Was Compliance-Monitoring abdeckt
Gegenstand des Monitorings ist nicht die Vorschrift selbst, sondern die eigenen Zusagen der Organisation: interne Richtlinien (Datenverarbeitung, zulässige Nutzung, Zugriffskontrolle), die technischen Kontrollen, etwa Data Loss Prevention, die sie durchsetzen, und die Pflichten, die auf Rahmenwerke wie DSGVO, HIPAA, PCI DSS oder ISO 27001 abgebildet sind. Eine Vorschrift lässt sich nicht direkt beobachten. Beobachtbar ist, ob die Regeln funktionieren, die zu ihrer Erfüllung geschrieben wurden.
| Bereich | Frage, die er beantwortet |
|---|---|
| Richtlinientreue | Werden Regeln in der Praxis eingehalten, je Abteilung, System und Kanal? |
| Kontrolleffektivität | Greifen Kontrollen, wenn sie sollen, und war die Reaktion verhältnismäßig? |
| Pflichtenverfolgung | Werden Fristen, Bestätigungen, Reviews und Erneuerungen eingehalten? |
| Compliance Dritter | Halten sich Anbieter und Auftragsverarbeiter an die vertraglichen Grenzen? |
Monitoring ist richtlinienzentriert
Monitoring ist daher richtlinienzentriert. Jede Richtlinie wird in beobachtbare Ereignisse übersetzt, etwa eine Datei, die über einen nicht genehmigten Kanal geht, ein privilegiertes Konto außerhalb des Änderungsfensters oder eine verpasste Review-Frist. Das Programm beobachtet diese Ereignisse kontinuierlich und nicht erst zur Prüfzeit. Das User Activity Monitoring liefert die Ereignisse, die sich einer Person zuordnen lassen.
Wie der Monitoring-Kreislauf funktioniert
Compliance-Monitoring läuft als sich wiederholender Kreislauf und nicht als einmalige Übung:
- 1
Definieren
Jede Richtlinie in prüfbare Regeln mit benanntem Verantwortlichen und Schweregradskala übersetzen.
- 2
Beobachten
Ereignisse von Endpunkten, Systemen und Anwendungen über die von Richtlinien geregelten Kanäle sammeln.
- 3
Erkennen
Ereignisse mit den Regeln abgleichen und jede Abweichung nach Schwere und Risikokategorie einordnen.
- 4
Handeln
Den Verantwortlichen alarmieren, blockieren oder in Quarantäne stellen, wo die Kontrolle es erlaubt, und eine Korrekturmaßnahme eröffnen.
- 5
Berichten
Ergebnisse zu Kennzahlen und Nachweispaketen für Management, Prüfer und Aufsichtsbehörden verdichten.
Nachweise für Audits
Das zweite Ergebnis des Monitorings sind Nachweise. Prüfer und Aufsichtsbehörden akzeptieren selten Behauptungen. Sie fragen, was passiert ist, wann, wer beteiligt war und was dagegen unternommen wurde. Ein Monitoring-Programm antwortet mit Aufzeichnungen: zeitgestempelte Ereignisse, die einem Nutzer zugeordnet sind, die ausgelöste Regel, die Inhaltsklassifizierung und der Ausgang jedes Falls. Anexet fasst diese Aufzeichnungen in Compliance-Berichten zusammen.
Damit eine Aufzeichnung eine Schlussfolgerung trägt, muss sie vollständig und zurechenbar sein. Lücken brechen die Beweiskette, und anonyme Aufzeichnungen belegen nichts. Auch die Aufbewahrung zählt: Nachweise müssen den Audit-Zyklus überdauern, denn die Monitoring-Aufzeichnung selbst ist sensibel. Für ihren Umgang gelten die Regeln zum Datenschutz.
