Security Governance ProjektebeiHP

Security Governance ProjektebeiHP mitden AugeneinesPMP gesehen Jürgen Bachinger Projekt Manager HP Services Consulting& Integration Hewlett Packard GmbH 2005 Hewlett Packard Development Company, L.P. The information contained herein is subject to change without notice

Agenda Security Governance Was ist das? Komponenten Nutzen Security Governance Projekte aus Sicht eines PMP Scopeund Change Management Schedule und CostManagement Communication Management Zusammenfassung December 4, 2005 2

SecurityGovernance was ist das? Security ist kein Produkt Firewalls müssen überwacht werden Virenscanner müssen aktualisiert werden Passwörter müssen klug gewählt werden Security ist ein Prozess... der von Menschen ausgeführt wird der sorgfältiges Design und Dokumentation erfordert und der gelebt werden muss December 4, 2005 3

Komponenten von Security Menschen Prozesse Technologie Verhalten Änderungen Firewall Kultur Kontrollen PKI Rollen Betrieb VPN Strategie& Management Richtlinien Bewusstsein Training & Marketing December 4, 2005 4

SecurityGovernance die Spielregeln für das SecurityManagement Richtlinien Ziele Prozesse Rollen Marketing definieren und ermöglichen Kontrolle Verantwortung Sensitivität / Bewusstsein Umsetzung im gesamten Unternehmen December 4, 2005 5

Der Nutzen von Security Governance Erfüllen von gesetzlichen und vertraglichen Anforderungen BDSG, KonTraG, Basel II, SLA s, Geheimhaltungsklauseln, Effizientes Management von Sicherheitsrisiken Identifikation und Bewertung von Risiken Definition von angemessenen Sicherheitsmaßnahmen Angemessenes und einheitliches Sicherheitsniveau Vermeidung unnötiger Ausgaben Investitionen werden sinnvoll eingesetzt December 4, 2005 6

ScopeManagement die Probleme Die Inhalte sind zu Beginn nicht klar definiert Wie soll die Sicherheitsorganisation aussehen? Welche Prozesse werden benötigt? Wie werden diese dokumentiert? Welches Sicherheitsniveau wird angestrebt? Wie wird dieses definiert? Security Governance ist ein moving target Vieles wird erst im Laufe des Projektes entschieden! December 4, 2005 8

ScopeManagement die Lösung Partnerschaftliche Zusammenarbeit Vertrauen in den Dienstleister Referenzen Erfahrung Flexibilität auf beiden Seiten Vertragsgestaltung Time & Material oder Change Prozess vereinbaren Gemeinsames Verständnis der Ziele Klare Vision Zertifizierung Gemeinsame Sprache Standards Gliederung in eigenständige Projektphasen December 4, 2005 9

ScopeManagement Projektphasen Phase 5 Betrieb Monitoring/ Audits / Zerifizierung Phase 4 Entwicklung Technische Sicherheitskonzepte Phase 3 Entwicklung Sicherheits Standards (produktunabhängig) Phase 2 Umsetzung Organisation / Rollen Sicherheits Check Phase 1 Strategie Richtlinien Rollen Prozesse J1 Q1 J1 Q2 J1 Q3 J1 Q4 J2 Q1 J2 Q2 J2 Q3 J2 Q4 J3 Q1 J3 Q2 J3 Q4 J4 Q1 J4 Q2 J4 Q3 J4 Q4 December 4, 2005 10

Schedule und CostManagement das Problem Der Inhalt ändert sich damit auch die Kosten und die Termine Security Governance ist meistens nicht das Prio 1 Thema Ressourcen sind nicht verfügbar Termine sind nicht fest Kosten sind immer zu hoch Der Kunde will aber Ergebnisse in endlicher Zeit! im Rahmen eines beschränkten Budgets! December 4, 2005 12

Schedule und CostManagement die Lösung Detaillierter Projektstrukturplan mit Überschaubaren Teilprojekten und klaren Arbeitspaketen Zuordnung von Verantwortlichkeiten, Terminen und Kosten Permanente Fortschrittskontrolle EarnedValue Ampeldiagramm Meilensteine und Statusmeetings Fortschreibung der Projektplanes Bei Änderungen Bei Verzögerungen Planen und Nutzen von Reserven für Zeit und Kosten December 4, 2005 13

Schedule und CostManagement Beispiel EarnedValue Performance Kosten PV EV AC Zeit December 4, 2005 14

