Wieviel ...

... Marketingaufwendungen werden durch schlechte "Presse“ vernichtet?
... "Personalüberhang“ hat Ihre Benutzerverwaltung nach normalen Kündigungsterminen?
... Ressourcen werden damit belegt, automatisierbare Prozesse hinsichtlich Compliance-Konformität zu überwachen?

Liebe Compliance-Verantwortliche und sonstige Interessierte,
das Thema Governance, Risk & Compliance (GRC) ist derzeit in aller Munde (und vielleicht auch Gegenstand der einen oder anderen schlaflosen Nacht) und betrifft aus unserer Sicht die Aspekte Strategie, Prozesse und IT. Das ist keine neue Erkenntnis, aber die Interdependenz dieser drei Bereiche wird immer mehr zum (unternehmens-)kritischen Erfolgsfaktor und zu einem Haftungsszenario!

Unter Strategie fallen dabei in diesem Zusammenhang alle Maßnahmen, die in der Umsetzung Schaden für das Ansehen, die Wirtschaftlichkeit und Wettbewerbsfähigkeit eines Unternehmens verhindern. Hierzu veröffentlichen wir einen interessanten Beitrag unseres juristischen Beraters, der Kanzlei Winterstein l Rechtsanwälte, Frankfurt am Main.

Die Einhaltung von Vorschriften ist u. a. eine Sache von Verantwortlichkeiten, Prozessen und der Organisation eines Unternehmens, die sauber in den Organisationsmodellen und Anwendungssystemen verankert werden müssen. Das aktive Risikomanagement setzt bei Prävention im Sinne der Risikominimierung an und wirkt als Kontroll- und Steuerungssystem im Unternehmen.

Damit stellen wir den Zusammenhang zwischen Prozessen und IT her. IT muss weitgehend sicherstellen, dass Anwendungsprozesse über Benutzerrechte und Rollen so eingeschränkt sind, dass hier eine Prävention hinsichtlich der Verletzung von Richtlinien wirkt (z. B. durchgehende Implementierung des Vier-Augen-Prinzips), aber gleichzeitig so flexibel implementiert sind, dass der Betrieb nicht behindert wird. Benutzerverwaltungen sind integraler Bestandteil der IT-Landschaft und müssen die entsprechende Integrität und Aktualität systemübergreifend abbilden. Datenhaltungssysteme müssen so abgeschottet werden, dass ein Datenmissbrauch ausgeschlossen ist und Informationen müssen regelkonform archiviert und aufbewahrt werden. Die IT muss den langfristigen Erhalt des Betriebes sicherstellen, da die Wirtschaftlichkeit und Wettbewerbsfähigkeit eines Unternehmens und aller an der Wertschöpfung beteiligten Partner wesentlich davon abhängen.

Der Compliance-Verantwortliche muss sich darauf verlassen können, dass die eingerichteten Bollwerke auch halten. Dazu gehören eine eindeutige und umfassende Strategie (Governance), die stringente Umsetzung in den Prozessen und den Organisationsstrukturen sowie eine verlässliche IT-Lösung.

Und für die verlässliche IT-Lösung sind wir ja da!

Wir wünschen Ihnen viel Spass beim Lesen, einen schönen restlichen Juli und …
immer die richtigen Menschen in Ihren Projekten!

Herzliche Grüße

LDAP - Standard für die Benutzerverwaltung in heterogenen Systemwelten

Strukturen in der IT-Landschaft entstehen selten am Reißbrett und daher müssen verschiedene Systeme miteinander gekoppelt werden. Dabei wird idealerweise auf den gleichen Datenbestand zugegriffen, um Konsistenz und Integrität zu gewährleisten.

Einer dieser wichtigen, zentralen Bereiche ist die Verwaltung der Benutzerdaten und Zugriffsberechtigungen. Die Mitarbeiter haben in der Regel Zugangsdaten für E-Mail, gemeinsame Laufwerke, Versionsverwaltung und intranet-basierte (Selfservice) Dienste. Darüber hinaus gehen die zugangsgeschützten Funktionen über die Unternehmensgrenze hinaus (Extranet) und beziehen Partner und Kunden in vielfältiger Weise mit ein. Damit sich die Zugangsberechtigten nicht jedesmal erneut authentifizieren müssen, bedient man sich sog. Single-Sign-On-(SSO) Lösungen, die z. B. auf Portalebene realisiert ist. Basis für solche Single-Sign-On Funktionen sind Benutzerverwaltungs- und Berechtigungssysteme (Verzeichnisdienste). Hier werden Personendaten, Zugangsinformationen (wie Passwörter, Kennungen, etc.) und Rollen verwaltet und die Beziehung Rolle zu Verfahrensberechtigung hergestellt. Eine wichtige Funktion der sogenannten Verzeichnisdienste ist, die Sicherheit von Verfahren und Daten sicherzustellen. Es muss daher gewährleistet sein, dass die Zugangs- und Berechtigungsdaten jederzeit aktuell und richtig sind, um z. B. den Zugriff eines entlassenen Mitarbeiters auf Daten und Verfahren zeitgerecht zu unterbinden oder bei einer internen Versetzung die Verfahrenszugriffe neu zu strukturieren.

Für die Benutzer- und Berechtigungsverwaltung stehen eine Vielzahl von Systemen zur Verfügung, die mehr oder weniger proprietär, verbreitet oder standardisiert sind. Um eine ständige Migration der Daten zu vermeiden, bietet sich aus meiner Sicht an, eine Lösung zu implementieren, die weitestgehend zukunftssicher ist. Bevor man die Kristallkugel befragt, wie denn der Trend in der Zukunft heißt, bedient man sich besser Systemen, die verbreitet und robust sind.

