Daniel J.-Informationssicherheitsberater

NIS2-Umsetzungsprojekt und ISMS-Aufbau nach IT-Grundschutz

Kommunalbetriebe, Anstalt des öffentlichen Rechts

• Analyse der aktuellen Compliance-Lage in Bezug auf die Anforderungen der NIS-Richtlinie (NIS-2, EU 2022/2555).
• Identifikation kritischer Infrastrukturen und Prozesse innerhalb der Organisation.
• Entwicklung eines Maßnahmenplans zur Erfüllung der NIS-Anforderungen.
• Durchführung einer Risikoanalyse gemäß BSI-Standard 200-3 als Grundlage für das Sicherheitskonzept.
• Erstellung eines individuellen Sicherheitskonzepts inklusive technischer und organisatorischer Maßnahmen nach BSI IT-Grundschutz.
• Vorbereitende Begleitung einer optionalen Zertifizierung nach BSI IT-Grundschutz.
• Anpassung bestehender sowie Entwicklung neuer Sicherheitsrichtlinien für Zugriffskontrollen, Incident Management und Datenschutz.
• Berücksichtigung kommunalspezifischer Vorgaben sowie Integration der Maßnahmen in die bestehende IT-Infrastruktur.
• Dokumentation der Ergebnisse und Erstellung prüfungsfester Nachweise für Audits.

Verwendete Tools, Sprachen, Frameworks: MS Office, Verinice, IT-Grundschutz (200-x), NIS-2 (EU 2022/2555), ISMS, AI-Act (EU 2024/1989)

NIS2-Umsetzungsprojekt - Italien

Pharmaindustrie & Medizintechnik, Konzern

Zur Herstellung der NIS2 Compliance bei einem italienischen Unternehmen im Bereich der Herstellung von medizinischen Produkten muss die aktuelle Umsetzung der von NIS2 betroffenen Maßnahmen, sowohl in der IT als auch OT (MSR / Mess-, Steuer- und Regeleinrichtungen), im Rahmen einer GAP Analyse dargestellt und im Weiteren geschlossen werden.

• Gap-Analyse / Assessment der aktuell umgesetzten Maßnahmen bezogen auf das NIS2 Zielbild
• Unterstützung der Fachbereiche von IT-Sicherheitsanfragen
• Festlegung und Abstimmung der notwendigen Maßnahmen und Begleitung der Umsetzung sowie Einführung eines ISMS
• Review, Kommentierung und Verbesserung von Prozessen, Überarbeiten und Erstellen von Richtlinien, Rahmenwerken und dazugehörigen Dokumenten (Betriebskonzepte und Handbücher, Sicherheitskonzepte, Rollen und Rechtekonzepte, Notfallpläne und BCM Konzepte/Dokumentationen, Netzstrukturpläne etc.)

Verwendete Tools, Sprachen, Frameworks: MS Office, SharePoint, ISO27001/ff., ISO31000, IEC62443, ISO22301, NIS-2 (EU 2022/2555), ISMS, TRBS 1115 Teil1, CSA (EU 2019/881), NIST CSF 2.0, SP 800-53, SP 800-37, GAMP, GxP, DECRETO LEGISLATIVO n. 138

NIS2-Umsetzungsprojekt

Lebensmittel Großhandel und Industrie, Mittelstand (Familienunternehmen)

• Gap-Analyse / Assessment der aktuell umgesetzten Maßnahmen bezogen auf das NIS2 Zielbild
• Unterstützung der Fachbereiche von IT-Sicherheitsanfragen
• Festlegung und Abstimmung der notwendigen Maßnahmen und Begleitung der Umsetzung sowie Einführung eines ISMS
• Review, Kommentierung und Verbesserung von Prozessen, Überarbeiten und Erstellen von Richtlinien, Rahmenwerken und dazugehörigen Dokumenten (Betriebskonzepte und Handbücher, Sicherheitskonzepte, Rollen und Rechtekonzepte, Notfallpläne und BCM Konzepte/Dokmentationen, Netzstrukturpläne etc.)

