Vertraulichkeit

Die CIA-Triade benennt die drei Eigenschaften, die ein Sicherheitsprogramm schützen soll. Sie können gegeneinander wirken, daher ist Sicherheitsdesign meist ein Ausgleich und keine Maximierung einer einzelnen. Vertraulichkeit ist die Eigenschaft, die die meisten Menschen meinen, wenn sie Daten als „sicher“ bezeichnen. Ein System kann jedoch perfekte Vertraulichkeit besitzen und dennoch bei Integrität oder Verfügbarkeit versagen.

Vertraulichkeit ist ein Teil der Datensicherheit. Sie verhindert, dass Informationen aus welchem Grund auch immer an die falsche Person gelangen.

Vertraulichkeitsverletzungen haben ein gemeinsames Ergebnis: Die Information gelangt zu jemandem, der nicht berechtigt ist, sie zu besitzen. Der Schaden ist meist derselbe, egal welche Ursache: regulatorische Risiken, Vertrauensverlust, Wettbewerbsnachteile bei durchgesickerten Geschäftsgeheimnissen und in regulierten Branchen mögliche Bußgelder.

Versehentliche Offenlegung braucht keinen Angreifer, deshalb hat die unbeabsichtigte Offenlegung einen eigenen Begriff. Die üblichen Ursachen sind:

• Externer Angriff: Ein Außenstehender dringt in ein System ein und kopiert Daten über gestohlene Zugangsdaten, Schadsoftware oder eine Schwachstelle.
• Offenlegung durch Insider: Ein Mitarbeiter oder Auftragnehmer mit legitimem Zugriff sieht, kopiert oder teilt Daten außerhalb des erlaubten Zwecks, ein Muster, das Programme zum Insider-Risiko beobachten.
• Versehentliche Offenlegung: Eine falsch adressierte E-Mail, ein falsch konfigurierter Cloud-Speicher, ein Dokument in der falschen Nachricht oder ein für Unbefugte sichtbarer Bildschirm.
• Unsachgemäße Entsorgung: Papier, Datenträger oder Geräte, die noch lesbare Daten enthalten.

Mehrere Kontrollen wirken zusammen. Keine reicht allein: Zugriffsregeln bestimmen, wer eine Datei öffnen darf, Verschlüsselung schützt Kopien, und Data Loss Prevention überwacht die Kanäle, über die eine Kopie die Organisation verlassen könnte.

Vertraulichen Inhalt erkennt man selten am Dateinamen allein, deshalb vergleicht die Konsole den Inhalt mit fertigen Schlüsselwortsets. Die Liste der Systemthesauri umfasst 35 Sets, darunter SSN, Credit Card und Financial, jeweils mit Wortanzahl. Diese Sets arbeiten innerhalb von Anexet DLP.

Vertraulichkeitskennzeichnungen liefern ein zweites Signal. Eine Regel kann verlangen, dass sensible Daten ein Microsoft-Label tragen, bevor sie greift, und Kennzeichnungen helfen nur, wenn Menschen sie konsequent setzen.

1 / 2

• 
• 

Ein Treffer bedeutet nicht immer eine Blockade. Die Regel legt die Reaktion fest, und das Ereignis bleibt im Protokoll für eine spätere Prüfung erhalten, also in derselben Aufzeichnung, auf der die Überwachung der Benutzeraktivität aufbaut.

1. 1

   Treffer

   Inhalt oder Kennzeichnung erfüllt eine Bedingung der Regel, etwa ein Schlüsselwortset oder ein Vertraulichkeitslabel.

2. 2

   Entscheidung

   Die Regel blockiert die Übertragung, hält sie zur Prüfung zurück oder protokolliert sie nur, je nach Klassifizierung und Schwere.

3. 3

   Protokoll

   Das Ereignis wird mit Nutzer, Kanal und Objekt gespeichert, damit der Vorgang rekonstruiert werden kann.

4. 4

   Prüfung

   Ein Analyst prüft die relevanten Fälle und passt die Regel an, wenn sie zu oft oder zu selten auslöst.

Vertraulichkeit und Privatsphäre hängen zusammen, sind aber nicht identisch. Vertraulichkeit ist eine Sicherheitseigenschaft, die auf jede Information angewendet werden kann, die eine Organisation schützen will, etwa Geschäftsgeheimnisse, Finanzprognosen oder Quellcode, unabhängig davon, ob eine Person betroffen ist.

Privatsphäre betrifft das Recht einer Person, Informationen über sich selbst zu kontrollieren. Sie ist Gegenstand eigener Regelwerke wie der DSGVO. Der Schutz personenbezogener Daten erfordert stets Vertraulichkeitskontrollen, die aber auch auf viele Informationen angewendet werden, die mit einzelnen Personen nichts zu tun haben.

Viele Programme beginnen mit einer einzigen Richtlinie, die alle Dateien auf einmal erfasst. Die Folge sind blockierte Arbeit und Menschen, die nach Umgehungen suchen.

Drei Fehler tauchen in vielen Projekten immer wieder auf:

• Kennzeichnen ohne Durchsetzung: Kennzeichnungen, die niemand prüft, schützen nichts.
• Vertrauen auf einen einzigen Kanal: Eine Richtlinie nur für E-Mail lässt USB-Sticks und Cloud-Uploads offen.
• Vertraulichkeit als abgeschlossenes Projekt behandeln: Daten bewegen sich, deshalb brauchen die Regeln regelmäßige Überprüfung.

Beginnen Sie mit den Daten, deren Abfluss den größten Schaden anrichten würde, und kartieren Sie dann die Kanäle, die sie tatsächlich nutzen. Regeln, die um diese beiden Fragen herum gebaut sind, lassen sich dem Team leichter erklären und dauerhaft betreiben.

Weiterlesen: Informationssicherheit: Definition, Anforderungen, Modelle und Phasen.