Governance, Risk und Compliance (GRC) – Hype oder Notwendigkeit?

Anbieter zum Thema

Fsas Technologies GmbH

SEPPmail - Deutschland GmbH

FTAPI Software GmbH

NTT Security (Germany) GmbH

GRC steht nicht für Sicherheit, sondern den Umgang mit schützenswerten Informationen

Governance, Risk and Compliance meint, anders als der Begriff „Security“, nicht den Schutz von Informationen, sondern den Umgang mit schützenswerten Informationen.

Die generelle Zielsetzung beim GRC beinhaltet somit drei Punkte.

1. Das Erkennen von Risiken und Maßnahmen zur Steuerung.

2. Das Sicherstellen der aus Schritt eins resultierenden Normen und Gesetze.

3. Das Vergleichen der Prozesse auf der Basis von Best-Practise-Ansätzen.

Sich stetig ändernde Rechts-, Branchen oder Behördenvorschriften erschweren jedoch derzeit diese Zielsetzung und sorgen dafür, dass Compliance-Prozesse und das Risk-Management im Unternehmen immer wieder verändert und angepasst werden müssen. Bis diese im Unternehmen durchgesetzt und kontrollierbar sind, kann einige Zeit vergehen und manchmal sieht es nach einer beinahe unlösbaren Aufgabe aus. Dabei kann die Arbeit mit Hilfe von Information Security Management Systemen einfach und strukturiert umgesetzt und durch GRC-Tools unterstützt werden. Diese so genannten GRC-Tools verbreiten die beschlossenen Sicherheitsinformationen unmittelbar in jede Ebene des Unternehmens und unterstützen die verantwortlichen Compliance- und Risk-Manager bei deren Umsetzung.

Entscheidungen, die im Bereich GRC getroffen werden, betreffen nahezu alle Unternehmensbereiche: ob Führungskräfte nach besseren Möglichkeiten des Risikomanagements suchen, Finanzchefs auf die Einhaltung aller geltender Vorgaben zu achten haben, ob Marketingverantwortliche den Schutz der Marke und den Ruf des Unternehmens im Blick haben, ob Mitarbeiter der Rechtsabteilung sich um Discovery und Datenarchivierung kümmern oder ob IT-Verantwortliche diverse GRC-Projekte leiten, die Ergebnisse müssen verständlich aufbereitet sein und die Verantwortlichen müssen daraus Handlungsanweisungen ableiten können.

Risiken visualisieren mit GRC-Tools

GRC-Tools ermöglichen es in erster Linie, mögliche Risiken sichtbar zu machen, Maßnahmen zu managen, Policies und Informationen zu kommunizieren und am Ende entsprechende Auswertungen für Compliance-Anforderungen bereitzustellen.

GRC-Tools sollten zudem in der Lage sein, das komplette Unternehmen in den drei Bereichen (Risk-Management, Compliance-Management und Maturity-Management) und unter den vorgeschriebenen Strukturen abzubilden. Die Informationen aus jedem abgebildeten Tool fließen dann in eine zentrale Datenbank und können am Ende detailliert ausgewertet werden.

Der Vorteil zu den bisher bekannten Excel-Tabellen ist vor allem, dass Änderungen nicht kommuniziert werden und auf die Umsetzung gehofft werden muss, sondern dass neue Normen und Entscheidungen sofort „durchgesetzt“ werden, weil die Änderungen unmittelbar als verbindliche Vorlagen (Masken) weitergegeben werden. Die Modellierung wird so stark vereinfacht und flexibilisiert. Es können zudem große Nutzerkreise eingebunden oder Assessments workflowgesteuert durchgeführt und überwacht werden. Der Aufwand wie Formelpflege, Fehlersuche, Datenzusammenführung oder eine hohe Anzahl an Dateien, die beispielsweise bei der Tabellenkalkulation mit Excel auftreten, entfällt hingegen.

Die GRC-Tools bereiten am Ende schließlich alles automatisiert und gut verständlich in einen Report auf, der nachvollziehbar aufweist, wo Schwachstellen sind und was verbessert werden muss.

Diese Reporte können dann so individuell eingestellt werden, dass am Ende Entscheidern mit unterschiedlichem IT-Kenntnisstand bewusst wird, wie es derzeit um die tatsächliche GRC im Unternehmen steht und welche Handlungsansätze für Unternehmen sich daraus ergeben.

Über den Autor

Ralf Nemeyer ist Strategic Consulting Manager der Integralis AG. Integralis präsentiert auf der Integralis Security World am 22.-23. Juni 2010 in Stuttgart aktuelle Lösungen und Produkte der 35 wichtigsten Anbieter aus dem IT-Sicherheitsbereich. Außerdem gibt es einen informativen Mix aus rund 50 Fachvorträgen in 7 verschiedenen Themenpanels und Gesprächsmöglichkeiten mit renommierten Fachleuten auf der benachbarten Ausstellung.

(ID:2045385)