ISO/IEC 27001 Lead Auditor

• Übergeordnete Leitung mehrerer strategischer Betriebsprojekte mit Schwerpunkten in Workplace Services, SLA Framework, Berechtigungsmanagement, Zertifikatsmanagement, E-Learning, Backup & Recovery, Test Management und Capacity Management sowie der Einführung von System Monitoring und Machbarkeitsstudien bezüglich eines 24x7 Betriebs, teils inklusive der Implementierung in ServiceNow
• Erstellung verschiedener ServiceNow Betriebskonzepte in Bezug auf Schulungen, Berechtigungen und Notfallmanagement im Rahmen einer neuen Cloud-Hosting Initiative für die ServiceNow Plattform
• Vorstandsberichte und Leitung der Lenkungsausschüsse im Rahmen unternehmensstrategischer Zielsetzung sowie Etablierung neuer Balanced Scorecards für die KPI-Bemessung der optimierungsgetriebenen Projektergebnisse

• Branche: Maschinenbau, Fahrzeugbau
• Regulierungen: Data Act
• Projektschwerpunkt: Datengovernance, rechtskonforme Maschinendatennutzung, Datenplattformen
• Beauftragt durch: CFO, Plattform Product Owner

Erfolge/Ergebnisse (Frühphase):

• Compliance-Begleitung des Aufbaus einer int. vereinheitlichten Datennutzungsplattform auf Basis Databricks.
• Schaffung der Voraussetzung für die rechtskonforme und effektive Maschinendatennutzung, u.a.:
• Technisch: Gap-Analyse und Schließen von Lücken in der Segmentierung und Pflege der erhobenen Maschinendaten.
• Technisch: Berücksichtigung von Datenausleitungen aus der Plattform an Nutzer und Dritte.
• Organisatorisch: Entwurf und Abschluss der erforderlichen Datennutzungsverträge.

WESENTLICHE PROJEKTE

Seit 05/2023 | Bank | Senior Cyber-Sicherheitsberater (extern)

• Beratung und Anleitung der Systemverantwortlichen bei der Erstellung und Weiterentwicklung von IT-Sicherheitskonzepten
• Koordination und Nachverfolgung der Behebung von Findings aus Prüfungen und Audits
• Beratung bei der Umsetzung regulatorischer Anforderungen an die Informationssicherheit

10/2023 – 02/2024 | Fintech | Projektmanager (extern)

• Projektmanagement zur Schließung verschiedener Audit-Gaps im Bereich Informationssicherheit
• Konzeptioneller Aufbau und Implementierung eines Informationssicherheitsmanagementsystems auf Basis der ISO/IEC 27001
• Erstellung und Weiterentwicklung von ISMS-Dokumenten und -Prozessen

• Unterstützung bei dem Aufbau und der Weiterentwicklung des Informationssicherheitsmanagementsystems
• Zusammenarbeit mit externen Berater*innen im Zertifizierungsteam für die Unterstützungsstruktur
• Mitwirkung an Projektplanung, Identifizierung und Umsetzung der notwendigen Maßnahmen nach BSI IT-Grundschutz
• Fachliche Unterstützung der Fachexpert*innen im Haus bei der Erstellung der für die Zertifizierungen notwendigen Dokumente
• Durchführung der Arbeiten nach BSI 200-2

Senior Security Consultant im Projekt PHOENIX

• Erstellung von Sicherheitsdokumentationen nach BSI IT-Grundschutz
• Durchführung von BSI IT-Grundschutz-Checks in mehreren Sprachen
• Erstellung und Pflege von Meilensteinplänen, Arbeitspaketen, Projektplänen und Projektdokumentationen
• Strukturanalysen, Schutzbedarfsfeststellungen, Modellierung, Grundschutz-Checks, Risikoanalysen, Tool HiScout
• Beratung in Fragen der Informationssicherheit und des Datenschutzes
• Prüfung von Betriebskonzepten

• Innovations-/Pilotprojekt eGesundheit Deutschland
• SaaS-Unternehmen aus dem Bereich Medien, NRW
• Sicherer Software Entwicklungszyklus, NRW
• BSI IT-Grundschutz Gutachten mehrerer Klinik

