-
AI Act und Shadow AI: Wissen Sie, welche KI Ihr Unternehmen nutzt?
Bevor Unternehmen über AI Act Compliance sprechen können, müssen sie eine wesentlich einfachere Frage beantworten: Welche KI setzen wir eigentlich ein? Das klingt selbstverständlich. In der Praxis ist es das häufig nicht. Mitarbeiter nutzen ChatGPT, Claude, Gemini oder Perplexity. Microsoft Copilot und andere KI-Funktionen werden über bestehende Softwarelizenzen verfügbar. Fachbereiche testen spezialisierte Anwendungen oder Dienstleister setzen KI innerhalb ausgelagerter Prozesse…
-
KI Governance in der Praxis: Von der Richtlinie zum funktionierenden Prozess
Ist bekannt, welche KI-Anwendungen ein Unternehmen nutzt und welche Anforderungen dafür gelten, beginnt die eigentliche Implementierungsarbeit. Denn eine KI-Richtlinie allein schafft noch keine wirksame Governance. Entscheidend ist, wie Verantwortlichkeiten, Risiken, Freigaben und Kontrollen in bestehende Unternehmensprozesse integriert werden. Keine regulatorische Parallelwelt für KI schaffen KI betrifft zahlreiche bereits vorhandene Strukturen. Ein externer KI-Anbieter gehört in das Third Party Risk Management.…
-
ISO27001: Nach dem Audit ist vor dem Audit
Das Zertifizierungsaudit ist überstanden, vor einer Weile sind Report und Urkunde angekommen, die bestätigen, dass man ein funktionierendes Informationssicherheitsmanagement System besitzt (kurz „ISMS“). Nun lehnen sich viele zurück „endlich geschafft, nun können wir wieder arbeiten.“ Dieser vermeintlich harmlose Satz birgt allerdings jede Menge Sprengstoff in sich. Erst einmal ist der Satz ein Zeichen das Informationssicherheit und all die Prozesse, die…
-
Herausforderungen der IT-Strategie in agilen Organisationen
Die Bundesfinanzanstalt (BaFin) hat in ihrem letzten Rundschreiben 10/2017 für BAIT die Mindestanforderungen an die IT-Strategie konkretisiert und empfehlt den Geschäftsführern die Anforderungen zur strategischen Ausrichtung von IT-Systemen. Dafür sollte die gesamte IT-Infrastruktur von Vorstand und Aufsichtsrat einmal jährlich einer genauen Überprüfung unterzogen werden.
-
Von der Kür zur Pflicht: B3S für Krankenhäuser
von Dr. Klaus-Dieter Krause Das Thema Sicherheit beim Einsatz von digitalen Prozessen spielt in Krankenhäusern nicht erst seit dem Frühjahr 2016 eine wichtige Rolle, als die durch die Ransomware „Locky“ bekannt gewordenen Zwischenfälle unzählige Prozesse in den betroffenen Häusern nachhaltig negativ beeinflussten. Der Kostendruck sowie die u.a. damit verbundene Digitalisierung vieler Prozesse in den Krankenhäusern hat dazu geführt, dass die…
-
ISACA Germany Chapter veröffentlicht Leitfaden zu IT-Compliance
Der ISACA ist der weltweit führende Berufsverband für die Themen IT-Revision und IT-Governance. Bekannt ist der ISACA vor allem durch sein international anerkanntes Framework COBIT. Neben COBIT veröffentlichen auch die ISACA Landesverbände immer wieder interessante und praxisorientierte Leitfäden durch ihre Fachgruppen. Im Januar 2021 hat die Fachgruppe „IT-Compliance“ des ISACA Germany Chapters mit Hilfe des dpunkt.Verlags den Leitfaden „IT-Compliance –…
-
Rechtliche Aspekte beim Cloud Computing
Laut einer Umfrage der Bitkom Research GmbH und der KPMG AG hat die Mehrheit der Unternehmen Sorge um Compliance-Anforderungen in Bezug auf die Nutzung von Cloud-Lösungen. Durch die Nutzung von Cloud-Lösungen werden einige Rechtsgebiete berührt. Im Folgenden werden die einschlägigen gesetzlichen Aspekte erläutert, die beim Einsatz von Cloud Computing in deutschen Unternehmen zu beachten sind.
-
Welche Risiken bringt die Nutzung von Cloud Computing für Unternehmen mit sich?
Cloud Computing wird von vielen potentiellen Nutzern als risikobehaftet empfunden, vor allen Dingen, was die Speicherung von Daten anbelangt. Diese Sicherheitsbedenken stellen derzeit einen Hauptgrund für die Zurückhaltung vieler Unternehmen gegenüber Cloud Computing dar1. Doch mit welchen Risiken wird ein Unternehmen konfrontiert, wenn es Cloud Computing nutzen möchte? Allgemeine Risiken Bei Cloud-Computing-Systemen handelt es sich grundsätzlich um komplexe verteilte Systeme,…
-
Auswirkungen auf das IKS beim Einsatz von Cloud Computing: Teil A – Allgemeine Risiken
Abhängig vom gewählten Implementierungsmodell ergibt sich beim Einsatz von Cloud-Computing ein Kontrollverlust. Sicherheitsmaßnahmen des Internen Kontrollsystems liegen zumindest teilweise im Hoheitsbereich des Dienstleisters1. Aus diesem Grund lassen sich aus Anwendersicht innerhalb eines IKS nicht oder nur sehr schwierig alle Risikobereiche einer Cloud-Umgebung abdecken. Empfehlungen und prozessunabhängige Kontrollen für Cloud-Risiken Im folgenden Abschnitt wird auf die zuvor identifizierten Risiken eingegangen. Es…
-
Auswirkungen auf das IKS beim Einsatz von Cloud Computing: Teil B – Cloud-spezifische Risiken
Fehlende Transparenz im Hinblick auf die Datenhaltung und mangelhafte Kontrollmöglichkeiten Die aus diesem Punkt entstehenden Risiken können über Zertifizierungen gemindert werden. Im Folgenden werden wesentliche Zertifizierungsmöglichkeiten beschrieben. Im konkreten Fall ist zu prüfen und vertraglich zu vereinbaren, ob bei einem Cloud-Anbieter zusätzliche, vom auslagernden Unternehmen selbst durchgeführte Audits vorgenommen werden können (mehr Informationen dazu im nächsten Teil). Kontroll-ID Kontrollziel Maßnahme…
