Compliance und Cybersicherheit Compliance-Verstöße bei Cyberabwehr sicher umschiffen

Anbieter zum Thema

sysob IT-Distribution GmbH & Co. KG

SoSafe GmbH

TXOne Networks

CrowdStrike GmbH

Unternehmen navigieren heutzutage vielfach in unwägbaren Gewässern, denn nicht nur die Abwehr von Cyberbedrohungen und die Gewährleistung von Cybersicherheit gleicht der hohen See, sondern auch die Compliance erfordert besondere Achtsamkeit.

Der Einsatz von Big Data zum Zweck von Cybersicherheit kann Abhilfe schaffen, bedeutet aber auch neue Herausforderungen. Dieser Beitrag zeigt, wie der Einsatz sinnvoller Technologie auf Basis des Stands der Technik und die sorgfältige Auswahl von Dienstleistern Unternehmen helfen können, Risiken zu vermeiden und Hindernisse sicher zu umschiffen.

Mindeststandards sind Pflicht – auch bei Remote Work

Während Cybersicherheit zu gewährleisten an sich bereits eine Mammutaufgabe darstellt, müssen Unternehmen stets beachten, dass unabhängig von der jeweiligen Arbeitsumgebung, dieselben gesetzlichen Vorschriften gelten. Dazu zählen Mindeststandards zum Schutz von Kundendaten ebenso wie die allgemeinen Vorschriften zum Datenschutz, die durch die DSGVO statuiert werden. Mit Blick auf das derzeit stark ausgeprägte Arbeiten im Homeoffice ist daher besonderer Vorsicht und Prävention geboten, weil die DSGVO hier gleichermaßen ein "dem Risiko angemessenen Sicherheitsniveau" hinsichtlich der Verarbeitung von personenbezogenen Daten verlangt.

Herausforderung “angemessenes Sicherheitsniveau”

Doch gerade hierin liegt für viele Organisationen eine große Herausforderung: Wie kann auf privaten Endgeräten ein "angemessenes Sicherheitsniveau" gewährleisten, ohne die gleichen Netzwerk- und Zugriffskontrollen wie im Betrieb anzuwenden? Viele Praktiken, wie etwa die Verwendung einer Firewall, die Konfigurationen von Geräten und Software nach der Maßgabe von Security by Design, die Kontrolle von Daten- und Dienstzugriff, der Einsatz einer tauglichen Antivirensoftware und die regelmäßige Anpassung von Sicherheitseinstellung sowie die Aktualisierung von Software sind auf privaten Geräten von Beschäftigen äußerst schwierig durchzusetzen. Hinzu kommt, dass nicht alle Beschäftigten zuverlässig ihre Gerätesoftware aktualisieren und die darauf installierte Software patchen, geschweige denn, über das Wissen verfügen, die vom Unternehmen vorgeschriebene Sicherheitsstandards auf dem privaten Endgerät umzusetzen.

Des Weiteren ist oftmals unklar, ob die organisatorischen Sicherheitsstandards "angemessene Sicherheitsmaßnahmen" im Sinne der DSGVO darstellen. Die DSGVO verlangt von allen Datenverarbeitern, dass geeignete technische und organisatorische Maßnahmen u.a. unter Berücksichtigung des Stands der Technik, der Art, des Umfangs, der Umstände und der Zwecke der Verarbeitung sowie der unterschiedlichen Eintrittswahrscheinlichkeit und Schwere des Risikos für die Betroffenen getroffen werden müssen, um ein dem Risiko angemessenes Schutzniveau zu gewährleisten. In jedem Fall ist hierbei zu berücksichtigen, dass – selbst wenn alle IT-Richtlinien von Beschäftigten im Homeoffice strikt eingehalten werden – im privaten Umfeld üblicherweise genutzte Sicherheitsprodukte durch Social Engineering und versierte Angreifer relativ einfach ausgehebelt und Daten kompromittieren werden können.

