Das Konzept von IT General Controls (ITGC) wird in Unternehmen und Organisationen zusehends wichtiger. Die stets zunehmenden Regulationen in der IT und der Bedarf an einer effektiven sowie effizienten IT Governance zeigt an, dass Organisationen sehr an einer solchen interessiert sind und die vollständige Kontrolle über die Kontrollen über ihre gesamte Organisation haben wollen.

Mit Hilfe von gut etablierten IGCs kann eine Organisation viele komplexe Themen unter einen Hut bringen, darunter Informations- und IT-Sicherheit, interne und externe Audits, IT-Compliance, Risikomanagement und IT-Governance Management.

ITGCs bestehen aus Prozeduren und Policies, die folgendes bieten:

• Die Informationstechnologie in einer Organisation operiert so, wie vorgesehen.
• Die Daten sind verlässlich.
• Die Organisation hält sich an Gesetze und andere Vorgaben.

Dieser Artikel wird versuchen, einen kurzen Überblick über die wichtigsten Punkte in der Handhabung von ITGCs zu geben. Darin enthalten sind die organisatorischen Aspekte wie auch deren Struktur und deren Handling.

Einleitung und Definition

Ein umfassendes IT General Control Manual (ITGCM) als eine Art Policy sollte die Standards für die Implementation effektiver und effizienter Kontrollsysteme in der ganzen Organisation definieren.

Die ITGCM bietet einen Referenzrahmen für eine Organisation, die Control Procedures und Policies in ihrem Verantwortungsbereich implementiert:

• Interne Audit Perform Reviews
• Compliance- und Monitoringfunktionen können die Effektivität der ITGC evaluieren und rapportieren

Die Tragweite des ITGCM beinhaltet eine Vielzahl organisationaler Aktivitäten, die mit dem Management von IT-Systemen und anderen Information Assets, darunter auch Non-IT-Assets, zusammenhängen:

• Logische Zugriffskontrollen über die Infrastruktur, Applikationen und Daten
• Systementwicklungs- und Lebenzeitskontrolle
• Physische Zugriffsbeschränkungen zum Datencenter
• Backup- und Recoverykontrollen für System und Daten
• Nutzungskontrollen für Computer

Daher sollte die Implementation eines ITGCM über die gesamte Organisation hinweg Pflicht sein.

Abweichungen vom ITGCM sollten nur als Ausnahme und nur nach einer eingehenden Untersuchung eines entsprechenden Requests stattfinden. Dies auch nur dann, wenn vorher ein Standardprozess für Ausnahmen definiert worden ist.

Das ITGCM besteht aus:

• Einer Matrix oder einer Liste mit ITGCs, die alle Pflichtkontrollen definieren (Dies ist der Hauptteil dieses Labs und wird weiter unten beschrieben.)
• ITGC Assessment Prozess
• ITGC Rollen und Verantwortungen

Das bedeutet, dass das ITGCM die Standards für ein effektives und effizientes IT Governance Management Control System bildet.

Natürlich ist das Management verantwortlich dafür sicherzustellen, dass die ITGCs implementiert, dokumentiert, getestet und für das generelle ITGCM mit Beweisen belegt sind.

ITGC Matrix

Die ITGC Matrix ist das Schlüsselelement, das alle anwendbaren Controls definiert und weitere Informationen enthält, die für die Implementation, das Testing und das Assessment der Controls genutzt werden können.

Ihr Zweck:

• Definition der Control Objectives und der Anforderungen
• Leitfaden für die Implementation der Control Procedures und Policies
• Leitfaden für das Assessment der Prozeduren und Policies

Eine ITGC Matrix sollte dreierlei Informationen in sich integrieren:

• Klassifizierung der Assets und Kategorisierung der Information
• Control Objectives und Anforderungen
• Control Assessment Criteria

Die ITGCs können unterschiedlich strukturiert werden. Die folgende Tabelle zeigt ein typisches individuelles Set von Activity Domains und das Set, das vom Institute of Internal Auditors empfohlen wird:

* Der Global Technology Audit Guide (GTAG) wird vom Institute of Internal Auditors herausgegeben.

Ein IT Governance Team sollte dafür verantwortlich sein, die Controls mittels Zielen und Anforderungen für jede einzelne Control zu definieren. Diese werden dann für Reviews vom Internen Audit-Team als Teil der Audit-Kriterien genutzt.

Die Implementation der ITGC Matrix ist Pflicht für die gesamte Organisation.

Diese Prozeduren und Policies sollten dazu designt sein, ein gesundes Mass an Sicherheit zu geben wenn es um das Erreichen der Control Ziele geht. Diese sind:

• Effektivität und Effizienz der Information Management Operations.
• Verlässlichkeit von Information Assets.
• Compliance mit den Gesetzen, Regulierungen und geschäftlichen Anforderungen.

Updates der Matrix sollten nur als Folge eines strikt geregelten Prozesses gemacht werden. Change Management und Abweichungen sollen nur durch die Einhaltung der bereits bestimmten Standards geschehen

Die folgenden Parameter der ITGC Matrix, mit möglichen Werten, oder ähnliche können dazu genutzt werden, die Information Assets zu klassifizieren und zu kategorisieren und die Liste der darauf passenden Controls für diese Assets zu identifizieren.

Jede ITGC kann auf eine oder mehrere dieser vordefinierten Asset-Kategorien und -Klassifikationen mit einem Indikator – Applicable oder Not Applicable – gemappt werden.