Verwendete Tools, Sprachen, Frameworks: MS Office, SharePoint, ISO27001/ff., ISO31000, IEC62443, ISO22301, NIS-2 (EU 2022/2555), ISMS, Intervalid ISMS Tool, TRBS 1115 Teil1, CSA (EU 2019/881)

NIS2-Umsetzungsprojekt

Rohstoffhandel/Industriemineralien, Unternehmensgruppe

• Gap-Analyse / Assessment der aktuell umgesetzten Maßnahmen bezogen auf das NIS2-Zielbild
• Unterstützung der Fachbereiche bei IT-Sicherheitsanfragen
• Festlegung und Abstimmung der notwendigen Maßnahmen und Begleitung der Umsetzung sowie Einführung eines ISMS
• Überprüfung, Kommentierung und Verbesserung von Prozessen, Überarbeitung und Erstellung von Richtlinien, Rahmenwerken und dazugehörigen Dokumenten (Betriebskonzepte und Handbücher, Sicherheitskonzepte, Rollen- und Rechtekonzepte, Notfallpläne und BCM-Konzepte/Dokumentationen, Netzstrukturpläne etc.)

Verwendete Tools, Sprachen, Frameworks: MS Office, SharePoint, ISO27001/ff., ISO31000, ISO22301, NIS-2 (EU 2022/2555), ISMS, Intervalid ISMS Tool

• Mitwirkung im DORA-Projekt innerhalb des Teilprojektes der operativen IT-Sicherheit zur Umsetzung notwendiger Maßnahmen zur Erreichung der regulatorischen Anforderungen.
• Konzepterstellung für Pflege und Erstellung der Schutzbedarfsanalyse und des Informationsverbundes.
• Erstellen von Fachanweisungen (Informationsverbund, Schutzbedarfsfeststellung) basierend auf den Richtlinien und Vorgaben.
• Modellieren des Soll-Datenmodells und der Architektur in einer High-Level-Darstellung im Teilprojekt Informationsverbund & Schutzbedarf.
• Mitarbeit und Optimierung der Prozessgestaltung für das Vorfallmanagement sowie IKT-Vorfallmanagement.
• Mitwirkung bei der Erstellung von Handbüchern und Anweisungen.
• Abstimmung und Definition von Prozessen und Vorgehen im IKT-Vorfallmanagement, insbesondere bei der Identifikation der Vorfalltypen.
• Verwendete Tools/Frameworks: MS Office, SharePoint, ISO27001/ff., DORA (EU 2022/2554), BAIT, BSI Grundschutz, RiMaGo, SBIT, PSD2, ZAG.

• Identifikation der Kontrollen, die die Einheit Asset Management nicht effizient auswertet, und Definition von Maßnahmen zur Schließung dieser Lücken.
• Identifikation und Überprüfung der Schnittstellen zu anderen Abteilungen und Teams.
• Kommunikation mit internen Stakeholdern des Projekts.
• Durchführung von Interviews mit Stakeholdern und angrenzenden Teams.
• Planung und Durchführung von Workshops.
• Analyse aktueller Prozesse, Kontrollen, Dokumentationen und Arbeitsweisen und Prüfung auf Wirksamkeit.
• Analyse der bestehenden Kontrollen des Asset Managements, Identifikation und Aufzeigen von Lücken.
• Ermittlung, Dokumentation und Darstellung von Maßnahmen zur Schließung der identifizierten Lücken.
• Verwendete Tools/Frameworks MS Office, SharePoint, ISO27001/ff., ISO27019, IEC62443, IEC62351, IT Sicherheitskatalog (IT-SiG), NIS-2 (EU 2022/2555), KRITIS, NIST, BDEW Whitepaper, BNetzA, BSI-C5, BSI Grundschutz (200-4).

• Unterstützung bei der Umsetzung einer effektiven Trennung von IT und OT nach Bestandsaufnahme der Anlagen und Netzinfrastruktur.
• Mitwirkung in der ersten Phase einer umfassenden Umgestaltung der IT- und Netzwerklandschaft.
• Überprüfung und Mitarbeit am RfP-Vorschlag und den Präsentationsfolien.
• Vorbereitung und Durchführung von Vor-Ort-Workshops zur Ermittlung des Ist-Zustandes.
• Mitwirkung bei der Schutzbedarfsanalyse.
• Aufbau eines Schwachstellen-Scanners und Durchführung entsprechender Schwachstellen-Scans und -Analysen für im Betrieb befindliche Server, Dienste und Applikationen mit Greenbone / GVM.
• Verwendete Tools/Frameworks MS Office, SharePoint, ISO27001/ff., IEC62443, NIS-2, BSI 200-2, Greenbone GVM.