Ich implementierte eine Zero-Trust-Architektur fuer robuste, militaertaugliche maritime Container-Mini-Rechenraeume auf Basis von VMware & Tanzu zur Unterstuetzung containerisierter GIS-Workloads fuer Bodentruppen. Der besondere Fokus lag auf der Absicherung der Kommunikation, dem Workload-Schutz und dem Datenzugriff in umkaempften elektronischen Gefechtsumgebungen, die durch Jamming, Abfangen, Signalmanipulation und staendig wechselnde Einsatzbedingungen beeinflusst werden. Ich habe Use Cases so entworfen und architektonisch umgesetzt, dass jedes Element von Workload, Identitaet und System auch in degradierten oder gestoerten Szenarien weiterhin unabhaengig und sicher funktionieren konnte. Parallel dazu definierte ich die Enterprise- und Solution-Security-Architektur mit LeanIX, Bizzdesign und HOPEX als Enterprise-Architecture-, Repository- und Governance-Plattformen, um Architekturinventar, Beziehungen, Nachverfolgbarkeit, Zielbilder und Security Governance in komplexen Umgebungen zu pflegen. Fuer die architektonischen Designs nutzte ich Sparx Enterprise Architect, um formale Architekturperspektiven, Schnittstellen, Vertrauensgrenzen und Systemarchitektur sowohl in IT- als auch OT-Umgebungen zu beschreiben. Das Tool IriusRisk wurde fuer das Threat Modeling der Loesung eingesetzt, um architekturgetriebene Risiken zu identifizieren, Sicherheitsanforderungen abzuleiten und Gegenmassnahmen sowie Designluecken direkt aus den Loesungsmodellen zu erkennen. Das Risiko- und Compliance-Management wurde mit Archer unterstuetzt. Architekturentscheidungen, Kontrollluecken und operative Risiken wurden in gesteuerte Governance- und auditierbare Compliance-Massnahmen ueberfuehrt. Fuer Dokumentation, Zusammenarbeit und visuelles Design nutzte ich Confluence zur Pflege von Architecture Decision Records, Security Blueprints und Workflows. Lucidchart und draw.io verwendete ich zur Erstellung stakeholdergerechter Design-Artefakte. Ich habe ausserdem OT-Sicherheitskonzepte mit Unterstuetzung von Elektro- und Maschinenbauingenieuren in den Bereichen Oel, Fahrzeug-Bordsysteme, Bahn, Kraftwerke, Pharma, Gasturbinen und Nukleartechnik definiert. Ich erstellte die End-to-End-OT-Sicherheitsstrategie, beginnend bei der globalen Policy, weiterentwickelt zu Standards und Verfahren und schliesslich korreliert mit Bell-LaPadula, Purdue Model, SABSA, TOGAF ADM, CENELEC 50701, IEC 62443 und NIST-Standards. Zudem arbeitete ich mit Engineering-Teamleads zusammen, um kritische KBP-Assets zu identifizieren und sie unter Schutzmassnahmen zu stellen, mit denen SCADA-, PLC- und HMI-Assets segmentiert wurden. Ich trieb die Zusammenarbeit zwischen Security-, IT- und OT-Teams voran, um standardisierte Workflows und Use Cases fuer den OT-Security-Loesungskatalog zu erstellen, waehrend Defense-in-Depth- und Zero-Trust-Prinzipien in operative Umgebungen integriert wurden. Entscheidend war die Integration multidisziplinaerer Engineering-, Security- und Operations-Akteure in eine einheitliche Security-Blueprinting-Strategie und die Sicherstellung, dass Architektur, Threat Modeling, Governance und Dokumentation technisch robust und operativ praktikabel waren.

• Konzeption und globale Einführung von Sensitivity Labels (Vertraulichkeitskennzeichnungen) zur automatisierten Klassifizierung und Verschlüsselung geschäftskritischer Daten.
• Definition und Rollout von Data Loss Prevention (DLP)-Richtlinien zum Schutz von IP und personenbezogenen Daten über Endgeräte, Exchange, SharePoint, Teams und Non-Microsoft-Clouds hinweg.
• Einrichtung von Insider-Risk-Management-Richtlinien zur Erkennung und Eindämmung von exzessiven Datenabflüssen und riskantem Nutzerverhalten.
• Umsetzung von DSGVO- und Aufbewahrungsanforderungen durch automatisierte Retention Policies und strukturiertes Records Management.
• Technische Begleitung von Rechtsabteilungen bei internen und externen Untersuchungen mittels eDiscovery (Standard/Premium) und Content Search.
• Kontinuierliche Optimierung des Sicherheits- und Compliance-Niveaus durch Auswertung des Microsoft Compliance Managers und Schließen von Lücken (Regelwerke wie ISO 27001, NIS-2)

