ISO 27001 Lead Auditor, IT-Security, IT-Audit

Als selbstständiger IT-Auditor und ISO 27001 Lead Auditor untersützte ich meine Mandanten nun schon über viele Jahre

• als ISO 27001 Lead Auditor,
• mit Zertifizierungen gemäß Swift CSP,
• bei der Erstellung von Sicherheits- und Berechtigungskonzepten,
• mit Unterstützung für die IT-Prüfung in der Jahresabschlußprüfung.

Hierbei habe ich regelmäßig

• Betriebs- und Migrationskonzepte beurteilt und
• im Hinblick auf die Sicherheit und Nachvollziehbarkeit

unterstützt.

Über lange Jahre war ich für unterschiedliche Wirtschaftsprüfungsgesellschaften als IT-Auditor tätig. Im Jahr 2018 habe ich diese Tätigkeit dann auf selbstständige Füße gestellt. Seit dem unterstütze und berate ich als IT-Sicherheitsberater bzw. IT-Auditor weiterhin Wirtschaftsprüfungs­ge­sell­schaften aber auch direkt eigene Mandanten.

Die Anforderungen an die IT-Sicherheit und Ordnungsmäßigkeit in unterschiedlichen Branchen (Bankden, Handel, Industrie) habe ich regelmäßig bei Projekten berücksichtigt und umgesetzt. Insbesondere die aktuellen regulatorischen BAIT-Anforderungen des BaFin (Bundesamt für Finanzdienstleistungsaufsicht), die darauf aufbauende DORA-Verordnung (Digital Operational Resilience Act) und Anforderungen von Geschäftspartnern der Banken (SWIFT CSP, CSP: Customer Securtiy Programme, PCI DSS: Payment Card Industry Data Security Standard) sowie die relevanten Anforderungen und Verlaufbarungen des Instituts der Wirtschaftsprüfer (IDW) waren Teil meines Projektvorgehens. Die im Laufe der Zeit umfangreich erworbenen Erfahrungen konnten in Projekten sehr erfolgreich umgesetzt werden. Darüber hinaus wurde dies auch in entsprechenden beruflichen Qualifikationen bescheinigt (siehe Lebenslauf).

Die Tätigkeit in unterschiedlichen Rechenzentren, insbesondere im Umfeld komplexer heterogener System­um­gebungen, waren stetiger Begleiter meiner Prüfungs- und Beratungstätigkeit. Unterschiedliche Betriebs­modelle (z.B. On-Premise, Platform as a Service, PaaS, Software as a Service, SaaS etc.) und IT-Architekturen (Host mit z/OS, Client-Server mit UNIX/Linux und MS Active Directory bzw. Azure-/Entra ID-Cloud, Individuelle Datenverarbeitung, IDV) waren gerade im Umfeld von Bankrechenzentren und bei Banken, unabhängig von der konkreten Betitelung/Begrifflichkeit, Gegenstand der IT-Betrieb­sorga­nisa­tion. In diesem IT-Organisationsumgebung habe ich Kontrollen auf allen Ebenen der Daten­verarbeitung (Netzwerk, Betriebssystem, Middleware / Daten­banken und Applikationen, Kernbanken­systeme, Filial­anbindungen mit ATM, Kassensystemen etc.) analysiert, um eine Beurteilung der Sicherheit und Nachvollziehbarkeit von IT-gestützten Geschäfts­prozessen zu ermöglichen.