IT-Sicherheit und Risiken in der Versicherungs- und Finanzdienstleistungsbranche

Transkript

1 IT-Sicherheit und Risiken in der Versicherungs- und Finanzdienstleistungsbranche Darstellung der Gefahrenpotentiale sowie konkrete Handlungsempfehlungen für den Notfall Workshop am 1. und 2. Juli 2014 Nur wenige Branchen sind von der IT-Infrastruktur so stark abhängig wie die Versicherungsbranche. Sowohl interne Prozesse als auch die Prozesse des Informations- und Datenaustausches mit Vertriebspartnern stützen sich größtenteils auf Netzwerke, Server und mobile Geräte. Die reibungslose Funktionsweise der IT-Architektur innerhalb der Unternehmen und mit den Vertriebspartnern ist daher von höchster Wichtigkeit. Die Abläufe können jedoch nicht nur durch interne Fehler oder Probleme, sondern auch durch externe Angriffe gestört werden. Vor allem der Informationsinhalt der bei den Versicherungsunternehmen gespeicherten Daten kann Begehrlichkeiten wecken. Industriespionage und Datendiebstahl gehören zu den schwerwiegendsten Risiken, denen Versicherer tagtäglich ausgesetzt sind. Ebenso sind andere Szenarien denkbar, wie z.b. das Ausschalten der IT-Infrastruktur, um das Unternehmen zu erpressen oder zu schädigen.

2 Inhalt und Ziele: Unabhängig von dem möglichen Bewegungsgrund des Angreifers stellt jeder gelungene Eingriff unbefugter Dritter in die Systeme des Versicherers einen sehr hohen Schaden dar. Aber warum sollten die Versicherer durch Cyber-Kriminelle angegriffen werden? Und wie kann das überhaupt geschehen? Kennt man die Risiken, gilt es, sich gegen diese so gut wie möglich abzusichern. Wir werden erörtern, welche Maßnahmen notwendig sind, um Probleme vorzubeugen. Dabei konzentrieren wir uns nicht nur auf technische Mittel, sondern zeigen ebenfalls, wie sich Mitarbeiter und Abteilungen auf eine Krisensituation vorbereiten können. In unserem Workshop wollen wir die wichtigsten Risiken erörtern und mögliche Lösungen und Gegenmaßnahmen darstellen. Zusätzlich wollen wir anhand praktischer Beispiele zeigen, wie man sich auf entsprechende Situationen vorbereiten kann, um im Notfall die richtigen Entscheidungen treffen zu können und den Schaden zu minimieren. Die rechtlichen Folgen der Cyber-Risiken runden diesen Themenblock ab. Ein weiterer Schwerpunkt des Workshops ist die Darstellung der sicheren Wege für die Kommunikation der Versicherer mit ihren Vertriebspartnern (Schwerpunkt Makler). Ablauf des Workshops Den ersten Vortrag widmen wir dem Thema Industriespionage. Versicherungsunternehmen verfügen über unzählige wertvolle Daten, die ein heiß begehrtes Gut sein können. Wir stellen Gefahrenpotentiale dar, die in den eingesetzten technischen Mitteln, aber auch bei den Arbeitsabläufen und im Risikofaktor Mensch schlummern (u.a. das Thema Bring you own device ). Im zweiten Vortrag stellen wir vor, wie Sie mit Hilfe eines Informationssicherheitsmanagementsystems (ISMS) einen guten und kostengerechten Schutz der IT-Infrastruktur planen, aufbauen und managen können. Im Beitrag zum Cyber-Krisenmanagement erörtern wir, wie sich die Versicherungsunternehmen, abgesehen von der technischen Ebene, auf die möglichen Angriffe der eigenen IT-Architektur vorbereiten können. Durch Krisenstabspläne und entsprechende Schulungen der Mitarbeiter kann das Unternehmen effizient und sicher auf Gefahrensituationen reagieren. Neben theoretischen Ansätzen wird das Thema mit einem praktischem Gruppen-Planspiel vertieft. Eine zentrale Datenspeicherung über Clouds bietet weitreichende Möglichkeiten und Flexibilitäten. Auf der anderen Seite kann das Speichern von vertraulichen Daten in den Clouds diverse Risiken mit sich bringen. Dieses werden wir eingehend erläutern. Agenda IT-Sicherheit Stand Seite 2

