Die rollenbasierte Steuerung der Informationszugriffe im Unternehmen

Anbieter zum Thema

Fsas Technologies GmbH

FAST LTA GmbH

FTAPI Software GmbH

(ISC)2 Inc.

Wer gilt in welchem Fall als Eigentümer von Informationen?

Persönliche Informationen werden dem Unternehmen auf Basis der international gültigen Datenschutzgesetze überlassen und gehen dann in den Besitz des Unternehmens über. Aus Sicht der nachgelagerten Informationsverwaltung ist das Unternehmen, respektive die Rolle des Unternehmensleiters, dann der Eigentümer der Information. Diese wiederum bedarf einer sorgfältigen, rechtlich einwandfreien Handhabung.

Würden persönliche Informationen in einem Unternehmen Relevanz haben, wäre ein nachhaltig effektiver Informationsaustausch nicht möglich. Die Notwendigkeit dieser Definition wird deutlich, wenn zum Beispiel zwei Unternehmensleiter persönlich vertrauliche Informationen austauschen könnten. Es wäre dann einem designierten Nachfolger als Unternehmensleiter nicht möglich, vom Inhalt der ausgetauschten Informationen Kenntnis zu erlangen.

Ein einprägsamer Ausnahmefall hierzu ist folgendes Beispiel unter Verwendung von Gehaltsinformationen: Nachdem diese Information das verarbeitende System in Richtung Eigentümer verlassen hat, z.B. durch Ausdruck oder Speicherung in einem beliebigen Dokumentenformat, hat das Unternehmen kein Recht mehr auf diese Information.

Klassifizierung stützt die Informationssicherheit

Wie verhält es sich aber nun mit einem Passwort, das zur Authentisierung bzw. Autorisierung in Verbindung mit einer personenbezogenen Firmenkennung definiert wird? Richtig, das Passwort ist zwar im Besitz des Mitarbeiters, ist jedoch Eigentum des Unternehmens. Folglich können autorisierte Unternehmensrollen ohne weitergehende Begründung die Herausgabe eines Passwortes verlangen.

Im Unterschied hierzu gibt es keine Rolle im Unternehmen, die die Herausgabe einer persönlichen Information, z.B. des Gehaltsausdruckes fordern können. Konsequenter Weise sollte zum Schutz vor rechtlichen Ansprüchen die Speicherung von persönlichen Informationen auf Speichermedien des Unternehmens kategorisch untersagt sein.

Um nun die Informationen eines Unternehmens unter rechtlichen Aspekten vor nicht autorisiertem Zugriff wirtschaftlich sinnvoll zu schützen, ist die Informationsklassifizierung sehr hilfreich. IT-Geschäftsinformationen stellen zu schützende Werte in Form von Daten dar, deren Risiken in Bezug auf Vertraulichkeit, Verfügbarkeit und Integrität einen Unternehmensschaden beinhalten können. Ein Unternehmensschaden in Bezug auf Informationen tritt primär nur dann auf, wenn diese entweder nicht auffindbar sind, von Unberechtigten geändert wurden und wenn durch gerichtliche oder vertragliche Einforderung eine Schadenregulierung aktiviert wird.

Die den Klassifizierungsregeln folgende Kennzeichnung von Informationen hat zum Ziel, den Informationseigentümer ermitteln zu können und gleichzeitig das Bewusstsein auf Seite des Informationsempfängers bzgl. des angebrachten Umgangs mit den Informationen zu adressieren.

Seite 3: Das Klassifizierungs- und Kennzeichnungssystem entwickeln

(ID:2041800)