Für Verzeichnisdienste existiert z. B. mit LDAP (Lightweight Directory Access Protocol) ein Industrie-de-facto-Standard für Authentifizierung, Autorisierung und Benutzer- und Adressverzeichnisse, das von verschiedenen Systemen auf unterschiedlichen Plattformen verwendet und von den gängigsten Anwendungssystemen unterstützt wird . Diese Anwendungen nutzen die Vorteile von LDAP des optimierten Lesezugriffs und der Möglichkeit Daten nach eigenen Bedürfnissen zu strukturieren. Wegen der Offenheit der Plattform und der Flexibilität im Datenmodell können additiv vielfältige Anwendungen entwickelt werden, die die Daten aus dem LDAP-Verzeichnis nutzen (z. B. Adressverzeichnisse, Tefelonlisten, etc.).

LDAP beschreibt, wie es der Name sagt, nur den Zugriff auf die Daten. Die Implementierung der Zugriffsmethode auf Server- und Clientseite ist für verschiedene Systeme verfügbar. Als LDAP-Server kann zwischen freien (Open-Source) und kommerziellen Produkten gewählt werden. Auf der Client-Seite sei hier beispielsweise der Webserver Apache und die Datenbank Oracle genannt, die eine Anbindung an einen LDAP-Server mitbringen.

Aus meiner Sicht stellt LDAP eine valide und zukunftsichere Methode für den Aufbau von Verzeichnisdiensten in heterogenen Welten dar. Trotz aller Vorteile soll nicht verschwiegen werden, dass eine Anbindung unterschiedlicher Applikationen auch einen erhöhten Konfigurationsaufwand verursachen kann. Dementsprechend sind bei komplexen und verteilten Diensten die Funktionen zur Replikation und Synchronsisation zu beachten. Dem erhöhten Administrationsaufwand steht jedoch die Einhaltung der Datenkonsistenz in den verschiedenen Systemen. und die Sicherstellung der Anwendungs- und Verfahrenssicherheit über ein zentrales System gegenüber.

top

Corporate Governance und Compliance - Schon lange auch ein Thema für den Mittelstand

I. Überblick:

Von was sprechen wir, wenn wir die Begriffe Compliance und Corporate Governance erwähnen.

Anfang des Jahres 2002 hat eine eingesetzte Regierungskommission den sogenannten deutschen Corporate Governance Kodex verabschiedet. Mit dem deutschen Corporate Governance Kodex sollen die in Deutschland geltenden Regeln für Unternehmensleitung und - Überwachung transparent gemacht werden, um so das Vertrauen in die Unternehmensführung zu stärken. Dieser Corporate Governance Kodex mit seiner Darstellung der wesentlichen Standards betreffend gute und verantwortungsvolle Unternehmensführung ist grundsätzlich auf börsennotierte Gesellschaften ausgerichtet. Mittlerweile strahlt dieser Kodex allerdings auch auf nicht börsennotierte Unternehmen aus, insbesondere auf Unternehmen des Mittelstandes.

Im Rahmen der ordnungsgemäßen Unternehmensführung (Corporate Governance) ist die sogenannte "Compliance" ein bedeutendes Element. In der betriebswirtschaftlichen Fachsprache wird der Begriff "Compliance“ verwendet, um die Einhaltung von Gesetzen und Richtlinien zu bezeichnen. In Kurzform: "Compliance“ bedeutet die Installierung und Durchführung von Überwachungsmechanismen innerhalb eines Unternehmens zur Vermeidung von Pflichtverletzungen und der daraus resultierenden Folgen (Schadensersatz + Strafbarkeit).

Grundvoraussetzung für eine funktionierende "Compliance“ ist die Schaffung einer "Compliance-Organisation“.

Diesbezüglich sind vier Grundpfeiler einer effektiven "Compliance-Organisation“ zu nennen:

1. Identifikation und Analyse des rechtlichen Risikos

• Kenntnis der rechtlichen Rahmenbedingungen
• Steuerrecht
• Datenschutzrecht
• Arbeitsrecht
• Gesellschaftsrecht
• Kartellrecht
• Korruptionsrecht
• Umweltrecht

Im Spannungsfeld von Berechtigungen, Nutzern und Organisation

Interner Partner
Angelika Past, its-people Hochtaunus GmbH

Angelika Past unterstützt seit Juni diesen Jahres, als erfahrene Business Intelligence / Data Warehouse Expertin, unser Team der its-people Hochtaunus. Nach erfolgreichem Studienabschluss als Diplom-Informatikerin arbeitete sie zunächst freiberuflich im IT-Trainingsbereich bevor sie dann in den MAN Konzern wechselte. Im Laufe ihrer 14-jährigen Tätigkeit für die MAN Nutzfahrzeuge AG und die Konzernzentrale der MAN Gruppe in München bekleidete Angelika Past vielfältige, leitende Positionen im IT-Management. Sie baute so ihren Wissenstand in allen Bereichen der Informatik, insbesondere dem Datawarehousing / Business Intelligence und der Leitung von großen Konzern-IT-Projekten, sowie in der Personalführung kontinuierlich aus. Seit Anfang 2007 ist Angelika Past freiberufliche Unternehmerin mit den Schwerpunkten Business Intelligence / Data Warehouse sowie IT-Interimsmanagement. Weitere Informationen erhalten Sie gerne unter angelika.past@its-people.de

top