3 Die Komplexität des Themas wird bei den Versicherungsunternehmen durch die Tatsache erhöht, dass ein umfangreicher Dokumentenaustausch mit den externen Vertriebspartnern (Versicherungsmaklern) erfolgt. Der Austausch der Daten sollte über eine verschlüsselte Verbindung durchgeführt werden. Doch die verschlüsselte Übertragung von Daten kann nicht immer ohne weiteres in die Arbeitsabläufe der Vertriebspartner integriert werden. Wir werden an Hand ausgewählter Versicherungsunternehmen den aktuellen Stand der Kommunikation zwischen Versicherer und Makler darstellen. Das Maklerverwaltungsprogramm ist das IT-Herz des Maklers. Wir stellen Ihnen den Workflow zwischen VU und Makler aus Sicht eines MVP-Herstellers und den damit verbunden Sicherheitsaspekten vor. Mittlerweile hat sich BiPRO als Prozess- und Datenstandard in der Versicherungsbranche durchgesetzt. Wir wollen u.a. beleuchten, inwieweit die BiPRO-Normen und darauf basierende Umsetzungen die Lösung für Sicherheitsprobleme darstellen können. In diesem Kontext wird die Aktualisierung der Sicherheitsnormen im Rahmen eines aktuell aufgerufenen BiPRO-Projektes behandelt, an dem alle relevanten Markt-/Prozessteilnehmer mitarbeiten, um den gegenwärtigen Entwicklungen der fortschreitenden Digitalisierung Rechnung zu tragen. Auch die rechtliche Seite spielt oft eine zentrale Rolle bei der Gefahrenabwehr und dem Datenaustausch. Hierauf wollen wir abschließend im Rahmen von zwei Vorträgen eingehen. Adressatenkreis Die Veranstaltung richtet sich an Führungskräfte und Verantwortliche aller Unternehmen aus dem Bereich der Versicherungsund Finanzbranche (Schwerpunkt Versicherungen), insbesondere aus dem IT- und Vertriebsbereich. IT-Unternehmen Agenda IT-Sicherheit Stand Seite 3

4 1. Tag: Top Beschreibung Referent Zeit 1 Check-In 10:30 11:00 2 Begrüßung / Organisatorisches / Kurzvorstellung deutscheversicherungsboerse.de Friedel Rohde 11:00 11:10 Industriespionage 3 Präventive Spionageabwehr. Welche Gefahrenpotentiale sind für Unternehmen vorhanden? Heike Zitting, Verfassungsschutz Berlin 11:10 12:10 4 Diskussion :30 5 Mittagspause 12:00 13:30 Cyberkrisenmanagement 6 Informationssicherheitsmanagementsystem - ein ganzheitlicher Ansatz zur Behandlung von Cyber-Risiken Jens Westphal, Secunet 13:30 14:15 7 Diskussion 14:15 14:30 8 Krisenmanagement im Zeiten von Cyber-Risiken. Herausforderungen, Lösungen und Nutzen für Versicherungsunternehmen Robin Kroha, HiSolutions 14:30 15:15 9 Diskussion 15:15 15:30 10 Kaffeepause 15:30 15:45 11 Workshop Cyber-Krisenmanagement Planspiel Cyber-Krise Robin Kroha, HiSolutions 15:45 17:15 12 Präsentation Planspielergebnisse Robin Kroha, 13 Austausch und gemeinsames Abendessen HiSolutions 17:15 17:45 18:30 22:00 Agenda IT-Sicherheit Stand Seite 4

5 2. Tag: Top Beschreibung Referent Zeit Datenspeicherung und Clouds 1 Datenspeicherung in der Cloud Begrifflichkeiten, Angebote, Chancen und Risiken Christoph Puppe, HiSolutions 09:00 09:45 2 Diskussion 09:45 10:00 Sicherer Datenaustausch mit dem Vertrieb 3 Sicherer Daten- und Dokumentenaustausch zwischen Versicherer und Vertriebspartnern: Ein Überblick zu den aktuellen Lösungen. Friedel Rohde, dvb 10:00 10:30 4 Diskussion 10:30 10:45 5 Kaffeepause 10:45 11:00 6 Dokumentenaustausch über BiPRO- Schnittstellen aus dem MVP Marc Rindermann AssFiNET AG 11:00 11:45 7 Diskussion 11:45 12:00 8 Mittagspause 12:00 13:00 BiPRO 9 BiPRO: Aspekte der Standardisierung zur IT-Sicherheit im Rahmen der Versicherer-Vermittler Kommunikation. Christoph Wagner BiPRO 13:00 13:45 10 Diskussion 13:45 14:00 Rechtliche Aspekte zur Sicherheit 11 Rechtliche Risiken beim Datentransfer zwischen Makler und VU RA Dr. Andre Kempf 14:00 14:30 12 Diskussion 14:30 14:45 13 Rechtliche Folgen eines Cyber-Angriffs RA Erik Stamer, LL.M 14:45 15:15 14 Diskussion 15:15 15:30 15 Zusammenfassung und Abschluss Friedel Rohde 15:30 15:45 Moderation: Friedel Rohde Agenda IT-Sicherheit Stand Seite 5