• Unterstützung bei der Implementierung der Anforderungen des § 8a des BSI-Gesetzes für Kritische Infrastrukturen.
• Systematische Vorbereitung und Begleitung von internen und externen Audits, Auflösung von vorherigen Abweichungen (HA, NA, VP)
• Umsetzung der spezifischen Anforderungen des IT-Sicherheitskatalogs
• Entwicklung von Trainings, Erstellung von Run Books und Durchführung von Assessments zur Sicherstellung der operativen Wirksamkeit.

• Führung von 34 Fachexperten im Application Management und Softwareentwicklung
• Entwicklung und Betrieb des Flottenmanagements von 45.000 Fahrzeugen für die Bundeswehr mit SAP R/3- und SAP S/4-Hana-Modulen
• Bereitstellung und Weiterentwicklung von Software für das Miet- und Leasinggeschäft sowie zur Abbildung sämtlicher Unternehmensprozesse des BwFPS inklusive mobiler Apps
• Unterstützung der Elektrifizierung des Bundeswehr-Fuhrparks
• Entwicklung und Betrieb von Cloud-basierten Individuallösungen
• Verantwortung für die Sicherheitsarchitektur der gesamten IT-Landschaft unter Einhaltung der IT-Sicherheitsanforderungen der Bundeswehr, des BSI-IT-Grundschutzes und kritischer Infrastrukturen
• Absicherung der terrestrischen Kommunikationsnetze, Mobilfunknetze, IT-Middleware und Applikationen gegen Cyberangriffe
• Migration des Flottenmanagements nach SAP S/4 Hana mit Effizienzgewinnen
• Entwicklung eines Komplexitätsindex für die IT-Landschaft und dessen Reduktion durch Außerbetriebnahme, Modernisierung und Schnittstellenabbau
• Einsatz von KI-Modellen zur Unterstützung von Vergabeprozessen, Wissensmanagement und Prozessvereinfachung

• Koordination des Projekts zur Einführung des B3S und ISO 27001 unter Berücksichtigung des anstehenden KRITIS-Nachweisverfahrens
• Beratungsdienstleistung in den Bereichen ISO 27001, B3S, KRITIS und IT-Grundschutz
• Zusammenarbeit mit dem Informationssicherheitsbeauftragten (ISB)
• Erfassung der Unternehmens-Assets für das IT-Risikomanagement
• Erstellung eines Zonenkonzepts für das IT-Risikomanagement
• Erstellung einer Maßnahmenplanung für B3S
• Erstellung eines Templates für Risikoanalysen

• Anerkennung von nationalen, notifizierenden Stellen
• Erstellung von Cybersecurity-Kompetenzgutachten
• EU-Funkanlagen-Richtlinie (Radio Equipment Directive)

• Biete deutschlandweit Beratungsleistungen im privaten und öffentlichen Sektor an
• Berate zu Informationssicherheits-Managementsystemen, IT-Grundschutz, KRITIS-Compliance, TISAX, Business Continuity und Krisenmanagement
• Unterstütze bei der Einführung von Richtlinien, Risikomanagement-Methoden, Asset-Registern und Lieferantenmanagement
• Führe interne Audits, Schulungsworkshops und die Vorbereitung auf Audits durch

• Gründete und leitete eine Cybersecurity-Beratungsfirma, die sich auf virtuelle CISO-Dienstleistungen für Kunden aus den Bereichen Finanzen, SaaS und kritische Infrastruktur spezialisiert.
• Beriet Führungsteams zu Cyberrisiken, regulatorischer Compliance (DORA, NIS2, ISO 27001) und Vorfallvorsorge.
• Entwickelte und implementierte Sicherheitsprogramme von Grund auf und erzielte messbare Reifegradsteigerungen.
• Lieferte maßgeschneiderte Risikoanalysen, Richtlinien und Cloud-Sicherheitsleitfäden (AWS, Azure).
• Skalierte das Geschäft durch Kundengewinnung, Partnerschaften (Vanta, AWS usw.) und ein Netzwerk erfahrener Berater.