BAIT / VAIT Readiness / IT-Aufsicht bei Banken und Versicherern

Das erste Thema in diesem Zusammenhang das wir näher betrachten wollen ist die Individuelle Datenverarbeitung (IDV). IDV bezieht sich auf IT-Anwendungen, die in den Fachbereichen selbst entwickelt und / oder betrieben werden. Diese Anwendungen unterliegen daher auch nicht den zentral etablierten Prozessen für Software Development und Change-Management der Unternehmens-IT. Meist kommen für IDV Technologien à la Excel & Co zum Einsatz.

IDV-Anwendungen ermöglichen Benutzern Daten direkt zu verwalten, zu kontrollieren und zu manipulieren, wodurch schnell Lösungen bereitgestellt werden, um Funktionslücken zu schließen, die möglicherweise in bestehenden zentral bereitgestellten Geschäftsanwendungen vorhanden sind. IDV-Anwendungen sind damit flexible und leistungsstarke Tools und sind deshalb fester Bestandteil in nahezu allen Versicherungs- und Bank-Prozessen geworden.

Aufgrund oft fehlender Integritäts-Kontrollen, unzureichender Testkonzepte und Sicherheitsmaßnahmen sind sie anderseits häufig fehleranfällig und stellen somit meist ein erhebliches operationelles Risiko dar. Daher überrascht es auch wenig, dass das Thema IDV in den Fokus der BaFin gerückt ist. BAIT und VAIT machen Vorgaben hinsichtlich der Inventarisierung, Klassifizierung, Dokumentation, Sicherheits- und Programmierstandards, die sicherstellen sollen, dass auch eine regulatorisch konforme Nutzung von IDV-Anwendungen möglich bleibt. Wie diese Vorgaben regulatorisch korrekt im Sinne von BAIT und VAIT umgesetzt werden können, zeigen wir exemplarisch an den wesentlichen Anforderungen in diesem Zusammenhang.

Bereits in der schriftlich zu fixierenden IT-Strategie erwartet die Regulatorik Aussagen zu den in den Fachbereichen eines Unternehmens selbst betriebenen bzw. entwickelten IT-Systemen und Anwendungen. Hier ist es nicht ausreichend, grundsätzlich die Nutzung von IDV für ein Unternehmen strategisch zu ermöglichen. Vielmehr muss aufgezeigt werden, wie die Nutzung von IDV in Abhängigkeit vom Schutzbedarf der mittels IDV zu verarbeitenden Daten aussehen soll. Insbesondere sollten Aussagen darüber gemacht werden, welche möglichen Technologien für IDV zulässig sind und welches Vorgehen für den Fall geplant ist, dass der Schutzbedarf das realisierbare Schutzniveau einer Technologie übersteigt. Da IDV nicht selten im Kontext geschäftskritischer Prozesse zum Einsatz kommt, sollte dies bereits in den strategischen Überlegungen zum Thema IDV ausreichend bedacht werden.

Alle Prozesse und Standards, die bei der Verwendung von IDV im Unternehmen von Bedeutung sind, müssen im Detail in einer IDV-Richtlinie geregelt werden. Insbesondere müssen die Prozesse zur Identifizierung, Inventarisierung, Berechtigungsvergabe, Freigabe, Schutzbedarfsfeststellung und zum Rezertifizieren im Kontext von IDV definiert werden. Dabei müssen die Prozesse nachweislich geeignet sein, die im Unternehmen im Einsatz befindlichen IDV-Anwendungen vollständig zu identifizieren und zu erfassen. Alle IDV-Anwendungen müssen dann entsprechend ihrem Schutzbedarf einer Risikoklasse zugeordnet werden. Dies sollte analog und konsistent zu den im Unternehmen bereits etablierten Verfahren des Informationsrisikomanagements erfolgen.

Um IDV-Anwendungen entsprechend den ermittelten Risikoklassen angemessen zu schützen, müssen noch geeignete Sicherheitssollmaßnahmen definiert werden. Hier muss darauf geachtet werden, dass definierte Sicherheitsanforderungen auch mit den im Unternehmen verwendeten IDV-Technologien realisierbar sind. So ist der einfache Passwortschutz einer Excel-Datei in der Regel keine ausreichende Zugriffskontrolle für eine hoch geschäftskritische IDV-Anwendung, wenn die Nutzung mittels Passwortes nicht eindeutig einer handelnden Person zugeordnet werden kann. Da der Schutzbedarf kritischer Arbeitsabläufe oft die technischen Schutzmöglichkeiten übersteigt, sollte in der IDV-Richtlinie definiert sein, welche Technologien für welche IDV-Risikoklassen genutzt werden dürfen.

In der IDV-Richtlinie müssen Vorgaben für Anwendungsentwicklung wie Programmierrichtlinien, Coding-Standards, Dokumentationsrichtlinien, Versionskontrolle, Richtlinien für die Anforderungsermittlung sowie Konzepte für Test und Abnahme festgeschrieben werden. Grundsätzlich sollte sich bei der Definition der Vorgaben für IDV an den analogen Richtlinien und Prozessen orientiert werden, die für die Anwendungsentwicklung durch die zentrale Unternehmens-IT gemäß eines standardisierten Software Development Life Cycle gelten. Es muss aber beachtet werden, dass IDV-Technologien wie Excel nur bedingt über den Funktionsumfang und die Security-Features vollwertiger Programmierplattformen wie z.B. Java verfügen. Hier müssen die Programmierrichtlinien und definierte Sicherheitsmaßnahmen auf die im Unternehmen zulässigen IDV- Technologien zugeschnitten sein.

Natürlich müssen alle in der IDV-Richtlinie definierten Prozesse und Standards auch angemessen umgesetzt werden und es sollte daher bei der Erstellung der Richtlinie frühzeitig berücksichtigt werden, ob ausreichende Ressourcen, Kapazitäten und geeignete Technologien dafür zur Verfügung stehen.

IDV-Anwendungen, die entsprechend der in der IDV-Richtlinie definierten Prozesse identifiziert und klassifiziert wurden, müssen vollständig in einem IDV-Inventar erfasst werden.

Bei der Erhebung von IDV-Anwendungen der fortlaufenden Pflege des IDV-Inventars müssen die einzelnen Fachbereiche mit einbezogen werden, da nur hier genaue Kenntnis über Details wie Zweck und Risikoklassifizierung der IDV-Anwendungen vorhanden ist. Auch sollte in einem mindestens jährlichen Zyklus eine Rezertifizierung der einzelnen Anwendungen durch die jeweilig Verantwortlichen erfolgen, um die Vollständigkeit und Aktualität des Inventars sicher zu stellen.  Im Rahmen der Rezertifizierung muss auch geprüft werden, ob die Klassifizierung weiterhin einer möglicherweise geänderten Risikolage entspricht und es muss ggf. eine Anpassung der Einstufung und eine Neubewertung der genutzten Technologien und der verfügbaren Sicherheitsvorkehrungen getroffen werden.   

Die Inventarisierung muss zwingend in einem zentralen Register erfolgen. Hierfür können im Unternehmen bereits gebräuchliche Lösungen wie Confluence oder SharePoint genutzt werden. Zu jeder IDV-Anwendung sollten mindestens folgende Informationen erfasst werden:

• Name und Zweck der Anwendung
• Versionierung, Datumsangabe
• Fremd- oder Eigenentwicklung
• Fachlich und technisch verantwortliche Mitarbeiter
• Verwendete Technologie
• Ergebnis der Risikoklassifizierung und die daraus abgeleiteten Schutzmaßnahmen