6 Die Veranstalter und Referenten Friedel Rohde Versicherungsfachwirt. War nach seinen Tätigkeiten bei der Concordia Versicherung und beim HDI rund 20 Jahre als Versicherungsmakler tätig (Gründer von Friedels Fairsicherungsbüro, Berlin). Heute ist er Geschäftsführer der Vorstand im Verband der Fairsicherungsmakler und berät Versicherungsunternehmen u.a. bei der Erstellung ihrer Makler-Extranets. Friedel Rohde ist ferner Projektkoordinator des Arbeitskreis EU-Vermittlerrichtlinie Dokumentation, der von mehreren Berufsverbänden und -verbünden gegründet wurde und Mitglied beim Berliner Arbeitskreis Maklerprozesse. Unsere Gastreferenten: RA Dr. jur. Andre Kempf arbeitete nach Abschluss des 2. juristischen Staatsexamens als angestellter Rechtsanwalt und promovierte parallel dazu mit einem Themenschwerpunkt im Sozialversicherungs- und Arbeitsrecht. Herr Dr. Kempf ist Referatsleiter Maklerrecht und Vergütung bei einem großen Versicherungsunternehmen in Stuttgart. Robin Kroha Robin Kroha verantwortet den Bereich Crisis and Security Management bei der HiSolutions AG und leitet das Cyber-Krisenreaktions-Team der HiSolutions. Er ist seit mehr als 16 Jahren in den Bereichen Krisenmanagement und -kommunikation sowie Informationssicherheit tätig. Zu seinen Themenschwerpunkten zählen Notfall- und Krisenübungen im Umfeld Informationssicherheit für Behörden und Unternehmen der Privatwirtschaft sowie strategische Beratung beim Aufbau oder der Optimierung von Sicherheitsabteilungen. Christian Puppe Christoph Puppe ist seit 1989 in der IT-Sicherheit aktiv und verantwortete von 2002 bis 2013 die technischen Audits der HiSolutions AG in Berlin. Seit diesem Jahr berät er als erster Principal Consultant der HiSolutions Kunden zu Fragen der Cybersecurity-Strategie. Als Lead-Auditor für ISO nach BSI Grundschutzkatalogen und BSI zertifizierter Penetrationstester sowie IS-Revisor prüft er die IT- Landschaft und die Cybersicherheits-Strategie von Unternehmen und Behörden. Er veröffentlicht regelmäßig zu Sicherheitsfragen in der deutschen Fachpresse. Marc Rindermann Marc Rindermann ist diplomierter Wirtschaftsinformatiker und seit 2002 Mitglied des Vorstands und seit Februar 2012 Alleinvorstand der AssFiNET AG. Seit seinem Eintritt in das Unternehmen in den neunziger Jahren ist er maßgeblich verantwortlich für die Entwicklung der AssFiNET Systeme AMS.4 und con:center. Agenda IT-Sicherheit Stand Seite 6

