Datensicherheit

Jede Kontrolle der Datensicherheit dient einem von drei Zielen, die zusammen als CIA-Triade bekannt sind.

Vertraulichkeit bedeutet, dass nur berechtigte Personen und Systeme die Daten lesen können. Zugriffskontrolle, Verschlüsselung und die Überwachung unbefugter Einsicht sichern das ab. Integrität bedeutet, dass Daten nicht verändert, beschädigt oder manipuliert wurden, sei es durch einen Angreifer, einen Fehler oder einen unachtsamen Mitarbeiter. Verfügbarkeit bedeutet, dass die Daten vorhanden und nutzbar sind, wenn ein berechtigter Nutzer sie braucht. Deshalb gehören auch Backup, Redundanz und Wiederherstellungsplanung zur Datensicherheit.

Eine Kontrolle, die ein Ziel schützt, kann ein anderes schwächen. Alles auf höchstem Niveau zu verschlüsseln, kann den berechtigten Zugriff verlangsamen, den die Verfügbarkeit erfordert. Deshalb wägen reale Programme alle drei Ziele ab, statt nur eines zu maximieren.

Die meisten Datensicherheitsprogramme bestehen aus denselben wenigen Kontrolltypen, die so geschichtet sind, dass ein einzelner Ausfall die Daten nicht offenlegt.

Netzwerk- und Endpoint-Sicherheit ergänzt eine weitere Schicht. Firewalls, Gerätekontrolle und Patch-Management verringern die Wege, auf denen ein Angreifer an die Daten gelangen kann. Anexet deckt die Geräteebene mit der Gerätekontrolle auf Endgeräten ab.

Die drei Begriffe werden oft synonym verwendet, was bei Budgets und Stellenbezeichnungen für Verwirrung sorgt.

Datensicherheit schützt Daten vor unbefugtem Zugriff oder Verlust. Sie ist eine technische und operative Funktion. Datenschutz betrifft die Rechte, die Menschen an ihren personenbezogenen Daten haben, und die Regeln, an die sich eine Organisation beim Erheben, Verwenden oder Weitergeben hält. Er ist eine rechtliche und regulatorische Funktion, die sich in Vorschriften wie der DSGVO oder HIPAA ausdrückt.

Data Governance ist der übergeordnete Rahmen aus Eigentum, Qualitätsstandards und Entscheidungsrechten über Daten als Unternehmenswert. Sicherheit und Datenschutz sind zwei Bestandteile davon, neben Themen wie Datenqualität und Metadatenmanagement. In der Praxis überschneiden sich die drei ständig. Ein starkes Datensicherheitsprogramm macht die meisten Datenschutz- und Governance-Zusagen überhaupt erst durchsetzbar, statt sie nur wünschenswert zu lassen.

Daten durchlaufen dieselben Phasen von der Erstellung bis zur Vernichtung, und in jeder Phase greifen Kontrollen. Alles beginnt mit der Datenklassifizierung.

1. 1

   Erstellung und Klassifizierung

   Daten werden bei Entstehung oder Eingang nach Sensibilität gekennzeichnet, damit spätere Kontrollen wissen, wie streng sie zu behandeln sind.

2. 2

   Speicherung

   Datenbanken, Dateiserver und Cloud-Repositories setzen Verschlüsselung im Ruhezustand und Zugriffsbeschränkungen um, die der Klassifizierung entsprechen.

3. 3

   Nutzung und Weitergabe

   Mitarbeitende arbeiten mit den Daten, kopieren sie, versenden sie per E-Mail oder laden sie in Collaboration-Tools hoch. Hier entstehen die meisten Lecks, daher leisten DLP und Monitoring hier den größten Teil der Arbeit.

4. 4

   Archivierung

   Daten, die nicht mehr aktiv genutzt werden, werden nach einer dokumentierten Richtlinie aufbewahrt. So sinkt die exponierte Angriffsfläche, ohne aufbewahrungspflichtige Unterlagen zu vernichten.

5. 5

   Vernichtung

   Ist die Aufbewahrungsfrist abgelaufen, werden Daten gelöscht oder der Datenträger wird bereinigt, sodass sie nicht wiederherstellbar sind. Daten sammeln sich so nicht unbegrenzt an.

Eine Blockierungsregel in Anexet DLP kann Daten anhand ihres Microsoft-Sensitivitätslabels oder anhand des Inhalts einer Web-Übertragung erkennen, mit vorgefertigten Mustern für Kartennummern und E-Mail-Adressen oder einem eigenen regulären Ausdruck. Die beiden Screenshots unten zeigen beide Arten von Bedingungen.

1 / 2

• 
• 

Die technischen Kontrollen sind gut verstanden. Die meisten realen Fehler entstehen bei ihrer Anwendung.

Die Klassifizierung wird ausgelassen oder uneinheitlich angewendet, sodass DLP-Regeln und Zugriffsrichtlinien am Ende das Falsche oder gar nichts schützen. Kontrollen werden bei der Einführung einmal konfiguriert und nie überprüft, obwohl die Organisation neue Cloud-Dienste, Filesharing-Tools und Remote-Arbeitskanäle hinzufügt, die im ursprünglichen Bedrohungsmodell nicht vorkamen.

Auch das Monitoring versagt, wenn niemand die Protokolle prüft. Ein Vorfall wird dann erst Wochen später statt in Echtzeit entdeckt. Die mit Abstand häufigste Einzelursache bleibt der Insider: ein Mitarbeiter, der beim Ausscheiden Daten mitnimmt, ein Auftragnehmer, der eine Datei falsch behandelt, oder schlicht menschliches Versagen. Deshalb schließt die Sichtbarkeit darüber, was Menschen tatsächlich mit Daten tun, Lücken, die reine Perimeterabwehr offenlässt. Die menschliche Seite dieses Risikos behandelt die Erkennung von Insider-Bedrohungen.

Protokolle helfen nur, wenn sie jemand auswertet. Diese Ansicht zeigt Vorfälle, die noch nicht geöffnet wurden, mit ihrem Status und einem Statistikdiagramm. Ihre Prüfung ist der Kern der Untersuchung von Sicherheitsvorfällen.

Beginnen Sie mit den Daten, deren Abfluss den größten Schaden anrichten würde, und erfassen Sie danach die Kanäle, über die diese Daten tatsächlich wandern. Eine Richtlinie, die sofort für alle Dateien gilt, blockiert meist den Alltag und wird oft kurz darauf abgeschaltet.

Prüfen Sie die Kontrollen nach festem Zeitplan. Ein Datensicherheitsprogramm ist nur so gut wie seine letzte Überprüfung.

Weiterlesen: Informationssicherheit von Datenbanken; Was ist technischer Informationsschutz?.