Sensible Daten

Sensible Daten bilden eine breite Gruppe. Ein Kundendatensatz, eine Patientenakte, eine Kartennummer und der Entwurf eines Produkts brauchen alle Schutz, obwohl sie wenig gemeinsam haben. Verbindend ist, dass ihre Offenlegung einer Person oder einer Organisation schaden kann, rechtlich, finanziell oder für den Ruf.

Der Begriff umfasst strukturierte Datensätze in Datenbanken und Protokollen, aber auch unstrukturierte Inhalte wie Dokumente, Tabellen und Chatnachrichten. Bevor ein Unternehmen diese Daten schützen kann, muss es wissen, was in seiner Umgebung sensibel ist. Genau das leistet die Datenklassifizierung.

Sensible Daten werden meist in anerkannte Kategorien eingeteilt. Personenbezogene Daten etwa identifizieren eine bestimmte Person, direkt oder in Kombination mit anderen Daten. Die Tabelle zeigt die wichtigsten Gruppen und die Regeln, die meist für sie gelten.

Es gibt keine einheitliche, universelle Liste sensibler Daten. Jeder Rahmen definiert sie für seinen eigenen Geltungsbereich:

Regionale und branchenspezifische Gesetze, etwa der CCPA und der CPRA in Kalifornien, ergänzen eigene Definitionen. Deshalb führen Unternehmen meist ein internes Datenverzeichnis, das jedem anwendbaren Rahmen zugeordnet ist.

• Die DSGVO schützt personenbezogene Daten, also alle Informationen über eine identifizierbare Person. Besondere Kategorien nach Artikel 9 brauchen vor der Verarbeitung eine zusätzliche Rechtfertigung.
• HIPAA definiert geschützte Gesundheitsinformationen als Gesundheitsdaten, die von einer meldepflichtigen Stelle erstellt oder verarbeitet werden, in jeder Form: elektronisch, auf Papier oder mündlich.
• PCI DSS konzentriert sich auf Karteninhaberdaten. Nach der Autorisierung ist die Speicherung sensibler Authentifizierungsdaten verboten, etwa vollständiger Magnetstreifendaten, des CVV und der PIN.

Erkennungswerkzeuge kombinieren mehrere Methoden, und jede hat eigene Stärken:

• Thesauri: Schlüsselwortlisten zu einem Thema, etwa Begriffe zu Kreditkarten oder Finanzvokabular.
• Muster: reguläre Ausdrücke, die Kennungen finden, etwa Bankkontonummern, Postleitzahlen oder das Format der US-Sozialversicherungsnummer.
• Digitale Fingerabdrücke und Hash-Banken: Erkennung exakter Kopien und von Vorlagen bekannter Dokumente.
• Sensitivitätsbezeichnungen: Inhalte, die bereits eine Microsoft-Sensitivitätsbezeichnung tragen.

Die Definitionen unterscheiden sich je nach Rahmen, und sensible Inhalte sind über viele Systeme verteilt. Der Verlust der Kontrolle bringt behördliche Strafen, Meldepflichten bei Datenpannen und Imageschäden mit sich. Deshalb beginnt die Praxis mit Erkennung und Klassifizierung. Sensible Daten sind das zentrale Objekt des Data Loss Prevention (DLP), und DLP kann nur schützen, was es findet.

1. 1

   Erkennen

   Ermitteln Sie, wo sich sensible Daten in Systemen, auf Endgeräten und in Cloud-Diensten befinden.

2. 2

   Klassifizieren

   Kennzeichnen Sie die Daten, damit ihre Sensitivität für Menschen und Werkzeuge klar ist.

3. 3

   Maßnahmen anwenden

   Richten Sie den Schutz nach der Sensitivität jeder Kategorie aus, zuerst bei den am stärksten gefährdeten Kanälen.

In Anexet DLP bündelt der Reiter Objects of analysis die Bausteine der Erkennung. Das erste Bild zeigt die integrierten Wortlisten, das zweite die regulären Ausdrücke für Kennungen mit festem Format. Administratoren wählen sie beim Anlegen einer Sperrregel aus.

1 / 2

• 
• 

Die meisten Erkennungsprojekte scheitern auf die gleiche Weise: Sie beginnen mit Regeln statt mit einer klaren Liste dessen, was geschützt werden muss. Ein Wörterbuch, das jede Erwähnung von Gehältern erfasst, oder ein Muster, das jede neunstellige Zahl trifft, überflutet die Warteschlange mit Fehlalarmen, und die Mitarbeitenden lernen schnell, sie zu ignorieren.

• Regeln schreiben, bevor ein Datenverzeichnis existiert, sodass die sensibelsten Speicherorte unerfasst bleiben.
• Eine einzige Wortliste für alle Abteilungen verwenden, die normale Arbeit blockiert.
• Die Kennzeichnung als Beweis behandeln: Sie kann fehlen, falsch sein oder auf kopierte Dateien nie angewendet worden sein.
• Nur E-Mails prüfen und Cloud-Speicher, Messenger und Wechselmedien übersehen, wo ein Datenabfluss unbemerkt beginnen kann.

Beginnen Sie mit den Daten, deren Abfluss den größten Schaden anrichten würde, und dann mit den Kanälen, über die sie tatsächlich laufen. Regeln, die für alle Dateien auf einmal geschrieben werden, blockieren legitime Arbeit und werden am Ende abgeschaltet. Eine erste, eng gefasste Richtlinie, die die Menschen akzeptieren, ist mehr wert als eine breite, die nach einer Woche deaktiviert wird.

Weiterlesen: Zugriffsaudit für vertrauliche Daten und Discretionary Access Control; Top 5 Datentypen, die Wettbewerber zu stehlen versuchen.