7 Erik Stamer Rechtsanwalt Erik Stamer, LL.M. ist Rechtsanwalt und Partner in der Kanzlei Ibert & Partner in Berlin. Er ist Fachanwalt für IT-Recht und berät schwerpunktmäßig in den Bereichen e-commerce, Wettbewerbsrecht, Urheberrecht, Markenrecht und Datenschutzrecht. Christoph Wagner Nach seinem Studium der Nachrichtentechnik leitete Christoph Wagner 15 Jahre die Abteilung für Anwendungsentwicklung eines Softwarehauses. Von 2003 bis 2009 arbeitete er als selbstständiger Senior-Consultant in der Finanz- und Versicherungsbranche. Bevor er im Oktober 2011 zum BiPRO e.v. als Leiter Normung/IT wechselte, zeigte er sich als DV-Koordinator für die Vertriebssysteme am Point of Service bei der RheinLand-Gruppe verantwortlich. Zu diesem Zeitpunkt gehörte er bereits dem technischen Ausschuss (TAUS) des BiPRO e.v. an. Seine Schwerpunkte lagen bei der strategischen Ausrichtung der Anwendungsentwicklungsarchitektur im Online-Bereich sowie im Releasemanagement von Vertriebsprojekten. Jens Westphal Jens Westphal ist seit 1995 in der IT-Sicherheit aktiv. Er ist seit 2008 zertifizierter Auditor für Informationsssicherheitsmanagementsysteme auf Basis von IT-Grundschutz beim Bundesamt für Sicherheit in der Informationstechnik. In dieser Funktion hat Herr Westphal bereits mehrere unterschiedliche Informationsverbünde branchenübergreifend gegen Cyber-Risiken abgesichert beziehungsweise IT- Sicherheitszertifizierungen durchgeführt. Zu seinen Themenschwerpunkten zählen die Sicherheit von Netzwerken und Kommunikationsverbindungen sowie die Sicherheit von Daten im mobilen Umfeld. Heike Zitting Nach dem Abitur 1982 Studium der Rechtswissenschaften in Osnabrück mit dem 1.Staatsexamen Nach dem 2. Staatsexamen, das in Hannover abgelegt wurde, ab Herbst 1991 Anstellung bei der Senatsverwaltung für Schule, Berufsbildung und Sport als Prozessvertreterin in Arbeitsgerichtssachen und mitverantwortlich für die Abwicklung von Bildungseinrichtungen der ehemaligen DDR im Ost-Teil der Stadt. Seit 1993 Anstellung beim Verfassungsschutz Berlin, zunächst u.a. als Prozessvertreterin, dann als G 10-Aufsichtsperson, ab 2000 verantwortlich für Sicherheits- und Zuverlässigkeitsüberprüfungen und Wirtschaftsschutz. Agenda IT-Sicherheit Stand Seite 7

8 So melden Sie sich an: Ein Online-Anmeldeformular finden Sie auf unseren Internetseiten unter dem Menüpunkt Wissen Workshops & Seminare Bei Rückfragen wenden Sie sich bitte an Frau Marita Öztürk-Kussin unter der Telefonnummer ( Die Teilnahmegebühr für die Veranstaltung beträgt EUR zzgl. MwSt. Für jeden weiteren Mitarbeiter eines Unternehmens wird ein Nachlass von 20% gewährt. Tagungshotel: Hollywood Media Hotel Kurfürstendamm 202, Berlin Tel Es steht Ihnen bis 2 Wochen vor dem Workshoptermin im Tagungshotel ein begrenztes Zimmerkontingent zu vergünstigten Preisen zur Verfügung. Bitte nehmen Sie die Zimmerreservierung selbst im Hotel vor, Stichwort deutsche-versicherungsboerse.de. Teilnahmebedingungen: Die Teilnahmekosten für die Veranstaltung einschließlich Pausenverpflegung und Mittagessen sowie Pausengetränken betragen EUR zuzüglich der gesetzlichen Mehrwertsteuer und sind nach Erhalt der Rechnung sofort fällig. Für jeden weiteren Mitarbeiter eines Unternehmens wird ein Nachlass von 20% gewährt. Sie erhalten nach Ihrer Anmeldung eine Bestätigung. Eine Stornierung ist bis zwei Wochen vor Veranstaltungsbeginn kostenlos möglich. Erfolgt das Storno weniger als zwei Wochen vor Veranstaltungsbeginn gilt die folgende Regelung: Falls vom Veranstalter der Platz mit einer Ersatzperson (Warteliste) besetzt werden kann, erfolgt eine kostenlose Stornierung. Sollte dies nicht möglich sein, wird der volle Betrag in Rechnung gestellt. Bei einer Stornierung oder Nichterscheinen am Veranstaltungstag werden ebenfalls die gesamten Teilnehmergebühren erhoben. Sie können gern ohne zusätzliche Kosten einen Ersatzteilnehmer senden. Wir behalten uns Programmänderungen aus dringendem Anlass vor. Ihre Daten werden von uns zur Organisation der Veranstaltung verwendet. Mit Ihrer Anmeldung geben Sie Ihre Einwilligung, dass wir Sie auch per Fax, oder Telefon kontaktieren. Falls Sie uns diese Einwilligung nicht geben möchten, informieren Sie uns bitte entsprechend. Diese Einwilligung kann jederzeit widerrufen werden. Sie können der Verwendung Ihrer Daten zu den genannten Zwecken jederzeit widersprechen. Agenda IT-Sicherheit Stand Seite 8