Risk

Von Silos zu Systemen: Wie GRC endlich integriert funktioniert

Mittwoch, 10. Januar 2024

IT

Von Silos zu Systemen: Wie GRC endlich integriert funktioniert

GRC – Governance, Risk & Compliance – galt jahrelang als vernünftiger Dreiklang, in der Praxis aber oft als Dreifaltigkeit der Silos. Governance schrieb Richtlinien, Risk malte Heatmaps, Compliance pflegte Ordner – jede Disziplin korrekt im eigenen Kosmos, selten im Gleichklang. Das Ergebnis: viele Aktivitäten, wenig Wirkung. Heute, mit überlappenden Aufsichten (DORA, NIS2, AI Act, CRA, CSRD), komplexen Lieferketten und softwaregetriebener Wertschöpfung, bricht dieses Modell sichtbar. Was fehlt, ist kein weiterer Standard, sondern eine Arbeitsweise, die GRC zu einem System macht: aus einem Guss geplant, aus Daten gespeist, im Betrieb verankert, mit Nachweisen, die aus dem Tun entstehen – nicht aus dem Nachzeichnen. Dieser Beitrag zeigt, wie die Integration gelingt: organisatorisch, technisch, kulturell. Und warum „integriert“ nicht bedeutet, alles zu zentralisieren, sondern Schnittstellen so zu gestalten, dass Arbeit fließt.

1) Warum die alte GRC-Logik scheitert – und zwar zuverlässig

Silos sind bequem. Jedes Team setzt seine Tools, seine Taxonomie, seine KPIs. Doch drei strukturelle Brüche machen das alte Modell unhaltbar:

Markiert in:

ISMS Compliance Risk Governance GRC

949 Aufrufe

Zwischen Kontrolle und Vertrauen: Wie Risk Management modern wird

Freitag, 22. November 2024

Markus Groß

IT

Zwischen Kontrolle und Vertrauen: Wie Risk Management modern wird

Kontrolle ist gut, Vertrauen ist besser – oder doch umgekehrt? Lange hat sich das Risikomanagement in Unternehmen an dieser scheinbaren Gegensätzlichkeit abgearbeitet. Auf der einen Seite Reglementierung, Policies, Vier-Augen-Prinzip, Audits. Auf der anderen Seite Eigenverantwortung, Ermessen, Unternehmergeist. Zwischen beiden Polen wurde die Organisation gespannt wie eine Saite, mal straff zugedreht, mal locker gelassen. Das Ergebnis: zeitweise Ordnung, regelmäßig Reibung, selten Geschwindigkeit. Heute, in einer Wirtschaft, die von Software, Plattformen, globalen Lieferketten und datengetriebenen Entscheidungen geprägt ist, reicht dieses Schwarz-Weiß nicht mehr. Modernes Risikomanagement lebt von kontrollierbarem Vertrauen: Regeln, die Freiräume ermöglichen; Kennzahlen, die Entscheidungen beschleunigen; Evidenzen, die unsicherheitstauglich sind; Kultur, die meldet statt verschweigt. Dieser Beitrag erkundet, wie der Weg dorthin aussieht – jenseits von Schlagwörtern, mitten in der operativen Realität.

1) Von der Absicherung zur Befähigung: Wozu Risikomanagement heute da ist

Klassisch wird Risikomanagement als Schutzfunktion verstanden: Risiken identifizieren, bewerten, behandeln, überwachen. Richtig – aber unvollständig. Die strategische Pointe lautet: Risiko ist eine Ressource. Nur wer risikobewusst handelt, kann schnellere Märkte, neue Technologien und knappe Budgets in Wachstum übersetzen. Absicherung ohne Befähigung lähmt. Befähigung ohne Absicherung ist Glücksspiel. Das moderne Zielbild lautet daher: Risiko als Entscheidungshilfe. In der Praxis bedeutet das:

Markiert in:

DORA TPRM RiskManagement Risk

807 Aufrufe

Vom SANS zum Standard: Wie die CIS Controls geboren wurden

Montag, 15. Juni 2015

Markus Groß

IT

Vom SANS zum Standard: Wie die CIS Controls geboren wurden

Es fängt – wie vieles in der Informationssicherheit – nicht mit einem großen Plan an, sondern mit Frust. Frust darüber, dass Unternehmen immer wieder an denselben Stellen getroffen werden. Frust darüber, dass dicke Ordner voller Richtlinien kaum helfen, wenn ein Angreifer mit banalen Mitteln durch eine unentdeckte Fernwartungsschnittstelle spaziert. Frust darüber, dass jede Organisation aufwendig eigene Kataloge schreibt, während die Kriminellen längst arbeitsteilig, wiederholbar und effizient vorgehen. Aus diesem Frust entsteht eine Idee, die zunächst beinahe unverschämt schlicht wirkt: Statt noch ein Rahmenwerk, noch eine Norm, noch eine Auslegungshilfe zu veröffentlichen, bündeln wir das, was wirklich wirkt, und bringen es in eine priorisierte Reihenfolge. Keine Theorielehre, sondern ein Programm. Kein schönes Plakat, sondern eine Handlungsanweisung. Aus dieser Idee wurden erst die „Top 20 Critical Security Controls“ – und im nächsten Schritt das, was wir heute als CIS Controls kennen.

Die Ausgangslage: Zu viel Theorie, zu wenig Wirkung

Die frühen 2000er-Jahre sind eine Zeit des Aufbruchs – und der Ernüchterung. Die Sicherheitsgemeinde verfügt über Rahmenwerke en masse: ISO/IEC 27001 mit seinem Managementansatz, NIST SP 800-53 mit seinem umfassenden Kontrollkatalog, COBIT für Governance, ITIL für Serviceprozesse. All das ist wertvoll. Doch im Maschinenraum der Unternehmen bleiben immer wieder dieselben Lücken offen: nicht inventarisierte Systeme, veraltete Software, grob fahrlässige Standardkonfigurationen, allzu großzügige Administratorrechte, schwache Protokollierung, zu seltene Auswertung. Wer ein Incident-Response-Team begleitet, erkennt Muster. Wer viele Reaktionen begleitet, erkennt immer dieselben Muster.

Markiert in:

Governance Risk Controls CIS

11073 Aufrufe

BLOG

BLOG

Von Silos zu Systemen: Wie GRC endlich integriert funktioniert

1) Warum die alte GRC-Logik scheitert – und zwar zuverlässig

Zwischen Kontrolle und Vertrauen: Wie Risk Management modern wird

1) Von der Absicherung zur Befähigung: Wozu Risikomanagement heute da ist

Vom SANS zum Standard: Wie die CIS Controls geboren wurden

Die Ausgangslage: Zu viel Theorie, zu wenig Wirkung