Data Security Posture Management (DSPM)

Data Security Posture Management (DSPM) setzt bei einer einfachen Lücke an: Die meisten Organisationen können nicht sicher sagen, wo ihre sensiblen Daten liegen. Kopien von Kundendatensätzen landen in Testdatenbanken, persönliche Dateien wandern in gemeinsame Ordner, und alte Exporte bleiben auf Notebooks liegen. DSPM beantwortet zuerst die Frage, die jeder anderen Kontrolle vorausgeht: Welche Daten sind sensibel, wo liegen sie und wer kann darauf zugreifen?

Ein DSPM-Programm arbeitet an den Daten selbst und nicht nur am Perimeter. Befunde werden nach Datenklassifizierung gruppiert, etwa personenbezogene, Finanz-, Gesundheits- und Zugangsdaten. So zeigt sich, an welchen Stellen, die niemand eingeplant hatte, sensible Daten liegen.

Die meiste DSPM-Arbeit wiederholt dieselben vier Stufen, und jede Stufe speist die nächste.

1. 1

   Erkennen

   Speicherorte und Dateiablagen durchsuchen, um ein Verzeichnis aufzubauen, wo sich Daten tatsächlich befinden.

2. 2

   Klassifizieren

   Gefundene Daten nach Sensibilität und Typ kennzeichnen, mit Mustererkennung und Inhaltsanalyse.

3. 3

   Exposition abbilden

   Jeden Datenspeicher mit den Personen, Rollen und Systemen verknüpfen, die ihn lesen oder kopieren können.

4. 4

   Priorisieren

   Befunde nach tatsächlichem Risiko ordnen, damit die am stärksten gefährdeten Kopien zuerst behandelt werden.

Cloud-Nutzung, Self-Service-Datenplattformen und das routinemäßige Kopieren von Produktivdaten in Test-, Analyse- und Backup-Umgebungen haben dazu geführt, dass sich sensible Daten weit über die dafür gebauten Systeme hinaus verbreiten. Ältere Kontrollen setzten voraus, dass die Teams wissen, wo diese Daten liegen. DSPM geht vom Gegenteil aus: Den Ort der Daten zu finden ist der erste und schwierigste Schritt.

Auch die Regulierung zielt in diese Richtung. DSGVO, HIPAA und PCI DSS erwarten, dass eine Organisation weiß, wo regulierte Daten liegen und wer darauf zugreifen kann. Eine vergessene Kopie in einem nicht erfassten Ordner ist eine Lücke, auch ohne Datenpanne, und solche Kopien entstehen häufig in Shadow IT-Werkzeugen, die niemand genehmigt hat.

DSPM wird oft mit zwei benachbarten Kategorien verwechselt. Alle drei behandeln Datenrisiken, doch jede betrachtet eine andere Ebene. Deshalb braucht ein vollständiges Programm meist mehr als eine davon.

DSPM engt die Frage darauf ein, wo sensible Daten liegen und wer sie erreichen kann. Data Loss Prevention behandelt die andere Seite desselben Problems: Sie überwacht Daten in Bewegung und in Nutzung und blockiert oder protokolliert Übertragungen, die gegen die Richtlinie verstoßen. Beide ergänzen sich gut, denn DSPM zeigt, welche Daten eine Regel verdienen, und DLP setzt diese Regel durch.

CSPM ist die Infrastrukturebene und prüft, wie Cloud-Konten konfiguriert sind. Eine Cloud DLP-Kontrolle schützt nur die Speicher, auf die sie gerichtet ist. Das Verzeichnis aus DSPM zeigt deshalb, wie weit diese Kontrolle reichen sollte.

Auf der Endpunktseite vergleichen Anexet-Agenten Datei-Hashes auf verwalteten Arbeitsplätzen mit Hash-Banken vertraulicher Dokumente. Der Reiter File system in der Administrator-Konsole zeigt, welche Banken für jedes Profil gelten. Thesauri ergänzen die Inhaltsanalyse: Ein eingebauter Schlüsselwortsatz kann Text markieren, der Begriffen wie Kreditkarte oder Zahlungsbegriffen entspricht.

Die Dateisystemüberwachung arbeitet nur auf Computern, die in der Indexierungsliste stehen. Der Umfang des Verzeichnisses legt daher der Administrator fest. Details zum Modul finden sich auf der Seite zur DLP-Software.

1 / 2

• 
• 

DSPM zeigt die Karte, verändert aber aus eigener Kraft nicht, was darauf verzeichnet ist. Die meisten Plattformen melden Befunde und Empfehlungen, und jemand muss trotzdem eine Berechtigung ändern, eine veraltete Kopie entfernen oder den Alarm an das zuständige Team weiterleiten. Auch die Klassifizierungsgenauigkeit schwankt: Strukturierte Felder wie Kartennummern werden zuverlässig erkannt, Freitext und ungewöhnliche Formate erzeugen dagegen mehr Fehlalarme und Übersehene.

• Den ersten Scan als endgültiges Verzeichnis betrachten. Daten bewegen sich täglich, deshalb sagt ein sauberer Scan vom letzten Quartal wenig über heute aus.
• Befunde ohne Verantwortliche öffnen. Punkte, für die niemand zuständig ist, bleiben offen und untergraben das Vertrauen in das gesamte Programm.
• Ein Dashboard kopieren statt die Exposition zu beheben. Eine Karte, nach der niemand handelt, lässt dieselben Risiken bestehen, nur dokumentiert.

Beginnen Sie mit den Speichern, deren Abfluss den größten Schaden anrichten würde, und prüfen Sie danach, welche Kanäle Daten aus ihnen herauskopieren. Eine Karte, die sich um die wichtigen Daten dreht, bleibt monatelang nützlich, während eine Karte von allem innerhalb weniger Wochen ignoriert wird.

Weiterlesen: Informationssicherheit von Datenbanken; Das Konzept von „Zero Trust“.