Governance, Risk & Compliance Beratung im Cloud-Umfeld

Start: Juni 2025

Dauer: 3 Monate +

Auslastung: Vollzeit

Lokation: Remote & bis zu 50% in Frankfurt (mind. 1 Woche / Monat)

Projektbeschreibung

Die Abteilung Compliance, Risk and Security Enablement (CRS-E) ist eine zentrale und unabhängige Funktion für das EDV-Programm und wird alle übergreifenden Compliance-, Risiko- und Sicherheitsfunktionen innerhalb des Programms festlegen und integrieren. CRS-E überbrückt die Lücke zwischen den geltenden Vorschriften und Sicherheitsstandards sowie dem EDV-Produktportfolio, der Architektur und weiteren Funktionen. Das CRS-E gewährleistet außerdem eine angemessene Sicherheitssteuerung und fungiert als „zweite Verteidigungslinie" (2 LoD) innerhalb des EDV-Programms, wobei die EDV-Produktlinien die vom CRS-E aufrechterhaltenen Sicherheitskontrollen implementieren. Darüber hinaus definiert das CRS-E Prozesse und Richtlinien zur Einrichtung, Verbesserung und Integration eines ISMS (Informationssicherheitsmanagementsystem). Das CRS-E ist Eigentümer und Verwalter der CRS-Regelwerke/Kontrollkataloge. Außerdem gestaltet es das ganzheitliche Sicherheitsmanagement für das EDV-Programm.

Zielsetzung: Planen und Durchführen von Beurteilungen der Kontrollumsetzung

Aufgaben

• Entwicklung detaillierter Pläne für die Bewertung der Wirksamkeit von Kontrollmaßnahmen im gesamten EDV-Bereich, um sicherzustellen, dass sie den erforderlichen Standards und Strategien entsprechen- Durchführung systematischer Bewertungen zur Ermittlung von Stärken und verbesserungswürdigen Bereichen bei bestehenden Kontrollen, um verwertbare Erkenntnisse zu gewinnen

Zielsetzung: Verbesserung und Operationalisierung der Strategie für das Sicherheitsmanagement.

Aufgaben

• Erstellung einer umfassenden Strategie für die Verwaltung der Sicherheitslage innerhalb der EDV, die auf die organisatorischen Ziele und Sicherheitsanforderungen abgestimmt ist
• Erarbeitung entsprechender Messgrößen, die die Sicherheitslage genau widerspiegeln und für die laufende Überwachung und Bewertung nützlich sind

Zielsetzung: Definition und Operationalisierung von Risikobewertungsmethoden.

Aufgaben

• Einführung von Risikobewertungsmethoden, die auf das EDV-Umfeld zugeschnitten sind und sich auf die Identifizierung, Analyse und Abschwächung potenzieller Risiken konzentrieren
• Sicherstellen, dass diese Methoden anpassungsfähig sind, um auf sich verändernde Bedrohungslandschaften und organisatorische Prioritäten reagieren zu können

Zielsetzung: Definieren und Operationalisieren von Messmechanismen.

Aufgaben

• Entwicklung von Mechanismen zur Erfassung und Auswertung von Kennzahlen wie Key Performance Indicators (KPI), Key Risk Indicators (KRI) und Compliance Status Indicators (CSI)
• Sicherstellung, dass diese Messsysteme zuverlässige Daten liefern, die zur Entscheidungsfindung und zur Verbesserung der Sicherheitspraktiken herangezogen werden können
• Koordination mit den EDP-Stakeholdern, um einen Konsens über Metriken und Messansätze zu erzielen und sicherzustellen, dass diese mit den Erwartungen der Stakeholder und den strategischen Zielen übereinstimmen
• Moderation von Workshops und Diskussionen, um sicherzustellen, dass die Interessengruppen die vorgeschlagenen Messgrößen verstehen und akzeptieren.

Zielsetzung: Kontinuierliche Verbesserung

Aufgaben

• Zusammenarbeit mit dem CRS Enablement-Projektteam und einem breiteren Publikum, um Metriken für kontinuierliche Prozess- und Sicherheitsverbesserungen zu nutzen
• Austausch von Erkenntnissen und bewährten Praktiken zur Förderung eines Umfelds der Innovation und des proaktiven Sicherheitsmanagements

Muss-Anforderungen

• Mindestens 3,5+ Jahre Berufserfahrung als GRC (Governance, Risk & Compliance) - und technischer Sicherheitsexperte

• Gutes Verständnis sowohl der Prozesse als auch der technischen Sicht auf die Verwaltung der Sicherheitslage

• Starker Hintergrund als Experte für Cloud-Sicherheit

• Ausgeprägtes Verständnis für Cloud-native und hybride Paradigmen und Umgebungen

• Cloud-Sicherheitszertifizierung von einem der Hyperscaler (AWS, MSFT, GCP)

• Fließende Englischkenntnisse

Soll-Anforderungen

Erfahrung mit CSPM- und CNAPP-Lösungen