Was die Gerätesteuerung abdeckt
Der Umfang geht über USB-Sticks hinaus. Jeder Gerätetyp stellt eine andere Frage:
| Gerätetyp | Welche Frage sie beantwortet |
|---|---|
| Wechselspeicher | Können Daten auf Flash-Laufwerke, externe Festplatten oder Speicherkarten geschrieben werden? |
| Optische Laufwerke | Können Datensätze auf CD, DVD oder Blu-ray gebrannt werden? |
| Mobilgeräte | Über MTP oder PTP: Ladekabel oder Speichervolumen? |
| Drucker | Bringt ein Druckauftrag reglementierte Inhalte auf Papier? |
| Drahtlose Schnittstellen | Öffnen Bluetooth oder WLAN einen Weg am Unternehmensnetz vorbei? |
| Eingabe- und Aufnahmegeräte | Webcams, Mikrofone und Tastaturemulatoren werfen Fragen zu Datenschutz und Injection auf. |
Warum der physische Kanal weiterhin wichtig ist
Auch in cloudzentrierten Umgebungen hinterlässt der physische Kanal keine Spur im Netzwerk, funktioniert ohne Verbindung und bewegt sehr große Datenmengen schnell.
Außerdem ist er regelmäßig der letzte Schritt beim Datenabfluss durch ausscheidende Mitarbeitende. Deshalb werden Geräteregeln und Offboarding-Verfahren meist gemeinsam entworfen.
Richtlinienmodelle
Regeln sind meist nach Benutzer, Gruppe und Kontext abgegrenzt. Eine Rolle, die regulierte Datensätze verarbeitet, kann strenger reguliert werden als eine andere. Ein Laptop außerhalb des Firmennetzes kann einer strengeren Richtlinie unterliegen als derselbe Laptop im Büro. Die Inhaltsprüfung ist eine weitere Ebene, beschrieben unter inhaltsbasiertes Blockieren.
Alles sperren mit Ausnahmen ist das stärkste Modell, funktioniert aber nur, wenn Ausnahmen schnell genehmigt werden. Alles erlauben mit Überwachung erkennt Verstöße, statt sie zu verhindern.
| Modell | Kann Übertragung verhindern | Protokolliert jede Verbindung | Prüft Dateiinhalte |
|---|---|---|---|
| Alles sperren, mit Ausnahmen | |||
| Alles erlauben, mit Überwachung | |||
| Regeln nach Geräteklasse | |||
| Allowlist nach Gerätekennung | |||
| Inhaltsbasierte Regeln |
Durchsetzungsstufen
Zwischen erlaubt und gesperrt liegen die Optionen, die Gerätesteuerung praktikabel machen. Nur-Lese-Zugriff erlaubt das Lesen von Geräten, aber kein Schreiben. Eine Warnung an den Benutzer lässt eine Übertragung nach protokollierter Bestätigung zu. Die Quarantäne leitet die Datei zur Prüfung weiter.
Die Verschlüsselungspflicht erlaubt Schreibzugriffe nur auf Medien, die verschlüsselt werden. Der reine Protokollmodus wird während der Einführung genutzt, um zu sehen, was das Unternehmen tatsächlich tut, bevor Regeln durchgesetzt werden. Die Einstellungen für jede Gerätefamilie beschreibt die Steuerung von USB-Geräten und externen Laufwerken.
Inhaltsbasierte Durchsetzung im Produkt
Die Geräte- und Speichereinstellungen enthalten Audit-Schalter und die inhaltsbasierte Schreibkontrolle. Ein Schreibvorgang auf ein Speichergerät kann anhand des Dateiinhalts geprüft werden, und jede Prüfung wird im Audit-Protokoll festgehalten.
1 / 2
Grenzen und Fehlerfälle
Die Gerätesteuerung ist eine starke, aber keine vollständige Grenze. Daten können weiterhin über Netzwerkkanäle wie Webmail, Cloud-Speicher und Messenger abfließen. Diese brauchen eigene Kontrollen des Datenflusses.
Die Durchsetzung hängt davon ab, dass der Agent vorhanden und funktionsfähig ist. Deshalb gehören Agent-Integrität und Abdeckungsberichte zur Kontrolle.
Zu starke Einschränkungen erzeugen Umgehungen. Ist der genehmigte Weg zu langsam, verschieben Benutzer Daten über private Cloud-Konten, ein typisches Muster von Schatten-IT, bei dem ein überwachter Kanal gegen einen unüberwachten getauscht wird.
Wo man anfängt
Man beginnt mit den Daten, deren Abfluss den größten Schaden anrichten würde, und danach mit den Geräten und Kanälen, die Menschen tatsächlich nutzen. Regeln für alles vom ersten Tag an werden oft wieder abgeschaltet. Eine Einführung im reinen Protokollmodus zeigt deshalb, was das Unternehmen wirklich braucht.
Geräteregeln wirken am besten zusammen mit der Kontrolle der übrigen Kanäle, etwa der in Anexet DLP.
Weiterlesen: DLP-Systeme – was das ist und wie sie funktionieren; Wie man unbefugten Zugriff auf den Computer verhindert.
Die meisten Daten verlassen das Unternehmen an einem gewöhnlichen Arbeitstag, eine Übertragung nach der anderen, selten in einer spektakulären Aktion.
Anexet TeamWie Anexet das löst
Gerätekontrolle ist in Anexet ein natürlicher Teil der Durchsetzung auf dem Endgerät, kombiniert mit Inhaltsprüfung, damit Regeln präzise statt pauschal sein können:
Abdeckung nach Gerätetyp
entfernbare USB-Speicher, CD- und DVD-Laufwerke, über MTP verbundene Telefone, Bluetooth-Übertragung und Drucken werden durch eigene Richtlinien geregelt.
Abgestufte Aktionen
erlauben, nur lesend, protokollieren, alarmieren, zur Prüfung in Quarantäne stellen oder sperren: eingegrenzt nach Benutzer, Gruppe und Geräteidentität.
Inhaltsbewusste Durchsetzung
jeder Schreibvorgang wird inhaltlich bewertet: Sicherheits-Thesauri (170 vorgefertigte Wörterbücher), Musterregeln für strukturierte Kennungen, Hash-Banken für exakte Dateitreffer, Fingerabdruck-Bibliotheken für Dokumentvorlagen und Vertraulichkeitsbezeichnungen.
Vollständiger, zurechenbarer Audit-Trail
Geräteverbindungen und Dateioperationen werden mit Benutzer, Zeitstempel, Geräteidentität, Datei, Klassifizierung und ergriffener Maßnahme erfasst.
On-Premise-Architektur
Geräterichtlinien, erfasste Inhalte und Protokolle bleiben in der Infrastruktur der Organisation.
Anexet DLP
Mehr erfahren