Governance, Risk, Compliance

FAQ Governance, Risk, Compliance (GRC)

• Es hat so viele Themen im GRC-Umfeld, mit welchen sollten wir starten?

  Um die Governance zu verbessern und eine Compliance zu erreichen, ist ein risikobasierter Ansatz meist zielführend. Denn damit wird das vorhandene Budget dort investiert, wo die höchsten Risiken identifiziert wurden. So kann das Sicherheitsrisiko effektiv reduziert werden. Dabei geht es nicht darum, die Risiken gänzlich zu eliminieren, sondern auf ein vertretbares Mass zu reduzieren.

• Wie unterstützt BNC bei einer schnellen Wiederherstellung nach einer Ransomware-Attacke?

  Um die Resilienz Ihrer Organisation zu stärken, bietet BNC eine Kombination von Massnahmen an, welche das Business Continuity Management direkt und indirekt unterstützen.

  Für eine rasche Wiederherstellung des operativen Betriebs nach einem grossen Security Incident wird zuerst einmal ein funktionierender Notfall- und Wiederherstellungsplan benötigt, den wir auf Grund praktischer Erfahrungen mit Ihnen erstellen.

  Zudem sollte dieser Plan regelmässig anhand praktischer Übungen überprüft werden, wozu wir Ihnen von realen Recovery-Tests bis zum individualisierten Table-top Exercice ein breites Angebot unterbreiten können.

  Nicht zuletzt können wir mit Security Awareness Massnahmen alle Mitarbeitenden auf den Ernstfall vorbereiten und somit die Kommunikation im Unternehmen vereinfachen und die Zeit zum Wiederanlaufen des Geschäftsbetriebs nach einem Vorfall deutlich reduzieren.

  Wenn diese Massnahmen nicht ausreichen, bieten wir über das Consulting hinaus einen Incident Retainer Service an, so dass Ihnen im Ernstfall erfahrene Koordinatoren und Analysten in kurzer Zeit zur Hand gehen und Sie durch den Notfallprozess führen.

• Bei welchen Standards und Regulatorien kann BNC uns bei der Erreichung und dem Halten der Compliance unterstützen?

  Das BNC Cyber Security Consulting Team bildet sich regelmässig fort und erweitert das Portfolio gemäss der Kundenbedürfnisse. Aktuell können wir Erfahrung und Zertifizierungen für folgende Standards und Vorschriften einbringen:

  • ISO/IEC 27001
  • ISO/IEC 27005
  • TISAX
  • Neues Schweizer Datenschutzgesetz und die Europäische GDPR / DSGVO
  • Das Schweizer Informationssicherheitsgesetz und die Europäische NIS-2
  • IKT-Grundschutz für die Bundesverwaltung

• Was ist der Unterschied von ISO 9001 und ISO 27001?

  Die ISO 9001 kümmert sich um das Qualitätsmanagement System (QMS) und erfordert passende Prozesse und Kontrollen, um eine gleichbleibende Qualität der Leistungen und Produkte sicherstellen zu können.

  ISO 27001 beschreibt den Aufbau und Betrieb eines Informationssicherheits­managementsystems (ISMS), welches die Vertraulichkeit, Integrität und Verfügbarkeit ihrer Daten und Systeme verbessern hilft.

  Diese beiden Standards können unabhängig voneinander implementiert werden, ergänzen sich aber prächtig und können in einem kombinierten Management System abgebildet werden.

• Warum erhalten wir in letzter Zeit von unseren Business-Kunden sehr regelmässig einen Fragebogen zu unseren Sicherheitsmassnahmen?

  Das sind wohl Massnahmen, die Ihre Kunden getroffen haben, um die Sicherheit ihrer Lieferkette zu beurteilen. Die NIS-2 Regulatorien und das Datenschutzgesetz erfordern hier spezielle, wiederkehrende Massnahmen, um das Risiko in der gesamten Lieferkette zu kontrollieren und zu reduzieren. Wegen dieser gesetzlichen Vorgaben müssen sehr viele Branchen und alle Organisationen der kritischen Infrastruktur ein Managementsystem zur Drittanbieterverwaltung pflegen.

  BNC kann Ihnen helfen, diese Drittanbieterverwaltung in ihr ISMS zu integrieren und zu unterhalten.