Fundament für Datenschutz und Datensicherheit Ohne Datenklassifizierung keine Datensicherheit

Anbieter zum Thema

Fujitsu Technology Solutions GmbH

SEPPmail - Deutschland GmbH

Insider Research

Varonis Systems (Deutschland) GmbH

Es ist ein bisschen ungerecht – den Grundlagen wird oft keine Aufmerksamkeit geschenkt, da sie langweilig scheinen. So verhält es sich auch bei der Datensicherheit und dem Datenschutz. Hier bildet die Datenklassifizierung die Grundlage. Ohne präzise Klassifizierung können sensitive Daten nicht adäquat geschützt werden.

Unternehmen erstellen und bearbeiten täglich Unmengen an Daten. Durch die zunehmende Cloud-Nutzung und die damit einhergehende verstärkte Zusammenarbeit hat sich das Datenwachstum nochmals beschleunigt: Gemäß dem aktuellen SaaS-Datenrisiko-Report haben Unternehmen pro Terrabyte Speicherplatz durchschnittlich mehr als 600.000 Dateien gespeichert. Es liegt auf der Hand, dass nicht alle diese Daten gleich wichtig, sensitiv oder vertraulich sind. So gibt es in jedem Unternehmen Informationen, deren Diebstahl oder Veröffentlichung dramatische Folgen haben könnten. Diese reichen von Bußgeldern über Imageverlust bis hin zum Konkurs, etwa wenn geistiges Eigentum gestohlen wird. Gleichzeitig könnten die meisten der täglich erstellten Daten problemlos veröffentlicht werden, ohne dass sich hieraus ernsthafte Konsequenzen ergeben. Entsprechend muss der Schutz der Daten ihrem Inhalt angepasst werden. Dies gilt vor allem für solche, die einer besonderen Gesetzgebung unterliegen, wie beispielsweise der DSGVO. Hier müssen Sicherheitsverantwortliche nicht nur personenbezogene Daten besonders schützen, sondern auch in der Lage sein, beispielsweise Auskunftsersuche zügig und vollständig zu bearbeiten. Wie können sie aber bestimmte Dateien identifizieren und feststellen, welche Daten welchen Schutz benötigen? Es wird schnell klar, dass nur eine präzise Klassifizierung hierfür die nötige Grundlage bildet.

Angesichts der schieren Menge an Daten ist dies manuell schlicht und ergreifend nicht machbar, zumal Daten nicht statisch sind, sondern kontinuierlich bearbeitet und verändert werden. Hinzu kommt, dass diese Art der Klassifizierung nicht nur sehr zeitaufwändig, sondern vor allem fehleranfällig ist. Entsprechend führt kein Weg an einer Automatisierung dieser Prozesse vorbei. Dies entlastet die Mitarbeitenden und sorgt beim Einsatz intelligenter Lösungen auch für hochpräzise Ergebnisse. Worauf kommt es aber bei Automatisierung der Klassifikation an?

Was eine gute automatisierte Klassifizierung ausmacht

Klassifizierung geht über das einfache „Labeln“ der Dateien hinaus. Es reicht auch nicht, Dateien nur zu klassifizieren. Vielmehr benötigen Sicherheitsverantwortliche auch weitere Informationen, um den nötigen Kontext herzustellen, und zu erkennen, wer überhaupt auf die jeweiligen Daten zugreifen kann.

• Reguläre Ausdrücke (RegEx) reichen nicht aus: Im Rahmen der DSGVO-Compliance sehen sich Sicherheitsverantwortliche den unterschiedlichsten Daten gegenübergestellt, die EU-weit zudem sehr heterogen sind. So unterscheiden sich beispielsweise die Nummernschilder, Personalausweis- oder Steuernummern der 28 Mitgliedsstaaten in ihrem Aufbau teilweise gravierend. Mit regulären Ausdrücken (RegEx) kommt man hier nicht weit, da es durch die enorme Bandbreite an alphanumerischen Mustern zu „Kollisionen“ kommen kann. So variieren Pass-Nummern zwischen 8 und 10 Ziffern und können etwa auch fälschlich als Telefonnummern identifiziert werden. RegExes sollten deshalb um Proximity-Matching, negative Schlüsselwörter und algorithmische Verifizierung ergänzt werden, um falsch-positive Ergebnisse zu reduzieren.

