Gemäß BAIT sind im Rahmen des Informationsrisikomanagements risikoorientiert Anforderungen an die IT in Form von Sollmaßnahmenkatalogen zu dokumentieren.
Mittels Sollmaßnahmen definieren Institute, wie sie die Anforderungen (z. B. aus dem Sicheren IT-Betrieb) umsetzen. Nur über zuvor definierte und anschließend von den Betreibern umgesetzte Sollmaßnahmen ist ein angemessener und nachvollziehbarer Betrieb von IT möglich.
Ziel von Anforderungsprofilen (in Form von Sollmaßnahmenkatalogen) ist es, einen einfachen, einheitlichen und effektiven Weg aufzuzeigen, wie Betreiber von IT-Infrastrukturen ihre konkreten Maßnahmen (Sollmaßnahmen) zur Informationssicherheit aus Anforderungen ableiten und anschließend umsetzen.
Trotz der zahlreichen Muster und Vorlagen ergeben sich aber bei der konkreten Umsetzung in der Praxis eine Vielzahl von Fragen:
- Wie gehe ich mit redundanten Fragestellungen in mehreren Sollmaßnahmenkatalogen um?
- Gibt es praktikable Lösungen für übergeordnete Prozesse (z. B. Rechte- und Rollenkonzepte)?
- Welche Stellen übernehmen nach dem Drei-Linien-Modell welche Aufgaben?
- Wie wähle ich die Dienstleister aus und dokumentiere den Auswahlprozess?
- Wann muss ich mit Dienstleistern einen Sollmaßnahmenkatalog vereinbaren?
- Wie gehe ich mit Abweichungen um?
- Was muss bei einer Risikoanalyse beachtet werden?
- Wie kann ich Sollmaßnahmenkataloge in der Auditplanung berücksichtigen?
- Für welche Anwendungen muss ich Sollschutzmaßnahmenkataloge erstellen/ausfüllen?
Gerne unterstützen und beraten wir Sie bei der Wahl und Umsetzung von praxisgerechten Lösungen für Ihr Haus. Dabei berücksichtigen wir neben Best Practice-Ansätzen auch die bei Ihnen vorhandenen Prozesse und Anwendungen.
Kommen Sie gern auf uns zu und wir vereinbaren ein unverbindliches Abstimmungsgespräch.
