Angefangen bei der Dresdner Bank
Ein mehrjähriges IT-Traineeprogramm, einschließlich COBOL-Programmierung. Wer einmal selbst Code geschrieben hat, lässt sich später nicht mehr erzählen, etwas gehe technisch nicht.
Peter Schott · IKS-Consulting
Ich komme von der anderen Seite des Tisches.
Dreißig Jahre lang war ich der, der nachfragt: Stimmt das, was hier auf dem Papier steht, mit dem überein, was tatsächlich passiert? Diese Frage stelle ich heute Ihrer Informationssicherheit – und ich beantworte sie so, dass eine Geschäftsführung damit arbeiten kann.
Profil
Ich prüfe, ob es hält – und sage Ihnen, was zu tun ist.
In fast jedem Haus gibt es eine Lücke zwischen dem Ordner im Regal und dem, was am Dienstagmorgen wirklich geschieht. Ich suche genau diese Lücke: Passen Regelungen, Zuständigkeiten, technische Konzepte und Kontrollen zusammen – und lässt sich belegen, dass sie wirken? Was ich finde, ordne ich nach Wichtigkeit, bespreche es mit den Verantwortlichen und mache Maßnahmen daraus, die in Ihren Alltag passen.
Dass ich lange auch außerhalb der IT geprüft habe, hilft dabei mehr, als man denkt. Sicherheit steht nie für sich: Sie hängt an Prozessen, an Zuständigkeiten, an Budgets, an Dienstleistern – und daran, was ein Ausfall das Unternehmen kosten würde.
Werdegang
Wie ich hierher gekommen bin.
Früh in der IT-Revision
Schon zu Beginn der Laufbahn Prüfung von IT-Verfahren und Kontrollen – technisch und zugleich mit Blick auf den Prozess dahinter.
Das ganze Unternehmen im Blick
Bei Deutsche Hyp und Eurohypo Verantwortung für Revision, Organisation und Prozessmanagement, danach sieben Jahre Direktor der Internen Revision der SAF-Holland Group – quer durch alle Unternehmensfunktionen, Informationssicherheit eingeschlossen.
Zurück zur IT-Sicherheit
Heute ist die Informationssicherheit mein fachlicher Schwerpunkt: ISMS-Prüfungen, IT-Resilienz, sichere Infrastruktur – ergänzt um die Fortbildung zum KRITIS-Prüfer nach § 8a BSIG. Seit 2021 bin ich selbstständig und bearbeite jedes Mandat persönlich.
Woher meine Erfahrung stammt
Vier Felder, in denen ich gearbeitet habe.
Meine Erfahrung in der Informationssicherheit stammt aus Prüfungstätigkeit in Einrichtungen der Daseinsvorsorge – nicht aus Produktprojekten. Auftraggeber und Feststellungen bleiben vertraulich; was hier steht, sind die Themen und die Tiefe, in der ich arbeite.
Governance bis Betriebsprozesse
Analyse und Bewertung von Leitlinien, Rollen, Geltungsbereich, IS-Risikomanagement, Asset-, Change-, Patch- und Schwachstellenmanagement, Protokollierung, Vorfall- und Notfallmanagement, Wirksamkeitsmessung und Managementbewertung.
Wiederherstellbarkeit und Ransomware-Resilienz
Bewertung von RPO/RTO, Applikationskonsistenz, Aufbewahrung, Air-Gap und Unveränderbarkeit, Netz- und Administrationsschutz, Restore-Tests sowie Wiederanlauf kritischer Systeme und Systemverbünde.
Sicherheit von Prozess- und Leitnetzen
Beurteilung von IT/OT-Segmentierung, Fernzugriff, Engineering-, Patch- und Konfigurationsprozessen, IAM, Protokollierung, Angriffserkennung, physischen Schutzmaßnahmen, Vorfallorganisation sowie NIS2-bezogenen Nachweis- und Meldewegen.
Physische und betriebliche Resilienz
Beurteilung von Perimeter, Zutritt, Außenhülle, Energie- und Klimaversorgung, Brand- und Hochwasserschutz, Monitoring, Alarmierung, Wartungsorganisation und Betriebsreife technischer Infrastruktur.
Technische Beurteilungskompetenz
Tief genug, um zu urteilen. Weit genug weg, um unabhängig zu bleiben.
Ich bin weder Systemadministrator noch Penetrationstester – und will es nicht sein. Aber ich lese Architekturen, Verfahrensbeschreibungen, Konfigurationen und Kontrollnachweise, erkenne, wenn zwei Aussagen nicht zusammenpassen, und verfolge das Risiko dahinter bis zu der Frage, die die Geschäftsführung entscheiden muss.
Für jede Aufgabenstellung passe ich umfangreiche Analyse- und Prüfungsleitfäden sorgfältig an Gegenstand, Risiken und geltende Maßstäbe an. Dabei gleiche ich unter anderem ISO 27001, BSI IT-Grundschutz, branchenspezifische Standards und regulatorische Anforderungen miteinander ab. Aussagen werden durch Dokumente, Interviews, Stichproben und technische Nachweise plausibilisiert. Wo eine technische Spezialprüfung erforderlich ist, wird sie ausdrücklich benannt.
Qualifikation & aktuelle Praxis
Was ich mitbringe.
- Diplom-Betriebswirt (FH)
- mehrjähriges IT-Traineeprogramm mit Ausbildung in COBOL-Programmierung
- Certified-Internal-Auditor-Programm (CIA), 1998 abgeschlossen
- mehr als drei Jahrzehnte Revision – risikoorientiert, und immer mit einem Bericht am Ende, den auch Nicht-Techniker verstehen
- Fortbildung zum KRITIS-Prüfer nach § 8a BSIG (2021)
- Prüfungen zu Informationssicherheit und IT-Resilienz: ISMS und technische Informationssicherheit, Backup/Recovery und Desaster-Recovery, IT/OT- und NIS2-bezogene Risiken sowie physische und betriebliche Sicherheit von Rechenzentrumsinfrastruktur
Arbeitsprinzipien
Drei Dinge, auf die Sie sich verlassen können.
Sie bekommen mich
Kein Juniorberater, der die Arbeit macht, während der Seniorpartner das Angebot unterschreibt. Von der ersten Frage bis zur Ergebnisbesprechung sitzt derselbe Mensch Ihnen gegenüber.
Ich verkaufe Ihnen nichts
Keine Hardware, keine Software, keine Lizenzen, keine Provisionen – in keine Richtung. Deshalb können Sie meiner Empfehlung glauben.
Sie verstehen, was Sie lesen
Jede Feststellung folgt derselben Ordnung: Was ist der Sachverhalt, welches Risiko folgt daraus, was empfehle ich, was müssen Sie entscheiden. Kein Bericht, den man zweimal lesen muss.
Leistungsrahmen
Was ich nicht mache.
Keine laufende Administration, keine Produktvermittlung, keine Rechtsberatung, keine Rufbereitschaft rund um die Uhr. Wenn eine technische Spezialprüfung nötig ist, sage ich das – und hole jemanden dazu, aber nur mit Ihrer ausdrücklichen Zustimmung.
Lernen wir uns kennen.
Ein Gespräch, in dem Sie erzählen, was Sie umtreibt – und ich Ihnen ehrlich sage, ob ich der Richtige dafür bin.