Aktuelle Aufsichts-Anforderungen an die operative Informationssicherheit

• Konkrete Aufsichts-Erwartungen aus MaRisk, BAIT und EBA-ICT-Leitlinien
• Häufige Fragestellungen und identifizierte Schwachstellen in der Praxis
• Anforderungen an das (toolunterstützte) Identifizieren und die Behandlung von Schwachstellen
• Anforderungen an die Durchführung regelmäßiger Penetrationstests
• Anforderungen an die SIEM-Administration, Loganbindung, Use Cases und die Behandlung von SIEM-Meldungen innerhalb eines SOC
• Anforderungen an den Malwareschutz, den Schutz vor Datenabfluss und die Verwaltung und das Management zulässiger Software und IDV

Der Bereich der operativen Informationssicherheit ist facettenreich und entwickelt sich, dem Stand der Technik entsprechend, stetig weiter. So konnte beispielsweise in den letzten Jahren beobachtet werden, dass der Einsatz eines Security Information and Event Management (SIEM)-Systems sowie eines Schwachstellenscanners unabdingbar für die Erfüllung eines hohen Schutzbedarfes für sicherheitskritische IT-Systeme sind. Dementsprechend wachsen auch die aufsichtlichen Anforderungen an die von den Instituten verantworteten IT-Systemen.

Wesentliche Feststellungen in dem Bereich der operativen Informationssicherheit zeigen, dass für viele Institute ein Nachholbedarf zur Erfüllung der aufsichtlichen Anforderungen und zur Erfüllung des eigenen Sollmaßnahmenkataloges erforderlich ist, um die sicherheitsrelevante Systeme auch tatsächlich vor Schwachstellen zu schützen.

Nicht nur die reine Identifikation möglicher Schwachstellen, sondern auch deren Behebung setzt die Informationssicherheit, nicht zuletzt auch aufgrund der stetig wachsenden IT-Landschaft, vor große Herausforderungen, die mit dem Informationsrisikomanagement in Einklang gebracht werden müssen.

Sofern das Institut externe Dienstleister (z. B. zur Administration eines SIEM) beauftragt, müssen die Anforderungen dennoch eingehalten und von der Informationssicherheit überwacht werden.

Die (IT-)Revision hat die Einhaltung der in den MaRisk und BAIT verankerten Anforderungen entsprechend zu prüfen.