Mahmoud Qaddoura

Council Member im weltweit führenden Expertennetzwerk: fachliche Expertengespräche für Unternehmen, Investmentgesellschaften und Beratungshäuser zu Informationssicherheit, IT-Governance und regulatorischer Compliance. Themen: ISMS-Aufbau nach ISO 27001, IT-Risiko- und Schwachstellenmanagement, Business Continuity (ISO 22301) sowie die praktische Umsetzung von DORA, NIS2, BAIT und dem Cyber Resilience Act – als anwendungsnahe Perspektive aus der Projektpraxis, nicht als Theorie.

Fachliche Architektur und Anforderungsmanagement einer mandantenfähigen SaaS-Plattform für regulatorische IT-Governance und Cyber-Resilienz (DORA, BAIT, MaRisk, ISO 27001) für über 750 Banken der genossenschaftlichen FinanzGruppe. Schwerpunkte: regelbasierte Bewertungslogiken für Schutzbedarfs- und IT-Risikoanalyse, Quality-Gates und Audit-Trails, mandantenfähiges Rollenmodell (RBAC), Integrationsschnittstellen (REST/JSON/CSV) sowie BIA, RTO/RPO, Incident- und Schwachstellenmanagement nach DORA.

Operative Steuerung und Weiterentwicklung zentraler Cyber-Security- und IT-Risk-Prozesse der Bank; Analysen und Berichte für das IT-Security-Control-Board und den CISO. Schwerpunkte: strategisches Cyber-Risk- und Security-Reporting auf Vorstandsebene, Steuerung von IT-Security-Initiativen, Aufbau von Reporting- und Monitoring-Mechanismen, Vulnerability Management (Scan-Steuerung und Schwachstellenanalyse) sowie Umsetzung der DORA-Anforderungen in operative Sicherheitsprozesse.

Beratung von Finanzinstituten und Unternehmen bei der Umsetzung europäischer Cyber- und IT-Regulatorik – mit dem Ansatz, Anforderungen in prüfbare Werkzeuge zu überführen statt in Gutachten. Entwickelte Lösungen: DORA-Bewertungstool mit Anschluss an bestehende BAIT-, VAIT- und ISO-27001-Maßnahmen, Webanwendung für das DORA-Register der Informationen (ITS) über alle sieben Domänen, NIS2-Umsetzungstool sowie ein CRA-Konformitätstool mit Risikobewertung und Vorfallmeldung.

Operative Steuerung zentraler Cyber-Security-Prozesse und Weiterentwicklung der Sicherheitsarchitektur in der als Kritische Infrastruktur (KRITIS) eingestuften Plattform- und Cloud-Umgebung. Schwerpunkte: Aufbau eines zentralen Cyber-Security-Warrooms für Vorfälle und Krisen, Incident Detection und Reaktionskoordination im 24/7-Betrieb, Sicherheitsbewertungen für Cloud-Projekte, Vulnerability Management sowie Beratung von Security Board und Informationssicherheitsbeauftragten.

Aufbau und Weiterentwicklung eines Informationssicherheitsmanagementsystems (ISMS) nach ISO 27001 sowie Formulierung der Informationssicherheitsrichtlinien als Grundlage der Sicherheitspraxis im Unternehmen. Schwerpunkte: Identifizierung und Steuerung von Informationssicherheitsrisiken, Schwachstellenanalysen und Threat Intelligence, Cloud-Sicherheit, Incident Management, Drittparteienmanagement sowie Business-Continuity- und Disaster-Recovery-Planung.

Betrieb und Weiterentwicklung der IT-Sicherheitsinfrastruktur: Sicherheitsrichtlinien, Notfallwiederherstellung, Schwachstellenmanagement sowie SOC- und SIEM-Betrieb gemeinsam mit dem MSSP. Schwerpunkte: Durchsetzung von Richtlinien und Zugangsverwaltung, Disaster-Recovery-Planung, interne Sicherheitsüberprüfungen, vierteljährliche Zertifizierung der Wirksamkeit der Kontrollen, Untersuchung auffälliger Aktivitäten sowie Sicherheitsschulungen für Mitarbeitende.

Absicherung und Entwicklung von Kundenwebsites sowie Anwendersupport im Service Desk. Schwerpunkte: Annahme, Analyse und Klassifizierung von Supportanfragen mit Eskalation an den 3rd-Level-Support, Absicherung neuer und bestehender WordPress-Seiten über Sicherheits-Plugins und Code-Anpassungen sowie Code-Review selbst programmierter Webseiten auf Sicherheitslücken.

IT-Support im 1st- und 2nd-Level mit Feld- und Innendienstanteil. Schwerpunkte: serviceorientierte Anwenderunterstützung und Vor-Ort-Support am Arbeitsplatz, Transport, Installation und Wartung von Systemen an Kundenstandorten einschließlich Demontage alter Anlagen, individuelle Softwarekonfiguration nach Kundenanforderung sowie Dokumentation und regelmäßige Systempflege.