Information Security Governance, Risk and Compliance (GRC) ist der Bereich, der festlegt, wie eine Organisation ihre Informationen schützt, überprüft, ob dieser Schutz wirksam ist, und dies gegenüber Dritten nachweist. Ein GRC-Team konfiguriert in der Regel keine Firewalls und schreibt keinen Programmcode. Stattdessen gibt es die Richtung vor, bewertet Risiken und stellt Nachweise zusammen.
Dies ist von Bedeutung, da Sicherheitstools allein noch kein Vertrauen schaffen. Kunden verlangen Nachweise, Aufsichtsbehörden erwarten Disziplin, und Führungskräfte müssen wissen, für welche Risiken Investitionen erforderlich sind. GRC wandelt technische Arbeit in Entscheidungen und Dokumentationen um, auf die man sich verlassen kann.
Jeder Buchstabe der Abkürzung GRC steht für eine spezifische Fragestellung:
Zusammen schaffen sie Sicherheit und Gewissheit (Assurance) – also das begründete Vertrauen darauf, dass Kontrollmaßnahmen vorhanden und wirksam sind. Ordnen wir nun jedem Bereich die typischerweise erstellten Ergebnisse zu:
GRC führt die Aufgaben, die es überwacht, nur selten selbst aus. Da das Unternehmen auf andere Teams angewiesen ist, spielen gute Beziehungen eine zentrale Rolle bei dieser Tätigkeit.
Nehmen wir als Beispiel Zugriffsüberprüfungen (Access Reviews), bei denen Führungskräfte bestätigen, wer weiterhin Zugriff auf welche Systeme benötigt. GRC legt die Anforderungen fest und überwacht die Umsetzung. Die IT-Abteilung wickelt den Prozess ab und erstellt die Benutzerlisten. Die Entwicklungsabteilung (Engineering) passt die Zugriffsrechte in den jeweiligen Systemen an. Die Rechts- und Datenschutzabteilungen beraten zu datenschutzrechtlichen Verpflichtungen. Die interne Revision überprüft im Nachgang, ob die Maßnahmen tatsächlich durchgeführt wurden. Der Einkauf bindet Anbieter ein, die ebenfalls einer entsprechenden Prüfung unterzogen werden müssen. So verteilen sich die Verantwortlichkeiten bei dieser einzelnen Kontrollmaßnahme: