ISO/IEC 27001 Lead Auditor

• Branche: Maschinenbau, Fahrzeugbau
• Regulierungen: Data Act
• Projektschwerpunkt: Datengovernance, rechtskonforme Maschinendatennutzung, Datenplattformen
• Beauftragt durch: CFO, Plattform Product Owner

Erfolge/Ergebnisse (Frühphase):

• Compliance-Begleitung des Aufbaus einer int. vereinheitlichten Datennutzungsplattform auf Basis Databricks.
• Schaffung der Voraussetzung für die rechtskonforme und effektive Maschinendatennutzung, u.a.:
• Technisch: Gap-Analyse und Schließen von Lücken in der Segmentierung und Pflege der erhobenen Maschinendaten.
• Technisch: Berücksichtigung von Datenausleitungen aus der Plattform an Nutzer und Dritte.
• Organisatorisch: Entwurf und Abschluss der erforderlichen Datennutzungsverträge.

Ich implementierte eine Zero-Trust-Architektur fuer robuste, militaertaugliche maritime Container-Mini-Rechenraeume auf Basis von VMware & Tanzu zur Unterstuetzung containerisierter GIS-Workloads fuer Bodentruppen. Der besondere Fokus lag auf der Absicherung der Kommunikation, dem Workload-Schutz und dem Datenzugriff in umkaempften elektronischen Gefechtsumgebungen, die durch Jamming, Abfangen, Signalmanipulation und staendig wechselnde Einsatzbedingungen beeinflusst werden. Ich habe Use Cases so entworfen und architektonisch umgesetzt, dass jedes Element von Workload, Identitaet und System auch in degradierten oder gestoerten Szenarien weiterhin unabhaengig und sicher funktionieren konnte. Parallel dazu definierte ich die Enterprise- und Solution-Security-Architektur mit LeanIX, Bizzdesign und HOPEX als Enterprise-Architecture-, Repository- und Governance-Plattformen, um Architekturinventar, Beziehungen, Nachverfolgbarkeit, Zielbilder und Security Governance in komplexen Umgebungen zu pflegen. Fuer die architektonischen Designs nutzte ich Sparx Enterprise Architect, um formale Architekturperspektiven, Schnittstellen, Vertrauensgrenzen und Systemarchitektur sowohl in IT- als auch OT-Umgebungen zu beschreiben. Das Tool IriusRisk wurde fuer das Threat Modeling der Loesung eingesetzt, um architekturgetriebene Risiken zu identifizieren, Sicherheitsanforderungen abzuleiten und Gegenmassnahmen sowie Designluecken direkt aus den Loesungsmodellen zu erkennen. Das Risiko- und Compliance-Management wurde mit Archer unterstuetzt. Architekturentscheidungen, Kontrollluecken und operative Risiken wurden in gesteuerte Governance- und auditierbare Compliance-Massnahmen ueberfuehrt. Fuer Dokumentation, Zusammenarbeit und visuelles Design nutzte ich Confluence zur Pflege von Architecture Decision Records, Security Blueprints und Workflows. Lucidchart und draw.io verwendete ich zur Erstellung stakeholdergerechter Design-Artefakte. Ich habe ausserdem OT-Sicherheitskonzepte mit Unterstuetzung von Elektro- und Maschinenbauingenieuren in den Bereichen Oel, Fahrzeug-Bordsysteme, Bahn, Kraftwerke, Pharma, Gasturbinen und Nukleartechnik definiert. Ich erstellte die End-to-End-OT-Sicherheitsstrategie, beginnend bei der globalen Policy, weiterentwickelt zu Standards und Verfahren und schliesslich korreliert mit Bell-LaPadula, Purdue Model, SABSA, TOGAF ADM, CENELEC 50701, IEC 62443 und NIST-Standards. Zudem arbeitete ich mit Engineering-Teamleads zusammen, um kritische KBP-Assets zu identifizieren und sie unter Schutzmassnahmen zu stellen, mit denen SCADA-, PLC- und HMI-Assets segmentiert wurden. Ich trieb die Zusammenarbeit zwischen Security-, IT- und OT-Teams voran, um standardisierte Workflows und Use Cases fuer den OT-Security-Loesungskatalog zu erstellen, waehrend Defense-in-Depth- und Zero-Trust-Prinzipien in operative Umgebungen integriert wurden. Entscheidend war die Integration multidisziplinaerer Engineering-, Security- und Operations-Akteure in eine einheitliche Security-Blueprinting-Strategie und die Sicherstellung, dass Architektur, Threat Modeling, Governance und Dokumentation technisch robust und operativ praktikabel waren.

• Entwicklung und Implementierung von Multi-Domain-Infrastrukturstrategien zur Optimierung der Systemleistung in OT und IT.
• Entwicklung von Sicherheitskonzepten für Multi-Domain-Infrastrukturen inklusive IT-Sicherheitsmanagement.
• Überwachung des Incident-Managements, des Problem-Managements und des Change-Managements.
• Den gesamten Lebenszyklus eines strategischen Projekts managen, einschließlich Planung, Durchführung, Lieferung und Stabilisierung.
• Unterstützung von IT-Governance, IT-Architektur und Risikomanagement.
• Durchführung von Workshops zu IT-Sicherheit und Infrastruktur.

• Kunden: KMU und öffentliche Organisationen

• Koordination des Projekts zur Einführung des B3S und ISO 27001 unter Berücksichtigung des anstehenden KRITIS-Nachweisverfahrens
• Beratungsdienstleistung in den Bereichen ISO 27001, B3S, KRITIS und IT-Grundschutz
• Zusammenarbeit mit dem Informationssicherheitsbeauftragten (ISB)
• Erfassung der Unternehmens-Assets für das IT-Risikomanagement
• Erstellung eines Zonenkonzepts für das IT-Risikomanagement
• Erstellung einer Maßnahmenplanung für B3S
• Erstellung eines Templates für Risikoanalysen

• Anerkennung von nationalen, notifizierenden Stellen
• Erstellung von Cybersecurity-Kompetenzgutachten
• EU-Funkanlagen-Richtlinie (Radio Equipment Directive)

• Führung von 34 Fachexperten im Application Management und Softwareentwicklung
• Entwicklung und Betrieb des Flottenmanagements von 45.000 Fahrzeugen für die Bundeswehr mit SAP R/3- und SAP S/4-Hana-Modulen
• Bereitstellung und Weiterentwicklung von Software für das Miet- und Leasinggeschäft sowie zur Abbildung sämtlicher Unternehmensprozesse des BwFPS inklusive mobiler Apps
• Unterstützung der Elektrifizierung des Bundeswehr-Fuhrparks
• Entwicklung und Betrieb von Cloud-basierten Individuallösungen
• Verantwortung für die Sicherheitsarchitektur der gesamten IT-Landschaft unter Einhaltung der IT-Sicherheitsanforderungen der Bundeswehr, des BSI-IT-Grundschutzes und kritischer Infrastrukturen
• Absicherung der terrestrischen Kommunikationsnetze, Mobilfunknetze, IT-Middleware und Applikationen gegen Cyberangriffe
• Migration des Flottenmanagements nach SAP S/4 Hana mit Effizienzgewinnen
• Entwicklung eines Komplexitätsindex für die IT-Landschaft und dessen Reduktion durch Außerbetriebnahme, Modernisierung und Schnittstellenabbau
• Einsatz von KI-Modellen zur Unterstützung von Vergabeprozessen, Wissensmanagement und Prozessvereinfachung

• Innovations-/Pilotprojekt eGesundheit Deutschland
• SaaS-Unternehmen aus dem Bereich Medien, NRW
• Sicherer Software Entwicklungszyklus, NRW
• BSI IT-Grundschutz Gutachten mehrerer Klinik

• Onsite-Koordinator für das IT-Infrastrukturprojekt im GfK-Rechenzentrum (Equinix DC FR2/FR7); Schulung von FEs in Equinix DC Carla, FNT, Jira Confluence, ServiceNow (Change/Problem/Incident MGMT), DCIM, ITSM, ITIL
• Meldung schwerwiegender Vorfälle als technischer Koordinator vor Ort und erster Ansprechpartner für die Begleitung von Dienstleistern und Smart Hands
• Einsatz von CMDB-GUI, NIQ-Browser, CMDB-Filtering-GUI, OSS-Radar, BigBrother, CheckMK und TTWOS für die Fehlerbehebung und den Support der 2. und 3. Ebene
• Wartung von MDF, IDF, Computerräumen und Technikräumen; Abstimmung mit Service Desk, Empfang und Sicherheitsteam für den Zugang von Besuchern
• Verwaltung des Asset-Lebenszyklus, einschließlich Betrieb, Ausmusterung, Lagerhaltung und Vernichtung gemäß den SanDisk-Verfahren
• Leitung der Optimierung und Reduzierung der Rechenzentrumsfläche in FR2/FR7; Verwaltung von Netzwerk, Servern, Speicher, Desktop-PCs, Hosting, IT-Sicherheit, Videokonferenzen und Telefonie
• Koordination von Serverumzügen, Vorbereitungen für Glasfaser- und Kupferkabel, CMDB-Aktualisierungen und Zusammenarbeit mit Stakeholdern
• Umsetzung von IT-Infrastrukturdesign, Wartung, Konfiguration und Aufbau unter Einhaltung der ESD-Sicherheitsvorkehrungen von Dell/HP/Apple
• Einziger POC für Change Management, Netzwerk, Star Track, Backup und Speicher, Cloud, Linux, Windows, EUS-Teams und Software-Centre-Installationen
• Erfolgreicher Abschluss des DC Footprint Reduction Project 2021/2022 und der GfK New Hardware DC Refresh Initiative
• Planung, Konfiguration und Installation von Dematic-Serverräumen und Switch-Konfigurationen in Heusenstamm, Wurzburg, Kahl am Main und Graz Austria
• Einrichtung von Medientechnik vor Ort für HP, Krankenhäuser, Hersteller und Labore
• Sicherstellung eines professionellen Rack- und Kabelmanagements gemäß Best Practices
• Pflege aktueller Gebäudepläne, die allen Teams zugänglich sind und Technikflächen sowie freie Standorte zeigen
• Technische Unterstützung bei Live-Veranstaltungen, Town Halls, Foren, Streaming und hybriden Veranstaltungen auf und außerhalb des Campus
• Support der 2. Ebene für Poly-Videokonferenzsysteme über mehrere Zeitzonen hinweg
• Regelmäßige Rundgänge durch Computerräume; Erfassung von Stromversorgung, Kühlung, Alarmen und Sicherheitsrisiken sowie Kartierung der WLAN-Umgebung und Zugangspunkte

• Die Ablösung des bisherigen Archivsystems (Dokumentenmanagementsystem – DMS) auf Host-Basis ist weit fortgeschritten.

• Das interne Audit soll dazu beitragen, die Qualitätsansprüche des Hauses sicherzustellen.

• DSGVO

• ISO 27001 ff.

• BSI

• DORA

• Regulatorik für Patientendaten

• Host / Cloud / S3 / Container / hoch skalierbar / Nuxeo

• Budget: 50.000

• Team: 1

• Unterstützung von Unternehmen bei der Erfüllung der Anforderungen und der Implementierung folgender Managementsysteme: ISO 9001, ISO 22301, ISO 27001, ISO 27017, ISO 27018, TISAX
• Durchführung von internen und externen Audits nach folgenden Normen: ISO 9001, ISO 27001, ISO 27017, ISO 27018, TISAX

• Operative Geschäftsführung des Unternehmens: Aufbau von Teams und Infrastruktur, Entwicklung von Produkten, Analysen und Umsetzung von IT-Sicherheitsmaßnahmen

• Projekteinsätze im Umfeld der IT-Sicherheit mit Fokus auf der Etablierung von Blue Teaming-Aktivitäten (Defensive Prozesse und Technologien) zur Abwehr von Cyberangriffen

• Durchführung von Red Teaming-Prozessen, darunter Penetrationstests und Sicherheitsanalysen für Unternehmen

• Beratung beim Aufbau von Security Operation Centern und Einführung von SIEM-Systemen sowie Aufbau von Computer Incident Response Teams (CSIRT)

• Auditor für ISO 9001 und ISO 27001, §8a, ISO 27019, §11 1a EnWG, TISAX

• Beratung von Unternehmen der kritischen Infrastrukturen bezüglich Informationssicherheit und Erfüllung des IT-Sicherheitsgesetzes

• Aufbau von SIEM/SOC-Prozessen sowie SOC-Analysten-Arbeit (Splunk, ELK-Stack)

• Integration von Daten in Monitoring-Tools (Prometheus, Grafana)

• Beratung in Fragen von BSI IT-Grundschutz, ISO 9001, ISO 27001, BCM, ITIL und Risikomanagement

• Sicherheitsbewertungen und Penetrationstests von IT- und Netzwerkarchitekturen