Datensicherheit erfordert Rechtemanagement und Zugriffskontrolle

Anbieter zum Thema

Fsas Technologies GmbH

FAST LTA GmbH

FTAPI Software GmbH

Die Frage lautet „Wer muss (und darf) was wissen?“

Letztlich muss aber keine dieser Informationen für jede Person oder Abteilung in gleicher Weise zugänglich und nutzbar sein. In vielen Fällen ist das Unternehmen gesetzlich sogar verpflichtet, die Informationseinsicht auf einer „Need-to-know“-Basis einzuschränken.

Jeder Zugriff muss sich auf die Datensätze beschränken, die zur Durchführung der jeweiligen Aufgabe benötigt werden. Dabei gilt es genau zu kontrollieren, welche Bits eines Datensatzes zugänglich sind – kombiniert mit einer Einschränkung, was der User mit dem Datensatz anstellen darf.

Wenn es keinen ersichtlichen Grund dafür gibt, dass ein Angestellter auf vertrauliche oder geschäftskritische Daten zugreifen muss, dann sollte er es auch nicht tun dürfen. Am vernünftigsten ist es ein System zu implementieren, das Geräte erkennt, die sich mit dem Unternehmensnetzwerk verbinden um Geschäftsinformationen abzugleichen.

Gibt es keinen Anlass dafür, dass ein Mitarbeiter elektronische Kopien von für ihn zugänglichen Daten machen muss, dann sollte das Unternehmen dies ebenfalls unterbinden. Ob das private oder geschäftliche Zieldatenträger sind – wie CDs, USB- oder Memory-Sticks, ein iPod oder vielleicht ein Blackberry – ist völlig irrelevant.

Besteht hingegen ein triftiger Grund für die Anfertigung einer Kopie, dann sollte diese mit einer starken Verschlüsselungslösung gesichert werden, die unabhängig vom jeweiligen Zielgerät funktioniert. Nur so bleibt die Integrität der Daten auch außerhalb der sicheren Unternehmensgrenzen gewährleistet.

Nicht nur Datenträger berücksichtigen

Aus den gleichen Gründen muss das Unternehmen regeln, dass ein Mitarbeiter ihm zugängliche Daten nur unter bestimmten Umständen ausdrucken darf. Wann besteht beispielsweise schon einmal der Bedarf, dass komplette Datensätze ausgedruckt werden? Wenn jemand alle Inhalte einer Datenbank zum Drucker schickt, dann müssen bereits sämtliche Alarmglocken schrillen und sichergestellt werden, dass die Datensätze das Unternehmensgelände nicht verlassen.

Ein anderer Weg festzustellen, dass Mitarbeiter ihre Rechte missbrauchen, ist wenn sich ihr normales Verhalten plötzlich ändert. So könnten sie beispielsweise über einen längeren Zeitraum auf eine größere Anzahl Datensätze als gewöhnlich zugreifen.

Dies könnte einerseits ein Indiz dafür sein, dass die Informationen in irgendeiner Form „abgeschrieben“ werden, um bestehende Sicherheitsmechanismen zu umgehen. Andererseits könnten verärgerte Mitarbeiter versuchen die Datensätze zu ändern – oder schlimmer noch zu löschen –, um damit die Verlässlichkeit der Daten zu beeinträchtigen.

Weitere Gefahr geht von Mitarbeitern aus, die versuchen eine Datenbank-Kopie per E-Mail durch das Firmen-Gateway zu schleusen. Ein klügerer Datendieb macht sich natürlich Gedanken über die Spuren, die er hinterlässt. Doch dies lässt sich durch einen Upload auf externe Mail-Dienste wie Yahoo und Hotmail oder eine gehostete Dokumentspeicherung- und -management-Lösung umgehen.

Seite 3: Verschiedene Mitarbeiter als Gefahrenquelle

(ID:2013059)