KI stabilisiert das Schiff

Eine gute Cyber-Hygiene alleine – worunter einfachen Security-Prinzipien zu verstehen sind, die jede IT-Organisation kennen und umsetzen muss – wehrt folglich keine fortschrittlichen Angreifer ohne Weiteres ab. Insofern ist der Einsatz moderner, hochentwickelter Cybersicherheits-Technologie, die sich neuesten Entwicklungen und Standards wie künstlicher Intelligenz (KI) in Form von maschinellem Lernen (ML) bedient, unverzichtbar. Dies gilt insbesondere, wenn das Risiko eines Datensicherheitsvorfalls - oder eines bloßen Regelverstoßes - erhebliche finanzielle Belastungen in Form von Strafzahlungen oder Schäden durch Rufschädigung für die jeweilige Organisation verursachen kann. Dementsprechend dürfen sich Organisationen keine Nachlässigkeit in Sachen Cybersicherheit leisten und sollten stets neuste Sicherheitstechnologie, die dem Stand der Technik entspricht, zum Einsatz bringen, die gleichsam Privacy by Design mitbringt, auch wenn der Gesetzgeber die Verarbeitung von personenbezogenen Daten zu Zwecken der Netz- und Informationssicherheit grundsätzlich als überwiegendes berechtigtes Interesse anerkannt hat (Erwägungsgrund 49 der DSGVO).

Kenne deine Angreifer

Mit Blick auf den Sinn und Zweck von KI zur Abwehr von Cyberangriffen ist insbesondere zu würdigen, dass mangelnde Sichtbarkeit von Angreifern und Angriffen ein großes Sicherheitsproblem heutzutage darstellt, mit dem kleine und große Organisationen gleichermaßen konfrontiert sind. Im Cyberspace ebenso wie im analogen Leben fällt die Verteidigung gegen einen unbekannten oder unsichtbaren Gegner schwer. Moderne Lösungen müssen daher Abhilfe auch für das Sichtbarkeitsproblem schaffen. Dies gelingt nur durch die Verarbeitung von Daten über Geräte- und Systemstatus (Metadaten) in Echtzeit sinnvoll, was aber wiederum zu Datenverarbeitung in großem Umfang (Bei Data Analysis) führt. Sinn und Zweck der Big Data Analysis ist Anomalien im Nutzerverhalten frühzeitig und zuverlässig identifizieren und an die richtige Stelle in der Organisation melden zu können, damit diese prüfen und ggf. frühzeitig Gegenmaßnahmen einleiten kann, um die Organisation vor etwaigen Bedrohungen zu schützen.

Die Verarbeitung von umfangreichen Metadaten befördert gleichsam die Nutzung von KI in Form von ML zur Abwehr und Früherkennung von Cyber-Bedrohungen. KI-Lösungen sind insbesondere für solchen Organisationen nützlich und sinnvoll, deren Sicherheits- und Compliance-Teams in einer heterogenen IT-Umgebungen die Organisation gegen Angriffe verteidigen und Risiken reduzieren müssen. Durch den Einsatz von KI können sie Prioritäten setzen und sich auf Suche von Cyberbedrohungen (Threat Hunting) konzentrieren.

Nur starke Partner sorgen für Compliance

Die richtige Cybersicherheit-Technologie ist folglich ein wesentlicher Garant für sowohl guten technischen als auch rechtlichen Datenschutz. Letzterer hängt davon ab, dass ein Serviceprovider angemessen dafür Sorge trägt, dass sein Service nicht nur technisch dem Stand der Technik entspricht, sondern auch dafür ausgelegt ist, die Datenschutzgrundsätze wie etwa Datenminimierung oder Speicherbegrenzung wirksam umzusetzen, und hinsichtlich der Datenverarbeitung garantiert, dass diese den Anforderungen der DSGVO genügen. Nur wenn dies gewährleistet ist, werden Unternehmenslenker ihr Schiff auch in unwägbaren Gewässern sicher navigieren können.

Über die Autoren

Dr. Christoph Bausewein ist Director & Counsel, Data Protection & Policy bei CrowdStrike. Als Datenschutzberater mit juristischem Hintergrund und technischer Ausrichtung hat er langjährige Erfahrung bei der Gestaltung von geeigneten technischen und organisatorischen Maßnahmen zum Schutz von personenbezogenen Daten für Organisationen aus verschiedenen Industrien.

Drew Bagley ist VP & Counsel für Privacy und Cyber Policy bei CrowdStrike. Drew Bagley ist verantwortlich für die Datenschutzinitiativen, die Datenschutzstrategie und das weltweite Policy-Engagement von CrowdStrike. Er ist Mitglied der Europol Advisory Group on Internet Security und des International Telecommunications Advisory Committee des U.S. Department of State.

(ID:47326704)