• Übernahme und Abschluss eines laufenden Projekts zur Zentralisierung dezentral vor Ort gehosteter Anwendungen auf Azure-gehostete Rechenzentren für eine Unternehmensgruppe (70 Standorte, 8 Länder) inklusive aller Tochtergesellschaften.
• Sicherstellung der Berücksichtigung aller aus nicht technischen oder sicherheitsrelevanten Gründen nicht zu migrierenden Anwendungen.
• Übergabe des Betriebs an einen definierten MSP einschließlich Implementierung einer neuen Backup-Lösung.
• Leitung verwandter Teilprojekte zur Migration verschiedener lokal gehosteter Anwendungen in mehreren Ländern.
• Kommunikation mit internen Stakeholdern des Projekts.
• Abstimmung und Koordinierung mit internen und externen Verantwortlichen.
• Erstellung von Statusberichten und Präsentationen.
• Koordinierung und Governance für externe Auftragnehmer.
• Eskalationsmanagement innerhalb des Programms an verantwortliche bzw. rechenschaftspflichtige Stellen.
• Verfolgung der zeitlichen und finanziellen Abwicklung des Projekts.
• Verwendete Tools MS Office, SharePoint, Jira, ServiceNow.

• Definition von Strategien und Richtlinien gemäß Best Practices und verfügbaren Standards auf Basis bewerteter Defizite des Unternehmens.
• Festlegung von Richtlinien und Vorgaben für SecSDL, Logging und SIEM, Patchmanagement, PAM/IAM und weitere Themen.
• Überprüfung und Überarbeitung bestehender Policies und Richtlinien.
• Verwendete Rahmenwerke ISO27001/ff., NIST, OWSAP, SANS, MITRE ATT&CK, CIS, BSI 200-2.

• Ansprechpartner für Lieferanten und Fachgruppen bei Fragen zum Lifecycle von HP Blade Center Systemen und Windows 2012.
• Mitarbeit bei der Planung von Meilensteinen und Zeitplänen für die Umsetzung von Lebenszyklusthemen.
• Unterstützung bei der Erstellung von Verfahren auf hoher Ebene und deren Umsetzung.
• Überprüfung von Anforderungen und Annahmen auf Kundenseite.
• Unterstützung des Pilotprojekts und von Tests für die Einführung des Hardware-BLC-Ersatzes.
• Erstellung von QA-Abnahmedokumentation.
• Planung von Migrationswellen (Anwendungsgruppen) zur Migration von Anwendungen.
• Planung von Migrationswellen zur Migration von Windows 2012 Servern auf die neueste OS-Generation.
• Kontrolle und Nachverfolgung der Umsetzungen durch PV-/Projektteammitglieder.
• QS-Berichterstattung über Fortschritte.
• Pflege erforderlicher Änderungsdaten in der CMDB.
• Technische und verfahrenstechnische Dokumentation der Änderungen und Übergabe an den Betrieb.

• Verbesserung manueller und veralteter Patch-Management-Prozesse.
• Erstellung und Entwicklung von Patch-Management-Konzepten.
• Automatisierung von Prozessen und Steigerung der Effektivität durch Reduktion manuellen Aufwands.
• Unterstützung beim Aufbau einer neuen Gruppe für das Management von Schwachstellen in der I&O-Abteilung.
• Unterstützung der Teams bei der Beseitigung gefundener Schwachstellen durch Eskalationen und bereichsübergreifende Koordination.
• Beratung von Führungskräften bei strategischen Entscheidungen im Schwachstellen- und Patch-Management.
• Reporting von Messungen und Schwachstellen an Direktoren und C-Level.
• Verwendete Rahmenwerke VAIT, ISO27001/ff., ITIL, NIST, CSC CIS, BSI KritisV.

• Analyse bestehender Prozesse im Patchmanagement und der zukünftigen Zielsetzung.
• Konzeption neuer Patchmanagement-Prozesse auf Basis der Zielsetzung.
• Entwurf und Definition neuer Prozesse zur Verbesserung der Patch-Management-Workflows.
• Einführung und Verbesserung bislang fehlender oder unzureichender Prozesse.
• Abgleich der neuen Prozesse mit dem Global IT Security Vulnerability Management Team zur Sicherstellung der Nachhaltigkeit.
• Verwendete Rahmenwerke VAIT, ISO27001/ff., ITIL, NIST, CSC CIS, Kritis.

