{"id":45036,"date":"2023-01-26T11:41:27","date_gmt":"2023-01-26T10:41:27","guid":{"rendered":"https:\/\/www.skaylink.com\/?p=45036"},"modified":"2024-10-18T16:40:11","modified_gmt":"2024-10-18T14:40:11","slug":"it-risk-assessment-herausforderungen-vait","status":"publish","type":"post","link":"https:\/\/www.skaylink.com\/de\/case-studies\/it-risk-assessment-herausforderungen-vait\/","title":{"rendered":"Mit dem IT Risk Assessment zentralen Herausforderungen der VAIT begegnen"},"content":{"rendered":"\t\t
\n\t\t\t\t
\n\t\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t

Home<\/a><\/span><\/span><\/p>\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t

\n\t\t
\n\t\t\t\t<\/div>\n\t\t
\n\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t\t\t\t\tCase Studies\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t

Mit dem IT Risk Assessment zentralen Herausforderungen der VAIT begegnen<\/h1>\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t\t\t\t\t

Gemeinsam konnten wir ein Verst\u00e4ndnis f\u00fcr die Informationsrisiken in der Cloud erarbeiten & den Kunden auf ein BaFin-Audit vorbereiten<\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t

\n\t\t\t\t\t
\n\t\t
\n\t\t\t\t<\/div>\n\t\t
\n\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t

VAIT-konformes IT Risk Assessment: Professionellere Cloud-Migration\n<\/h2>\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t\t\t\t\t

Als f\u00fchrender Anbieter von Finanz- und Vorsorgel\u00f6sungen mit ca. 10.000 Mitarbeitenden betreibt unser Kunde mehrere Rechenzentren in Deutschland. Im Jahr 2018 wurden erste Workloads in AWS umgesetzt. Recht schnell konnte der Kunde die Vorteile der Cloud f\u00fcr sich nutzen und entschied sich deshalb dazu, dort auch kritischere Workloads zu betreiben.<\/p>

Jedoch sieht sich unser Kunde durch die VAIT (Versicherungsaufsichtliche Anforderungen an die IT) aus dem Rundschreiben der BaFin (Bundesanstalt f\u00fcr Finanzdienstleistungsaufsicht) seit Jahren einer gro\u00dfen Herausforderung gegen\u00fcber. Viele Anforderungen sind nur vage formuliert. Eine mangelhafte Umsetzung kann aber bei Pr\u00fcfungen seitens der BaFin zu problematischen Findings f\u00fchren.<\/p>

F\u00fcr den Betrieb dieser Workloads wollte der Kunde ein strukturiertes und gut durchdachtes Konzept umsetzen, da die ersten Workloads im Jahr 2018 eher einem Versuch als einem Projekt glichen. Im Rahmen der IT-Strategie des Kunden sollten VAIT-relevante Applikationen zu AWS migriert werden. Hierbei mussten die regulatorischen Anforderungen, wie z.\u00a0B. eine BaFin-Anzeige bei relevanten Auslagerungen, entsprechend den Standards vorbereitet und umgesetzt werden. Als besonders herausfordernd empfand der Kunde den Bereich des IT Risk Assessment.<\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t

\n\t\t\t\t
\n\t\t\t\t\t

Informationssicherheitsrisiken f\u00fcr die Cloud bewerten und mitigieren<\/h2>\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t\t\t\t\t

Im Verlauf der individuellen Cloud Journey hat der Kunde seinerseits eine Risikobewertung<\/a> durchgef\u00fchrt, wie es f\u00fcr einen Versicherer \u00fcblich ist. Dabei wurden vorrangig Gesch\u00e4fts- und Projektrisiken bewertet und die Schutzziele der Informationssicherheit nur bedingt ber\u00fccksichtigt. Daher war eine Betrachtung nach Vertraulichkeit, Integrit\u00e4t und Verf\u00fcgbarkeit nicht m\u00f6glich. Ausgehend von den VAIT ist eine Betrachtung der Informationssicherheitsrisiken bei kritischen Workloads notwendig, um das aktive Management von Informationssicherheitsrisiken zu erm\u00f6glichen.<\/p>

