:

   • Mittlerer finanzieller Verlust

   • Ausfall kann Imageschaden verursachen

3. Hoch:

   • Hoher finanzieller Verlust

   • Ausfall kann Imageschaden oder Kundenverlust bedeuten

4. Sehr hoch:

   • Sehr hoher finanzieller Verlust

   • Ausfall kann ernsthaften Imageschaden oder Kundenverlust bedeuten

5. Außergewöhnlich:

   • Spezielle Vereinbarungen mit einzelnen Kunden

1. Keine:

   • Geringer finanzieller Verlust

2. Normal:

   • Mittlerer finanzieller Verlust

   • Verstöße können zu Personenschäden führen

3. Hoch:

   • Hoher finanzieller Verlust

   • Verstöße können zu Haftstrafe führen und Personenschäden verursachen