Anforderungen an das IT- Sicherheitsmanagement
hinsichtlich Basel II und Sarbanes-Oxley Act (SOX)

Seminararbeit

Schwerpunkt Wirtschaftsinformatik und Multimedia
Betriebswirtschaftslehre FH Ingolstadt, 5.Semester
Wintersemester 05/06

Benjamin Kopf

Inhaltsverzeichnis

Einleitung...3

1. Sarbanes- Oxley Act (SOX)...3
1.1 Grundgedanke...3
1.2 Anforderungen an IT- Sicherheitsmanagement...4

3. Basel II...5
3.1 Grundgedanke...5
3.2 Risiko-Rating der Unternehmen ...5
3.3 EDV Risiko ...6
3.3.1 Hardwarerisiken...6
3.3.2 Softwarerisiken ...7
3.3.3 Unternehmensinterne Risiken ...9
3.3.4 Unternehmensexterne Risiken ...10
3.4 Anforderungen an IT- Sicherheitsmanagement...11
3.4.1 Technische Risikominderung...11
3.4.2 Organisatorische Risikominderung...13
3.4.3 Risikohandhabung ...14
3.4.4 Sicherheitscontrolling...15

Literaturverzeichnis ...16

Anhang...17
Anhang A: Chronologie der Einführung von Basel II ...17
Anhang B: Begriffsdefinitionen ...18
Anhang C: Systematisierung der Risikoarten ...20
Anhang D: Risikopolitik und Handlungsstrategien...20
Anhang D: Risikopolitik und Handlungsstrategien...21
Anhang E: 3-Säulenmodell von Basel II ...21
Anhang E: 3-Säulenmodell von Basel II ...22

Einleitung

Längst kein Fremdwort mehr dürfte für die meisten mittelständischen Unternehmen der Begriff Basel II sein. Viele Firmen sind sich darüber im Klaren, dass künftig bei der Kreditvergabe die damit verbundenen Risiken viel genauer unter die Lupe genommen werden. Dabei hängt es entscheidend von der Rating-Note ab, ob und zu welchen Konditionen ein Unternehmen Fremdkapital erhält. In dieses Rating fließen eine Reihe unterschiedlicher Faktoren ein, nicht nur betriebswirtschaftliche Kennzahlen. Einen wesentlichen Punkt wird dabei oft nicht beachtet: die Absicherung gegenüber operationellen Risiken und damit den Schutz der IT-Infrastruktur vor vielfältigen Gefahren beispielsweise aus dem Internet. Immerhin registrierten zwei von drei deutschen Unternehmen im Jahr 2004 mehr oder wesentlich mehr Verstöße gegen ihre IT-Sicherheit als im Vorjahr (IT-Security 2004).

In dieser Seminararbeit sollen die Auswirkungen von Vorschriften wie dem Sarbanes- Oxley Act und Basel II auf das IT-Sicherheitsmanagement heutiger Unternehmen dargestellt werden. Ausführlich wird hierbei auf die Anforderungen, die sich insbesondere aus Basel II ergeben eingegangen.

1. Sarbanes- Oxley Act (SOX)

1.1. Grundgedanke

Der Sarbanes-Oxley Act of 2002 (SOX) ist ein US-Gesetz zur Verbesserung der Unternehmensberichterstattung in Folge der Bilanzskandale von Unternehmen wie Enron oder Worldcom. Benannt wurde es nach seinen Verfassern, dem Senator Paul S. Sarbanes und dem Abgeordneten Michael Oxley. Ziel des Gesetzes ist es, das Vertrauen der Anleger in die Richtigkeit der veröffentlichten Finanzdaten von Unternehmen wiederherzustellen. Dies geschieht dadurch dass SOX die Führungsebene persönlich für die Richtigkeit bestimmter Erklärungen haftbar macht. Das Gesetz gilt für inländische und ausländische Unternehmen, die an US-Börsen oder der NASDAQ gelistet sind, sowie für ausländische Tochterunternehmen amerikanischer Gesellschaften. Im Rahmen der Section 404 des Sarbanes-Oxley Acts müssen Unternehmensprozesse beschrieben, definiert und Kontrollverfahren festgelegt werden, die das Risiko eines falschen Bilanzausweises minimieren sollen. Dies hat neben weitreichenden Folgen im Bereich der Corporate Governance (Aufstellen und Einhalten von Verhaltensregeln, nach denen ein Unternehmen geführt werden soll) auch Auswirkungen auf die IT in einem Unternehmen.

1.2. Anforderungen an IT- Sicherheitsmanagement

Sarbanes-Oxley (SOX), legt besonderen Wert auf die Sicherheit und Zuverlässigkeit finanzieller Berichte von öffentlich gehandelten US-Unternehmen und hat somit einen merklichen Einfluss darauf, wie betroffene Organisationen die interne IT-Sicherheit aufbauen müssen. Der Abschnitt 404 schreibt dem Management aber lediglich die Einrichtung angemessener Kontrollen vor, ohne aber die Rolle der Informationstechnologie zu spezifizieren. Zusätzliche IT-Rahmenvorgaben wie die vom weltweiten Berufsverband ISACA empfohlene COBIT (Control Objectives for Information and Related Technology) sind zwar verfügbar, aber selbst die definieren nicht exakt die Umsetzung der IT Sicherheit. Der wichtigste Punkt nach SOX stellt die Datensicherheit dar. Wenn es beispielsweise um die Verwendung von mobilen Rechnern und tragbaren Speichergeräten geht, erfordert Sarbanes-Oxley, dass die Organisationen die effektiven Richtlinien, Prozesse und Kontrolle der folgenden Punkte demonstrieren können: Die verwendbaren Gerätetypen, Wer welche Gerätetypen verwenden kann, Wem die Geräte gehören, Welche Arten von Informationen auf Geräten gespeichert werden können und welche nicht. Welche Maßnahmen eingesetzt werden, um die Geräteverwendung zu verwalten. Allgemein ist davon auszugehen, dass sich für alle Unternehmen steigende Anforderungen an die Ausgestaltung ihrer internen Kontrollsysteme und den Nachweis derer Funktionalität ergeben wird. Somit erfordert SOX nachhaltig den Einsatz von IT gestützten Kontroll- und Reportingsystemen.

[...]