Die Ma\u00dfnahmen zur Absicherung der Cloud waren nicht ausreichend gut gew\u00e4hlt und dokumentiert. Die mangelhafte Dokumentation der Risiken und Ma\u00dfnahmen erschwerte dem Kunden zudem die \u00dcberwachung und aktive Risikosteuerung.<\/p>

Die VAIT machten eine Betrachtung der Informationssicherheitsrisiken bei kritischen Workloads unumg\u00e4nglich. M\u00e4ngel bei der Dokumentation auf Kundenseite k\u00f6nnen im Rahmen von Audits zu schwerwiegenden Findings f\u00fchren, da die Funktionalit\u00e4t von Prozessen nicht nachgewiesen werden kann.<\/p>

W\u00e4hrend der Erstellung der IT-Risikobewertung war nur wenig technisches und cloudspezifisches Wissen mit einbezogen. Die Kombination aus einer Systematik, die nicht aus der Informationssicherheit kommt, und dem fehlenden technischen Wissen f\u00fchrten zu deutlichen M\u00e4ngeln in der Umsetzung der IT-Risikobewertung im Sinne der VAIT.<\/p>

Bereits getroffene Ma\u00dfnahmen wurden nicht ausreichend umgesetzt, da sie hinsichtlich Anforderungen, Verantwortlichkeiten und zeitlichem Horizont zu unspezifisch formuliert wurden. Das fehlende technische Wissen f\u00fchrte dazu, dass zwar die AWS-Infrastruktur bewertet wurde \u2013 nicht aber die einzelnen Assets (in Form von Workloads und deren Komponenten). Jedoch ist auch diese Bewertung notwendig.<\/p>

Ein Vorteil: Viele der Ma\u00dfnahmen k\u00f6nnen zentral \u00fcber die Infrastruktur gesteuert werden und somit Risiken f\u00fcr die Applikationen effektiv abmildern.<\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t

\n\t\t\t\t
\n\t\t\t\t\t\t\t
\n\t\t\t

\n\t\t\t\t\"Gemeinsam mit dem Kunden konnten wir ein Verst\u00e4ndnis f\u00fcr die Informationsrisiken in der Cloud erarbeiten. Dabei bewahrheitete sich der Satz \u201aDie Risiken in der Cloud sind nicht h\u00f6her \u2013 es sind andere Risiken\u2018. Aus einem notwendigen \u00dcbel wurde eine moderne Herangehensweise f\u00fcr den Umgang mit neuen Technologien.\"\t\t\t<\/p>\n\t\t\t\t\t\t\t

\n\t\t\t\t\t\t\t\t\t\t\tKristijan Lipic, Senior Consultant<\/cite>\n\t\t\t\t\t\t\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t\t<\/blockquote>\n\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t

\u00dcberarbeitung der Risikobewertung<\/h2>\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t\t\t\t\t

Nachdem Skaylink gemeinsam mit dem Kunden die Missst\u00e4nde aufgearbeitet hatte, wurden konkrete Anpassungen vorgenommen. Skaylink arbeitete aus unterschiedlichen Quellen eine Bedrohungsliste f\u00fcr die spezifischen Cloud-Risiken heraus. Diese basiert nicht nur auf der jahrelangen Erfahrung unserer Expert*innen, sondern auch auf den Best Practices und Empfehlungen\u00a0aus der ISO 27005<\/span>.<\/span><\/p>

Auf Basis der relevanten Bedrohungen konnten wir gemeinsam mit dem Kunden Schwachstellen identifizieren, initiale Risiken ableiten und passende Ma\u00dfnahmen identifizieren. Mit der Umsetzung der Ma\u00dfnahmen kann das Risiko auf ein akzeptables Niveau gesenkt werden.<\/p>

Zur \u00dcberwachung der Ma\u00dfnahmen wurden diese in ein Ma\u00dfnahmenregister \u00fcbertragen, in dem die die zentralen Informationen zur Umsetzung festgehalten sind. Um die Risiken nachhalten zu k\u00f6nnen, wurden sie in einem Risikoregister abgelegt. Auch das Risikoregister enth\u00e4lt alle wichtigen Informationen. Beide Register erm\u00f6glichen es, die Anforderungen bei einer externen Pr\u00fcfung zu erf\u00fcllen.<\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t

\n\t\t\t\t<\/div>\n\t\t
\n\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t

Umgesetzte L\u00f6sungen<\/h3>\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t\t\t\t\t