Aktuelles, Branche - geschrieben von dp am Mittwoch, Juni 12, 2019 16:50 - noch keine Kommentare

Sicherheitsfokus direkt auf sensible Unternehmensdaten lenken

Tags: Christoph Kumpa, Datensicherheit, datenzentriert, Digital Guardian, Sicherheitsfokus, Unternehmen

4 grundlegende „Best Practices“ für datenzentrierten Sicherheitsansatz

[datensicherheit.de, 12.06.2019] Im Kontext der Zunahme immer ausgefeilterer Cyber-Attacken stellt sich nicht mehr die Frage, ob, sondern eher wann ein Unternehmen Opfer eines Angriffs wird. Viele Organisationen konzentrierten ihre Sicherheitsbemühungen aber immer noch primär auf Techniken zur Absicherung von Perimetern – doch sollte der Sicherheitsfokus heutzutage auch auf den sensiblen Unternehmensdaten selbst liegen, empfiehlt Christoph M. Kumpa, „Director DACH & EE“ bei Digital Guardian: „Denn auf lukrative Daten haben es Angreifer zumeist abgesehen.“

4 grundlegende Aspekte eines datenzentrierten Sicherheitsansatzes

Viele Organisationen konzentrierten ihre Sicherheitsbemühungen immer noch auf Techniken zur Absicherung von Perimetern und investierten hierfür große Summen in den Versuch, Angreifer von ihren Netzwerken, Servern und Anwendungen fernzuhalten. Kumpa: „Doch sollte der Sicherheitsfokus heutzutage auch auf den sensiblen Unternehmensdaten liegen und nicht nur auf den immer anfälligeren Schutzmauern, die sie umgeben – denn auf lukrative Daten haben es Angreifer zumeist abgesehen.“
Deshalb verlagerten immer mehr Unternehmen ihre Security-Strategie hin zu einer optimierten Identifizierung, Kontrolle und Absicherung ihrer sensiblen Datenbestände. Im Folgenden vier grundlegende Aspekte eines datenzentrierten Sicherheitsansatzes:

Wissen, was geschützt werden muss
Für Unternehmen, die eine datenzentrierte Sicherheitsstrategie verfolgen möchten, sei der beste Ausgangspunkt eine umfassende Datentaxonomie. „Schließlich ist es unmöglich, wirksame Sicherheitsmaßnahmen zu ergreifen, wenn man nicht weiß, was es zu schützen gilt“, so Kumpa.
Die Klassifizierung und Strukturierung der eigenen Daten helfe Unternehmen, den vollen Umfang ihrer Sicherheitsanforderungen zu verstehen.
Wissen, wo sich die sensibelsten Daten befinden
Sobald die Datentaxonomie fertiggestellt ist, müssten die Daten entsprechend ihrer Sensibilität und ihrem Speicherort eingestuft werden. Dies könne nach Belieben der Organisation erfolgen, aber die gebräuchlichsten Kategorien seien „öffentlich“, „privat“, „eingeschränkt“ und „vertraulich“. „Die auf diese Weise durchgeführte Datenabstufung hilft Unternehmen dabei, festzustellen, wo ihr Sicherheitsfokus liegen sollte sowie zu entscheiden, welche Art von Sicherheitsvorkehrungen für jede Stufe getroffen werden müssen“, erläutert Kumpa.
Wie viele Daten in jeder Kategorie vorhanden sind, werde in der Regel stark von der Branche beeinflusst, in der das Unternehmen tätig ist. Beispielsweise speicherten Finanzinstitute und Regierungsorganisationen meist mehr vertraulichere Informationen als andere Sektoren. Ebenso arbeiteten Händler, die Kreditkartenzahlungen akzeptieren, mit einer Vielzahl vertraulicher Kundeninformationen, die einen strengen Schutz erforderten.
Kontrolle, wer Zugriff auf sensible Daten hat
Sobald die Daten entsprechend klassifiziert und eingestuft sind, bestehe der nächste Schritt darin, den Zugriff auf diejenigen Nutzer zu beschränken, die ihn tatsächlich benötigen. „In diesem Stadium ist es wichtig, sich daran zu erinnern, dass nicht alle Datenschutzverletzungen bösartig sind.“ Viele seien das Ergebnis unbeabsichtigter Nachlässigkeit von Mitarbeitern wie verlorene Memory-Sticks oder Laptops.
Die Einführung einer Zugangskontrolle für sensible oder vertrauliche Daten mache es nicht nur böswilligen Insidern und externen Angreifern deutlich schwieriger, Daten zu stehlen, sondern sei auch eine der schnellsten Möglichkeiten, unbeabsichtigte Sicherheitsverstöße zu verhindern. Schließlich könnten Mitarbeiter nichts verlieren, was sie gar nicht haben. Dieser Ansatz gewährleiste auch die Sicherheit der Daten, unabhängig davon, ob sie sich im Ruhezustand, in Übertragung oder in Bearbeitung befinden. In Kombination mit Sicherheits-Best-Practices wie Data-Awareness-Schulungen könne dieser Ansatz weitaus mehr Sicherheit bieten, als sich allein auf Firewalls und Antivirensoftware zu verlassen.
Einsatz datenzentrierter Technologien zur weiteren Stärkung der Sicherheit
Als weitere Sicherheitsschicht gebe es zahlreiche datenzentrische Sicherheitstechnologien, die speziell für den Schutz sensibler Daten entwickelt worden seien:
„Data Loss Prevention“ (DLP), „Cloud Access Controls“, Verschlüsselungs- und Datentransparenzstrategien könnten ein erfolgreiches Programm ergänzen und böten noch robusteren Schutz in der heutigen anspruchsvollen Online-Umgebung.

Grundlegender datenzentrierter Schutz muss nicht kompliziert sein

Trotz des alarmierenden Anstiegs der Cyber-Angriffe in den letzten Jahren sei es wichtig, „sich daran zu erinnern, dass ein Sicherheitsverstoß nicht automatisch zum Datenverlust führt“. Die Wahl eines datenzentrierten Ansatzes, anstatt ausschließlicher Verteidigung des Perimeters, könne im Falle eines Verstoßes Datenlecks verhindern.
Ein grundlegender datenzentrierter Schutz müsse nicht kompliziert sein. Wenn man sich nur die Zeit nimmt, um zu ermitteln, welche sensiblen Daten im Unternehmen existieren, wo sie sich befinden und wer Zugang zu ihnen haben sollte, könne dies die Verteidigung der Unternehmen erheblich stärken.