• Entwicklung und Unterstützung aller I&O-Abteilungen bei Sicherheitsverletzungen, Schwachstellenbehebung, Verwaltung von Sicherheitspatches und Einhaltung von Sicherheitsvorschriften.
• Definition der Produktvision durch Umsetzung der Technologie- und Geschäftsstrategie in Produktziele mit Fokus auf Sicherheit und Risikominderung.
• Verwaltung von Produktevaluierungen und Festlegung von Produktimplementierungen und -verbesserungen auf Basis der Sicherheitsbedrohungslandschaft, Technologieentwicklung, Marktakzeptanz und -entwicklung.
• Mitwirkung an der Entwicklung der technologischen Vision für I&O aus Sicherheitssicht, inklusive Maßnahmen zur Reduzierung potenzieller Schäden.
• Ausarbeitung und Beratung zu Konzepten im Bereich Patch Management für verschiedene Anwendungen und Dienste.
• Identifizierung von Kernfähigkeiten und -funktionen von Journeys/Produkten zur Erreichung strategischer Ziele und Unterstützung der Produktlinien-Teams.
• End-to-End-Verantwortung für Maßnahmen im Infrastructure Vulnerability Management basierend auf ISED-Schwachstellenberichten und -feststellungen.
• Analyse von Feststellungen und Definition sowie Abstimmung von Maßnahmen mit dem operativen Bereich und ISED.
• C-Level-Beratung.
• Verwendete Rahmenwerke VAIT, ISO27001/ff., ITIL, NIST, CSC CIS, BSI Kritis, BSI Grundschutz (200-2), BCM.

• Festlegung von Lösungen zur Bearbeitung und zum Abschluss von Prüfungsfeststellungen.
• Ermittlung von Lösungen zur Schließung von Schwachstellen (Schwachstellenscanner).
• Ermittlung von Schutzbedarfen und Bewertung potenzieller Schäden zur Priorisierung von Maßnahmen.
• Etablierung nachhaltiger Prozesse auf Basis des Patch-Management-Konzepts.
• Konzeption und Optimierung von Patch-Management-Prozessen.
• Anforderungsbewertung von Prozessen im Bereich Schwachstellen- und Störfallmanagement.
• Entwurf und Neugestaltung von Prozessen im Schwachstellen- und Störfallmanagement.
• Einführung und Etablierung effektiverer Arbeitsweisen (z.B. Reduktion von Work-in-Progress im IT-Betrieb).
• Koordinative Aufgaben und Vermittlung zwischen IT-Sicherheit und IT-Betrieb.
• Überprüfung von Schwachstellenberichten, Identifizierung von Asset-Ownern und Zuordnung von Schwachstellen.
• Verfolgung der fristgerechten Bearbeitung von Schwachstellen.
• Koordinierung der Umsetzung von Abhilfemaßnahmen und Konfigurationsanpassungen.
• Erstellung von Statusberichten.
• Management von Vorfällen und Problemen.
• Planung und Moderation von Workshops.
• Bewertung von Lösungen für das Schwachstellenmanagement.
• Operative und technische Aufgaben in Zusammenarbeit mit anderen externen Dienstleistern.
• Prüfung von Schwachstellen auf Fehlalarme sowie der Anwendbarkeit der empfohlenen Abhilfemaßnahmen.
• Prüfung alternativer Abhilfemaßnahmen, Dokumentation und Durchführung bzw. Antrag auf Risikoübernahme.
• Verwendete Rahmenwerke VAIT, ISO27001/ff., ITIL, NIST, CSC CIS, Kritis.
• Verwendete Tools und Sprachen MS Office, Sharepoint, MS SQL, Tenable.SC, BMC Artrium (CMDB), BMC Remedy, BMC SmartIT, BMC myIT.

• Entwicklung einer Netzinfrastruktur zur Bereitstellung von Diensten für Schwachstellen-Scan und Penetrationstests.
• Reduktion der Netzbelastung und Steigerung der Effizienz durch direkten Zugang zu allen VLANs.
• Prozessberatung und -gestaltung.
• Projekt- und Netzdokumentation.
• Erstellung eines Betriebs- und Installationshandbuchs.
• Erstellung eines Sicherheitskonzepts inklusive Bedrohungsmodellierung.
• Verwendete Rahmenwerke STRIDE, ITIL.
• Verwendete Tools und Sprachen SM9, Infoblox, MS Office, Microsoft Threat Modelling Tool.

• Wartung, Betrieb und Weiterentwicklung des Schwachstellen-Scanners.
• Verwaltung von Schwachstellen und Durchführung von Schwachstellen-Scans.
• Analyse von Schwachstellen.
• Verwaltung von Sicherheitsvorfällen.
• Erstellung von Berichten.
• Dokumentation, einschließlich Erstellung und Pflege von Installations- und Betriebshandbüchern.
• Prozessberatung und -optimierung.
• Anbindung an die zentrale Protokollverwaltung.
• Verwendete Frameworks SM9, BMC Remedy mit Smart IT, Tenable SecurityCenter, Tenable Nessus, Tenable Nessus Manager, MS Office, ASG-Remote, vSphere Client, Windows Server, RHEL 7.x, centOS 7.x, Tenable.SC, Kritis.

