Own Your Compliance Archiv

In dieser Deep Dive Folge geht es um das VDA ISA Control 16.1 und die Frage "Inwieweit erfolgt eine Bearbeitung von Informationssicherheitsereignissen?". Diese Folge basiert auf dem VDA ISA Katalog Version 4.1.1.

In dieser Deep Dive Folge geht es um das VDA ISA Control 16.1 und die Frage "Inwieweit sind Verantwortlichkeiten, Verfahren, Meldewege und Kritikalitäts-Stufen im Umgang mit Informationssicherheitsereignissen oder -schwachstellen festgelegt?". Diese Folge basiert auf dem VDA ISA Katalog Version 4.1.1.

Bei TISAX geht es nicht um eine allgemeingültige Zertifizierung, sondern um verschiedene Freigabe- label. Aktuell gibt es zehn unterschiedliche TISAX-Label (Stand: April 2020). Je nachdem, welche Prüfziele du bei der Prüfung angegeben und ob du diese bei der Prüfung erreicht hast, erhälst du als Unternehmen ein oder mehrere TISAX-Labels. Wie du siehst, ist es nicht damit getan, einfach von einer „TISAX-Zertifizierung“ zu sprechen. Genau genommen ist es sogar falsch. Ausschlaggebend ist, welche TISAX-Freigaben ein Unternehmen hat. Sobald ein Unternehmen eine Freigabe mit einem oder mehreren Labels erhalten hat, werden diese Labels auf der Austauschplattform der ENX eingetragen. Achtung: Das ENX-Portal ist der einzige Ort, an dem du die Freigaben laut Teilnahmebedingungen veröffentlichen darfst! Alle aktiven Teilnehmer können und sollten ausschließlich hier ihre Freigaben teilen.

In dieser Deep Dive Folge geht es um das VDA ISA Control 5.1 und die Frage "Inwieweit ist eine Richtlinie zur Informationssicherheit erstellt, veröffentlicht bzw. verteilt und wird sie in regelmäßigen Zeitabständen überprüft?". Diese Folge basiert auf dem VDA ISA Katalog Version 4.1.1.

In dieser Deep Dive Folge geht es um das VDA ISA Control 6.3 und die Frage "Inwieweit gibt es eine Richtlinie zur Nutzung von mobilen Endgeräten und deren Remote Zugriff auf Daten der Organisation". Diese Folge basiert auf dem VDA ISA Katalog Version 4.1.1.

ISB und DSB können ihren Job nicht machen, wenn sie allein auf weiter Flur stehen. Um die Themen erfolgreich umsetzen und in der Unternehmenskultur verankern zu können, brauchen sie unbedingt Unterstützung durch eine interne Taskforce – und die nenne ich: Informationssicherheits- und Datenschutzteam (IDT). Im Idealfall, je nach Unternehmensgröße, besteht das IDT aus Mitarbeitern verschiedener Abteilungen, zum Beispiel IT, HR, PM oder Einkauf. Es stellt sicher, dass die Maßnahmen rund um die DSGVO und TISAX im Alltag wirklich gelebt und von allen Mitarbeitern umgesetzt werden – und zwar nicht nur vor der Zertifizierung, sondern auch langfristig. Die Mitglieder des IDTs haben also eine Schnittstellenfunktion: Sie sind sowohl Sparringspartner für ISB und DSB als auch direkte Ansprechpartner für Kollegen. Außerdem gilt: Die Mitglieder des IDTs sind die Hüter der Strukturen und Prozesse. Bei allem, was sie tun, geht es IMMER ums Prüfen und Dokumentieren. Prüfen bedeutet, immer diese Frage im Hinterkopf zu haben: „Funktionieren die Prozesse, die ISB und DSB festgelegt haben, im Alltag?“ Dokumentieren bedeutet: Alles, was rund um die Maßnahmen zu DSGVO und TISAX geschieht, muss aufgeschrieben werden.

Mit einer Gap-Analyse verschaffst du dir einen Überblick über die Ausgangssituation im Unternehmen. Dies betrifft alle Abläufe, Kommunikationsformen und Ablagesysteme in allen Abteilungen. Das Ergebnis beschreibt den Optimierungsbedarf zwischen Ist- und Sollzustand und wird am Ende der Unternehmensleitung und dem Projektteam erläutert. Auf dieser Basis wird der Maßnahmenkatalog für die Umsetzung festgelegt. Am besten ist es, wenn du die Gap-Analyse wie eine Prüfung durchführst. Wir sagen unseren Kunden immer, dass wir die Prüfung simulieren.

In dieser Deep Dive Folge geht es um das VDA ISA Control 6.1 und die Frage "Inwieweit sind die Verantwortlichkeiten für Informationssicherheit definiert 
und zugewiesen?" Diese Folge basiert auf dem VDA ISA Katalog Version 4.1.1.

Seit Mai 2018 gilt eine neue Verordnung der Europäischen Union: die „General Data Protection Regulation“. Kurz: GDPR. Im deutschsprachigen Raum heißt sie „Datenschutz-Grundverordnung“. Kurz: DSGVO. Die DSGVO regelt – anders als das damalige Bundesdatenschutzgesetz – den Schutz von personenbezogenen Daten nun EU-weit. Seit ihrem Inkrafttreten rund um den 25. Mai 2018 verlangen immer mehr Auftraggeber eine strengere Regelung zum Datenschutz und schließen hierfür Verträge zur Auftragsverarbeitung. Vereinzelt werden aber auch Datenschutz-Audits durchgeführt.

In dieser Deep Dive Folge geht es um das VDA ISA Control 1.1 "Inwieweit ist ein Information Security Management System durch die Organisationsleitung freigegeben und sein Umfang dokumentiert?" Diese Folge basiert auf dem VDA ISA Katalog Version 4.1.1.

In dieser Deep Dive Folge hilft uns Marco dabei, den VDA ISA Katalog zu verstehen. Marco erklärt uns u.a. was die Unterschiede bei den Control-Anforderungen sind: Was ist der Unterschied zwischen "muss", "kann" und "soll". Marco hilft uns außerdem zu erkennen, welche Anforderungen ich denn jetzt wirklich umsetzen muss.