Schedule und CostManagement Beispiel Ampeldiagram Zeitplan Kosten Teilprojekt SPI Trend CPI Trend TP 1 Übergreifende Themen 88% 105% TP 2 Physikalische Sicherheit 98% 89% TP 3 AnwendungsSicherheit 96% 102% TP 4 Zentrale Systeme 77% 101% TP 5 Netzwerk 99% 103% TP 6 Dezentrale Systeme 89% 93% TP 7 Managementsysteme 112% 110% TP 8 Schulungen 88% 108% TP 9 MuK 94% 88% TP 10 Sicherheitsstrategie 87% 108% Summe 92% 105% December 4, 2005 15

CommunicationManagement das Problem Jeder im Unternehmen ist von diesem Projekt betroffen Top Management als Sponsor Projektteam Neue Rolle in der Sicherheitsorganisation Entwicklung und Umsetzung von Sicherheitskonzepten Mitarbeiter Auswirkung im Arbeitsumfeld Restriktionen Mehr Verantwortung Einhaltung von Richtlinien Führungskräfte müssen Ressourcen bereitstellen werden in Ihrer Entscheidungsfreiheit beschränkt Politik und Motivation Muss ich das machen? Was habe ich davon? Eigentlich wäre ich ohne dieses Projekt besser dran December 4, 2005 17

CommunicationManagement die Lösung Stake Holder Analyse Unterstützer vs. Gegner Wichtig vs. Unwichtig Marketing und Kommunikation Zielgruppenanalyse Wer braucht welche Information? Wann und in welcher Form? Kommunikationsplan Newsletter Infomarkt Infoblätter Intranet FAQ December 4, 2005 18

CommunicationManagement die Zielgruppenanalyse Themen Projektumfang / Auswirkungen Projektziele Projektplanung / Rolloutkonzept Projekt /Zertifikatsfortschritt (Erfolge, Kennzahlen) Schnittstellen zu anderen Projekten Rechtliche Auslöser und Konsequenzen Sensibilisierung der Mitarbeiter (Risiken und Schwachstellen) IS Politik IS Strategie und Richtlinien IS Organisation (Rollen, Prozesse, Kennzahlen) QMS Integration / Reporting (VAs und AAs) Bedeutung IS für den Einzelnen Mitbestimmungspflichten Zielgruppen Feedback der Zielgruppen Geschäftsführung X X X X X X X Abteilungsleiter X X X X X X X X Stabsreferate / zentrale Aufgaben (X) (X) (X) (X) Multiplikatoren X X X X X X (X) Fachreferatsleiter X X X X X X X Mitarbeiter X X X X X X Pilotmitarbeiter X X X X X X X Betriebsrat X Geschäfts partner und externe Dienstleister (X) Kundenschnittstelle und Kunden X X X X December 4, 2005 19

P u r o n j e CommunicationManagement der Kommunikationsplan Aufbau und Pflege Intranet (eine Informationsplattform) BR Erstinfo Newsletter Newsletter Newsletter Newsletter Newsletter Artikel Dez Artike Artikel Artike Grundpräsentation Broschüre Flyer Infoblatt int. Mitarbeiter Infoblatt ext. Mitarbeiter Key Visual Feb AL Vorinfo Poster Infomarkt I für Mitarbeiter Poster Infomarkt II für Mitarbeiter GF Vorinfo LA Sitzung Information Stabsstellen Multiplikatoren Workshop Dez Inhaltl. Abstimmung mit Stabsstellen (QM, BR) Kundeninformation Vor Abstimmungen Sensibilisierung von Multiplikatoren und Mitarbeitern Abstimmung mit den Stabsstellen, Information der Mitarbeiter und Kunden Beratung der Mitarbeiter Laufende Information des Projektsponsors und des Lenkungsausschusses 03 04 Monat 1 Monat 2 Monat 3 Monat 4 Monat 5+6 Monat 7 Monat 8 Monat 9 Projektlaufzeit Monat 10+11 Monat 12 December 4, 2005 20

Zusammenfassung Security Governance Projekte sind anders: Scopeist unklar und konkretisiert sich erst im Laufe der Zeit Termine verschieben sich, Budgets werden reduziert Stoßen auf großen Widerstand und sind hoch politisch Und benötigen das Handwerkszeug des PMP: Striktes ScopeManagement: Detaillierter PSP, Change Prozess vereinbaren Permanentes Performance Management: EarnedValue Analyse Reporting, Ampeldiagramm Intensives CommunicationManagement Projekt Marketing: Zielgruppenanalyse Management of Change December 4, 2005 22

December 4, 2005 23