• Analyse der Anforderungen im Merchandise Management.
• Erstellung von Fach- und Lösungskonzepten.
• Erstellung von Release Notes und Benutzerhandbüchern.
• Identifizierung von Testfällen und Testspezifikation/-entwurf gemäß ISQTB.
• Bestimmung von Regressionstests.
• Durchführung, Dokumentation und Auswertung von Softwaretests.
• Fehlerverfolgung.
• Berichterstattung zum Teststatus.
• Unterstützung bei Abnahmetests.
• Beratung zum Testansatz, zu Testverfahren und zur Verbesserung des Testprozesses.
• Verwendete Tools Atlassian Jira + Zephyr, Atlassian Confluence, MS Office, XML, SQL, MS SSMS, Eigenentwicklungen (CRM, Warenwirtschaft, Auftragsverwaltung, Wareneingang und -ausgang).

• Testmanagement und Testkoordination interimistisch für ein Release im Kundenauftragsmanagement.
• Steuerung von Nearshore-Testteams (Rumänien).
• Steuerung von Testteam und Testaufträgen.
• Erstellung von Dokumentation und Benutzerhandbüchern.
• Fehlerverfolgung.
• Berichterstattung über den Teststatus.
• Unterstützung bei Abnahmetests.
• Koordination der Testumgebung.
• VBA (Makro)-Scripting.
• Verwendete Tools Atlassian Jira, HP QualityCenter/ALM, MS Office, XML, Aroma, S.A.L.D.O.3, Masterdata, ESB, VBA.

• Analyse des Ist-Zustandes und der Datenstrukturen bei der Migration Sage 2.1 (GS-Bestellung) auf Sage Professional 2014.
• Erstellung eines Benutzerhandbuchs.
• Migration von dBase/Clipper-Datenstrukturen nach MS SQL Enterprise 2012.
• Anpassung von Sage CRM.
• Test und Inbetriebnahme der Sage CRM Softwarelösung nach der Migration.
• Server-Wartung (Windows 2012R2 / HyperV).
• Migration eines physischen Windows XP-Computers zu HyperV.
• Programmierung von VBA-Skripten für Outlook.
• Verwendete Tools Windows 2012 R2, HyperV, SageCRM, Sage 2.1 (GS-Bestellung), MS Office, SQL (MS), MS SSMS, dBase/Clipper, VBA.

• Test der Konzeption für M1SS / Mini-One-Stop-Shop.
• Analyse der Anforderungen.
• Bewertung von Testwerkzeugen.
• Qualitätssicherung und Testplanung.
• HPQC-Schulung, Einrichtung und Anpassung.
• Verwendete Tools HP Quality Center/ALM, MS Office, Sharepoint.

• Ableitung von Testfällen aus der Anwendungsspezifikation für Demo VKB Online.
• Aufzeichnung von Testfällen (Regressionstests) mit Silktest.
• Modularisierung von Testfallabschnitten.
• Auslagerung von Testdaten aus Testskripten.
• Implementierung logischer Protokollierungsroutinen.
• Durchführung und Auswertung der Softwaretests.
• Verwendete Werkzeuge Silktest, SQL, Quick Test Pro, HP Quality Center ALM.

• Testfallermittlung auf Basis fachlicher und technischer Spezifikationen im Release-Team Columbus3.
• Testspezifikation nach TMAP.
• Durchführung von Tests in Siebel (Vertrieb, Fakturierung), Clarify, OnlineService sowie Schnittstellen (SAP, RoMA, Venedig).
• Fehlerverfolgung und Berichterstattung.
• Verwendete Tools Atlassian Jira, PuTTY, WinSCP, IBM Rational Quality Manager/RQM, SoapUI, MS Office, OpenProject, MS Visio, Clarify, RoMA, Venedig, Serena Dimensions, Oracle Siebel CRM (Vertrieb, Rechnungsstellung).

• First- und Second-Level-Support sowie Incidentmanagement im Rahmen der Einführung und des Rollouts von Windows Vista.
• Benutzerverwaltung.
• Verwendete Werkzeuge iET TTS, Windows XP und Vista, MS Windows Server 2003/2008, MS Office.