• Vordefinierte und eigene Richtlinien: Unternehmen sind kaum in der Lage, für sämtliche gesetzliche Anforderungen angemessene Richtlinien selbst zu erstellen. Hierfür stehen idealerweise Vorlagen zur Verfügung. Dabei ist es jedoch wichtig, dass diese angepasst werden, sobald sich die Gesetzeslage verändert. Mit automatischen Richtlinien-Updates wird so sichergestellt, dass die Datenklassifizierungsergebnisse den neuesten Änderungen der jeweiligen Datenschutzgesetze entsprechen. Gleichzeitig sollten Sicherheitsverantwortliche die Möglichkeit haben, granulare Kennzeichnungsrichtlinien, die den Datenschutzanforderungen des Unternehmens entsprechen, zu erstellen. Wenn sich eine Richtlinie oder der Inhalt einer Datei ändert und so nicht mehr der Richtlinie unterliegt, sollten die Dateien entsprechend automatisch neu gekennzeichnet werden. Nur so bleibt man stets auf dem neuesten Stand.

• Integration mit EDR, DLP und DRM: Durch Integrationen, etwa mit Microsoft Information Protection (MIP), wird sichergestellt, dass die zugewiesenen Labels mit bereits vorhandenen EDR-, DLP- und DRM-Lösungen kompatibel sind und so Datenschutzrichtlinien effektiv durchgesetzt werden können. Dabei sollten die Labels auch dann bestehen bleiben, wenn Dateien das Unternehmen verlassen. Auf diese Weise bleiben vertrauliche Daten auch jenseits der Unternehmensgrenzen geschützt.

• Kontext herstellen: Die Zeiten eines zentralen Datenspeichers sind längst vorbei. Mit der (hybriden) Cloud verfügen Mitarbeitende zunehmend über verschiedene Identitäten mit jeweiligen Berechtigungen. Diese müssen über die unterschiedlichen Cloud-Speicher wie AWS, Box, GitHub, Google Drive, Jira, Okta, Salesforce, Slack oder Zoom korreliert werden. Auf diese Weise können Sicherheitsverantwortliche ihre größten Cloud-Risiken erkennen und priorisieren, ihren Explosionsradius proaktiv reduzieren und schnellere Cloud-übergreifende Untersuchungen durchführen.

• Exposition erkennen: Die Vielzahl an (Cloud-)Datenspeichern führt oftmals auch zu einer übermäßigen Exposition von Dateien – auch solcher, mit sensitivem Inhalt. So sind in einem durchschnittlichen Unternehmen 157.000 sensitive Datensätze durch SaaS-Freigabefunktionen für jeden im Internet zugänglich. Sicherheitsverantwortliche müssen erkennen können, welche sensitiven Daten für zu viele Personen zugänglich sind, und die Nutzung überwachen, um so das Risiko der SaaS-Daten schnell und deutlich zu reduzieren.

Insbesondere die letzten beiden Punkte machen deutlich, dass die effektive und präzise Klassifizierung der Ausgangspunkt einer umfassenden Datensicherheitsstrategie ist. Anstatt sich auf den Schutz des sich immer stärker auflösenden Perimeters oder die User zu konzentrieren, ist es wesentlich sinnvoller, die Daten ins Zentrum der Sicherheitsstrategie zu stellen. Zumal diese in aller Regel – nach den eigenen Mitarbeitenden – das wertvollste Gut von Unternehmen darstellen und somit das Hauptziel von Cyberkriminellen sind.

Über den Autor: Michael Scheffler ist Country Manager DACH von Varonis Systems.

(ID:49439713)