ITGC Objectives und damit verbundenen Anforderungen für die Implementation der Controls – zum Beispiel die Control Activities, inklusive der möglichen Validationsschritte und den empfohlenen Beweisführungen – sind für jede Control in der Matrix definiert.

Das Assessment der Controls sollte folglich die folgenden Reife-Parameter nutzen:

• Reife
  1. Optimierend
  2. Gesteuert
  3. Definiert
  4. Wiederholbar
  5. Beginnend
• Detaillierte Beschreibung der echten lokalen Control Procedures und Policies, die für die Control-Ziele relevant sind.
• Remediation (können Teil des Risk Management Prozesses sein):
  • Aktionsplan oder Rechtfertigung (basierend auf einem Risk Assessment)
  • Name des Verantwortlichen, Deadline
  • Aktueller Status

Diese Standard-Parameter der ITGC Matrix müssen zwingend verwendet werden, um die Resultate des Control Assessment zu dokumentieren, die Resultate deren Tests zu dokumentieren, um den Fortschritt der Control Gap Remediation (im Risk Management Prozess enthalten) festzuhalten.

Rollen und Verantwortung

Das ITGCM bietet eine Baseline für das interne Audit Department, um die IT-Aktivitäten zu auditieren. Aber die Tragweite eines internen Audits ist nicht auf diese Baseline limitiert und kann auch Nicht-IT- und Nicht-Governance-Aktivitäten enthalten.

Ein Audit und Compliance Committee der Direktion kann die gefundenen Probleme der externen Auditors reviewen.

IT General Control Assessment Prozesse

Der ITGC Assessment Prozess ist in drei Teile aufgeteilt:

1. Initiales Risk Assessment: Die Information Assets einer Organisation sind identifiziert, kategorisiert, klassifiziert und analysiert, damit die Risiken in Verbindung mit der Nutzung des Assets festgestellt sind. Dieser Schritt ist die Basis für die Identifikation der Information Assets und deren Klassifikation sowie Kategorisierung.
2. Controls Assessment: Basierend auf den Resultaten des ersten Schritts sind alle Controls für jedes Information Asset der Organisation identifiziert und ihre Implementation ist assessed und getestet. Das aktuelle Control Environment ist mit den Control Objectives verglichen damit die Reife der Control festgestellt werden kann.
3. Remediation Management: Aktionen für die Remediation sind, wo nötig, definiert und implementiert nachdem das mit ihnen zusammenhängende Risiko evaluiert worden ist. Dieser Prozess ist im Normalfall im Risk Management Prozess integriert.

Der Controls Assessment Prozess wird entweder durch das jährliche Re-Assessment der Controls oder durch Änderungen, welche die Organisation oder Information Assets betreffen, ausgelöst. Diese sind unter anderem:

• Für die Organisation: Eine grosse Veränderung in der internen Struktur der Organisation. Oder in der Personalstruktur, der Verantwortlichkeiten und der Rollenverteilung, dem Offshoring von Aktivitäten, neuen Outsourcing-Lösungen, Akquisitionen und anderem.
• Für die IT Assets: Eine neue Implementation oder ein grosses neues Release, bedeutende Wechsel im Bereich Operations oder der Infrastruktur, ein grösserer Incident, unzufriedenstellendes Sicherungs-Review, neue Shared Services etc.
• Generell nach:
  • Änderungen in der Legislation oder der externen Regulierungen
  • Gescheiterten Tests der Controls
  • Identifikation der Lücken in den Controls oder sonstigen Schwachstellen
  • Neuklassifizierung der Assets folgend der Policy und des Klassifikationsprozesses.
  • Unzufriedenstellende Audit-Resultate
  • Komplettierung der Remediations

Der Controls Assessment Prozess wird für einzelne Information Assets ausgeführt. Der Zweck des Prozesses ist:

• Identifikation der Applicable Controls basierend auf der ITGC Matrix
• Dokumentation der realen Local Control Procedures und Policies
• Assessment des Reifegrades der Controls
• Identifikation der Lücken in den Controls, wo das Reifelevel nicht erreicht ist

Der Schlüssel-Output des Assessments beinhaltet:

• Reports über den Risikostatus
• Bewilligte Risikomitigationspläne

Reporting und Monitoring sind ständig laufende Prozesse, die während dem ganzen Risikobehandlungsprozess erfolgen sollten.

Teilungen müssen sicherstellen, dass das Risikoreporting etabliert ist, damit der Fortschritt der Remediation Plans nachverfolgt werden kann, wie auch der Grad des Risikos, dem die Organisation gegenübersteht.

Fazit

Indem ein Lebenszyklus mit gut ausgewählten Kontrollen etabliert wird, ist es möglich die Qualität und die Reife von mehreren kritischen Domains der Organisation stetig zu verbessern. Die Kontrollen können ein sehr wichtiges Element in der Sicherstellung der Compliance in einem Umfeld werden, das immer mehr verpflichtende und komplexe Regulationen erfordert. Es ist daher absolut lohnenswert eine Organisationsstruktur und ein Konzept einzuführen, das sich um diese Art der Governance dreht. Zudem können so viele Synergien mit anderen wichtigen Abteilungen – wie zum Beispiel dem Internen Audit Team, der Information Security, dem Risk Management oder der Qualitätssicherung – geschaffen werden.

Über den Autor

Flavio Gerbino ist seit Ende der 1990er Jahre im Bereich der Informationssicherheit tätig. Seine Schwerpunkte liegen im Bereich der strategischen Ausrichtung und des Managements der Sicherheit eines Unternehmens.

Links

• https://na.theiia.org/Pages/IIAHome.aspx