Sichere Zusammenarbeit mit Partnerfirmen Erfahrungen aus der Auditierung. Dennis Lelke Fachbereichsleiter Projektmanagement & Consulting

Transkript

1 Sichere Zusammenarbeit mit Partnerfirmen Erfahrungen aus der Auditierung Dennis Lelke Fachbereichsleiter Projektmanagement & Consulting

2 Ausgangssituation Nachweis der Informationssicherheit (ISi) bei Lieferanten Partnerfirmen erhalten schutzbedürftige Informationen, deren Bekanntwerden oder Integritätsverlust zu Nachteilen des Volkswagen Konzerns führen kann. Ziel ist die ausschließliche Kooperation mit Partnerfirmen, die eine angemessene Informationssicherheit nachweisen können, im Idealfall die Zertifizierung nach ISO Die Schutz- und Sicherheitsorganisationen des Volkswagen Konzerns fordern seit dem einen entsprechenden Nachweis der ISi bei: einer technischen Anbindung an Konzern-Systeme oder -Netze (z.b. CSN-Zugang) der Überlassung von vertraulichen oder geheimen Daten, Teilen, Komponenten, Aggregateträgern sowie Prototypen operational services / IT-Sicherheitsfachtagung /

3 Ziele des Projekts Nachhaltige Sicherstellung der Informations-Sicherheit für VW VW Partner müssen Prozesse und Organisation für ISMS implementieren Initiale Überprüfung/Freigabe der Partner und Gültigkeitsüberwachung Einheitliche Bewertung von Partnern Standardisierte Bewertung der Partner innerhalb des VW Konzerns und im VDA Aufbau und Bereitstellung des Prozesses für die Überprüfung der Partner Harmonisierung und Weiterentwicklung von Prozessen und Dokumenten Unterstützung der Partnerfirmen und Fachbereiche durch OS Erläuterung der Assessment-Bögen und Definition von Verbesserungsmaßnahmen Bei Bedarf: Unterstützung beim Aufbau eines ISMS Frühzeitige Einbindung der Fachbereiche durch Informationsveranstaltungen operational services / IT-Sicherheitsfachtagung /

4 Vorbereitungen Zusammenarbeit mit VW gemeinsames Postfach für Anträge der Fachbereiche gemeinsame Datenablage bei VW Regelmeetings mit K-SK und ISSO Abstimmung zum Aufbau von Prozessen Abstimmungen zu Änderungen aufgrund von Erfahrungen gemeinsame Erweiterungen / Konsolidierungen von Fragebögen Initiierung der Assessments für andere Konzerngesellschaften bzw. Marken Durchführung von Info-Veranstaltungen VW fungiert als Eskalationsinstanz operational services / IT-Sicherheitsfachtagung /

5 Prozess - Swimlanes k operational services / IT-Sicherheitsfachtagung /

6 7 Phasen Modell Phase 1 Orientierung Phase 2 Bewertung Rückantwort Phase 3 Vorbereitung Vor-Ort-Begehung Phase 4 Vor-Ort-Begehung Phase 6 Nachbegehung (optional) Reporting nach Phasen möglich! Phase 5 Maßnahmenumsetzung Phase 7 Abschluss operational services / IT-Sicherheitsfachtagung /

7 Schaubild Bearbeitung von Prüfaufträgen Zugriff K-SK / ISSO Auftraggeber Liste der freigegeben Firmen Partnerfirma Dienstleister i.o. oder nicht gelistet, n.i.o Auftragserteilung Prüfauftrag an OS (Orga 27) Nachbesserung Auswertung Festlegung Maßnahmen Entscheidung durch OS VDA-Bogen (obligatorisch) Fragebogen physische Sicherheit Versand Unterlagen u. Bereitstellung Support Informationsmaterial, Checklisten, Selbstauskünfte/Fragebögen Vor-Ort-Begehung oder Gutachten nach Aktenlage Informationssicherheit Anforderungen Prototypenschutz operational services / IT-Sicherheitsfachtagung /

8 Regionen und Branchen Spektrum Auftragsfertiger Entwicklungspartner/ Prototypenfertiger Prüfmittelbauer / Werkzeugbauer Konstruktionsbüros IT-Dienstleister / Softwareentwickler Logistikfirmen Druckereien Agenturen / Marketing & Design Lieferanten für Wegfahrsperren relevante Bauteile Referenzen auf 3 Kontinenten in folgenden Ländern: Deutschland, Österreich, Belgien, Niederlande, Frankreich, Luxemburg, Russland, Tschechien, Slowakei, Ungarn, UK, Schweiz, Türkei, Portugal, Spanien, Italien, Schweden, China, Hongkong, Indien, Korea, Mexiko, in Planung: USA und Brasilien im Zeitraum 01/ /2012: Anzahl Tickets (bearbeitete Firmen): 278 Durchgeführte Vor-Ort-Begutachtungen: 149 Durchgeführte Audits: 10 operational services / IT-Sicherheitsfachtagung /

9 Erfahrungen 1/2 Kleinere Firmen: Gehen pragmatisch vor Wenig Dokumentation; Systematik und Management-System fehlt Firmen arbeiten mehr ereignisgetrieben Es passiert nichts, daher treibt uns nichts!? Zitat: seit 30 Jahren für VW gearbeitet und bisher war das noch nie ein Thema operational services / IT-Sicherheitsfachtagung /

10 Erfahrungen 2/2 Größere Firmen: Haben meist bessere Dokumentation Zum Teil Integration in das QM-System Sub-Dienstleister bringen Know-How mit (Ext. IT) Bei der Arbeit für mehrere OEMs ist die Awareness gegeben, untereinander die Informationen zu schützen Generell: Informationssicherheit wird oft mit IT-Sicherheit gleichgesetzt, dadurch Einschränkung der Sichtweise Oft fehlt das integrierende Element, z. B. Leitlinie ISMS oder zentrale Management-Verantwortung Eine wesentliche Frage ist die der Verhältnismäßigkeit: Auch pragmatische Lösungen haben ihre Berechtigung, wenn sie gewisses Mindestmaß erfüllen. operational services / IT-Sicherheitsfachtagung /

11 Fotos Serverraum 1/2 operational services / IT-Sicherheitsfachtagung /

12 Fotos Serverraum 2/2 operational services / IT-Sicherheitsfachtagung /

13 Fotos (Notausgänge) der Raucher-Ausgang operational services / IT-Sicherheitsfachtagung /

14 Kontakt Vielen Dank für Ihre Aufmerksamkeit! Dennis Lelke operational services GmbH & Co. KG Alessandro-Volta Straße Wolfsburg Telefon: Mobil: Homepage: operational services / IT-Sicherheitsfachtagung /