Metriken und KPIs
Metriken verwandeln rohe Beobachtungen in Steuerungsinformationen. Ein brauchbares Set ist klein, stabil und an eine Richtlinie gebunden. Die gängigen Kennzahlen:
| Kennzahl | Was sie zeigt |
|---|---|
| Verstoßrate | Verstöße pro hundert Nutzer oder tausend Ereignisse, je Richtlinie und Kanal |
| Mittlere Erkennungszeit (MTTD) | Wie lange eine Abweichung läuft, bevor sie sichtbar wird |
| Mittlere Behebungszeit (MTTR) | Von der Erkennung bis zum Abschluss der Korrekturmaßnahme, je Schwereklasse |
| Kontrollabdeckung | Anteil des Scopes, den die Kontrolle tatsächlich beobachtet |
| Alterung von Ausnahmen | Wie lange genehmigte Ausnahmen offen bleiben; alte werden still zu Verstößen |
| Wiederholungsquote | Kehrt dieselbe Abweichung nach der Behebung zurück? |
Compliance-Monitoring und Security Monitoring
Beide Disziplinen teilen Werkzeuge und Ereignisdaten, beantworten aber unterschiedliche Fragen. Security Monitoring fragt, ob die Organisation angegriffen wird. Seine Arbeitseinheit ist der Sicherheitsvorfall, seine Uhr die Minute. Compliance-Monitoring fragt, ob sich die Organisation so verhalten hat, wie es die eigenen Richtlinien verlangen. Seine Arbeitseinheit ist die Abweichung oder Ausnahme, seine Uhr der Audit-Zyklus.
In der Praxis überschneiden sie sich: Ein Datenleck ist zugleich Sicherheitsvorfall und Richtlinienverstoß. Viele Organisationen betreiben beide auf denselben Ereignisströmen. Security triagiert schnell, Compliance bewahrt die Aufzeichnung, die noch zählt, wenn der Prüfer ein Jahr später kommt. Das Insider-Threat-Programm ist einer der Nutzer dieser gemeinsamen Ausgabe.
Weiterlesen: Anexet Ultimate DLP-System zur Einhaltung der DSGVO nutzen; Was sind SIEM-Systeme für die Verwaltung der Informationssicherheit?.
Eine Richtlinie auf Papier ist eine Behauptung. Eine Monitoring-Aufzeichnung ist der Nachweis.
Anexet TeamWie Anexet das löst
Ein Monitoring-Werkzeug macht eine Organisation nicht compliant. Die Pflicht bleibt bei der Organisation. Anexet liefert die Beobachtungsebene für Richtlinien zum Umgang mit sensiblen Daten. Das System beobachtet die Kanäle, die solche Richtlinien regeln, in Echtzeit und bewahrt die Aufzeichnungen, die belegen, was getan wurde.
Die On-Premise-Architektur passt ebenfalls zur Nachweisrolle. Die Monitoring-Aufzeichnungen selbst, also erfasste Ereignisse, Vorfallhistorie und Audit-Logs, bleiben in der Infrastruktur der Organisation, was ein Compliance-Nachweis üblicherweise verlangt.
Sicherheitsrichtlinien als Monitoring-Regeln
Inhaltsbasierte Regeln, etwa Security-Thesauri, Hash-Datenbanken, Bibliotheken digitaler Fingerabdrücke und Vertraulichkeitsbezeichnungen, bewerten fortlaufend Datenübertragungen per E-Mail, Web, Cloud-Speicher, Messaging, Wechselmedien, Druck und Zwischenablage. Jeder Treffer erzeugt einen erfassten Vorfall statt einer stillen Log-Zeile.
Risikokategorisierung von Vorfällen
Jeder Vorfall wird vorkonfigurierten Risikokategorien zugeordnet, etwa Datenleck oder Gesetzesverstoß, oder eigenen Kategorien. So lassen sich Abweichungstrends je Richtlinie messen, statt sie als einen einzigen Strom zu betrachten.
Durchsetzung als Teil der Aufzeichnung
Je nach Schwere und Inhaltsklassifizierung kann eine Richtlinie die Übertragung blockieren, zur Prüfung in Quarantäne stellen, protokollieren oder einen Alarm auslösen. Die Reaktion der Kontrolle selbst wird damit zu einem überwachten, zurechenbaren Ereignis.
Ein vollständiger, zurechenbarer Audit-Trail
Jedes Ereignis trägt Nutzer, Zeitstempel, Kanal, Inhaltsklassifizierung und die ergriffene Maßnahme. Das sind die Felder, nach denen ein Prüfer fragt, wenn er rekonstruiert, wie mit sensiblen Daten umgegangen wurde.
Anexet DLP
Mehr erfahren