Mobile-Menu

Transparenz als Voraussetzung für angemessene IT-Sicherheit Was Datenklassifikation leisten kann und soll

Autor / Redakteur: Daniele Fiebig* / Ulrike Ostler

Eine Studie des Ponemon Institute „The State of Data Centric Security“ belegt, dass Unternehmen häufig nicht wissen, wo ihre sensiblen Unternehmensdaten gespeichert werden, welchen Schutzbedarf diese Daten besitzen und wie diese Daten ausgetauscht werden. Eine Datenklassifizierung ändert das.

Anbieter zum Thema

Arvato Systems
SEPPmail - Deutschland GmbH
Keeper Security EMEA Ltd.
Dr. Daniele Fiebig
The Bristol Group Deutschland GmbH
Eine Klassifizierung von Daten hilft, wertvolle Daten zu schützen. Ein passenden Tool vereinfacht die Einordnung; die Autorin Daniele Fiebig stellt exemplarsich ein passendes vor.
Eine Klassifizierung von Daten hilft, wertvolle Daten zu schützen. Ein passenden Tool vereinfacht die Einordnung; die Autorin Daniele Fiebig stellt exemplarsich ein passendes vor.
(Bild: VRD / Fotolia.com)

Die zu verarbeitenden Datenmengen nehmen in allen Branchen rasant zu. Daten werden versandt, bearbeitet, vervielfältigt und archiviert. Was im gleichen Zeitraum abnimmt, ist die Transparenz über die Informationsmengen und ihren Wert für das Geschäft. Das heißt, täglich verlieren die Unternehmen mehr und mehr die Kontrolle über die Datenflut.

Der Schutz vor dem Verlust sensibler geschäftlicher Daten ist jedoch häufig geschäftsentscheidend. Denn effizientes Arbeiten gründet sich auf ein angepasstes und sicheres Dokumenten- beziehungsweise Informations-Management und angemessene Schutzmechanismen.

Die Bristol Group Deutschland GmbH etwa konzipiert und realisiert Sicherheitsarchitekturen und unterstützt damit das effektive und sichere Management großer Datenmengen. Eine Datenklassifizierungs-Software wie „IQProtector“ von Secure Islands Technologies verhilft zur den Schutz der Daten zu effektivieren.

Soll und Muss bei Tools

Denn eine Datenklassifizierung ermöglicht das erweiterte Suchen sowie schnellen Datenanalysen. Weiterhin werden das Storage-Management und alle datenverarbeitenden Geschäftsprozesse unterstützt.

Technische Lösungen zum Daten-Management müssen den verschiedensten Anforderungen genügen. Kernanforderungen sind die Datensicherheit, die Compliance hinsichtlich gesetzlichen und unternehmensspezifischen Normen, die Unterstützung der Geschäftsprozesse und die Optimierung der Datenarchivierung.

Dazu müssen die Tools zum Daten-Management verschiedene Funktionen beherrschen wie:

  • offene und editierbare Daten-Klassifizierungs-Werkzeuge
  • Mechanismen zur Verwaltung und Klassifizierung unstrukturierter Daten
  • Datenschutz zum Beispiel Data Leak Prevention (DLP)
  • Storage-Optimierung

Nebeneffekte einer Klassifizierung sind transparente Informationen als Basis für die Schutzbedarfsanalyse, zur Unterstützung der Business Impact Analyse und des Risikomanagements sowie zur Unterstützung des Service Desk.

Die organisatorische Voraussetzung

Als organisatorische Voraussetzung für das Daten-Management müssen Unternehmen ein Datenklassifizierungsschema mit verschiedenen Schutzklassen erstellen. Jeder Datei wird eine Schutzklasse zugeordnet. Damit erhält sie verbindliche Vorgaben zur Identifikation und Informationen hinsichtlich

  • Schutzbedarf
  • Ablage
  • Berechtigung und Zugriff
  • Weitergabe und Vervielfältigung
  • Auftragsdatenverarbeitung und Mandantenfähigkeit
  • Verfügbarkeit
  • Vernichtung

Die Einführung einer Klassifizierungslösung tangiert alle Unternehmensbereiche.
Die Einführung einer Klassifizierungslösung tangiert alle Unternehmensbereiche.
(Bild: Daniele Fiebig)

Regelungen für die Datenklassifizierung sollten Unternehmen in der Datenklassifizierungs-Richtlinie fixieren oder als Teil der IT-Sicherheits-Policy definieren. Weiterhin besteht die Möglichkeit, die vorhandene Dokumenten-Richtlinie um Schutzstufen für Dokumente bzw. einzelne Schutzklassen zu erweitern.

Die Anzahl der erforderlichen Klassen ist unternehmensabhängig. Jedoch sollten nur wirklich benötigte Klassen definiert werden. Die Festlegung der Klassifizierung muss immer im geschäftlichen Kontext erfolgen.

Beispiele für Klassifizierungsschemata:

  • BSI-Standard 100-2 „IT-Grundschutz Vorgehensweise“, Kapitel 4.3 „Schutzbedarfsfeststellung (normal, hoch, sehr hoch) - Maßstab für die Datensicherheit ergibt sich durch die Klassifizierung der genutzten Daten nach den Schadenspotentialen.
  • Stufenmodelle der Datenschutzbeauftragten der Länder (Stufe A bis E¸ Quelle: Schutzstufenkonzept des LDSB Niedersachsen)
  • Unternehmensrichtlinien mit selbst definierten Schutzklassen (zum Beispiel: nicht klassifiziert, öffentlich, intern, vertraulich, geheim, Verschlusssache, nur für den Dienstgebrauch)

Die Schutzklassen müssen allen Mitarbeitern bekanntgegeben und in der täglichen Arbeit verankert werden. Das Heißt: Die Klassifizierung muss in Geschäfts- und Service-Management-Prozesse integriert werden, damit sie effektiv genutzt werden kann.

Die technische Voraussetzung

Klassifizierungslösungen nutzen verschiedene Data Discovery Methoden, um Dateien zu identifizieren, wie Keywords, Wörterbücher, musterbasierte Methoden, Abgleich mit Beispieldokumenten und anwendungsspezifische Attribute. Dabei basiert die Klassifizierung grundsätzlich auf klassischen Datei-Attributen.

Ohne Klassifizierung sieht alles gleich nach Schrott oder nach Wertvollem aus. Ein Wiederfinden scheint unmöglich.
Ohne Klassifizierung sieht alles gleich nach Schrott oder nach Wertvollem aus. Ein Wiederfinden scheint unmöglich.
(Bild: darknightsky/ Fotolia.com)

Darüber hinaus können neue Klassifizierungs-Attribute durch die Nutzung weiterer Metadaten erstellt werden. Die zusätzlichen Kopfdaten werden im Alternate Data Stream von NTFS gespeichert.

Bei Microsoft ist die „File Classification Infrastructure“ (FCI) die technische Grundlage für die Datenklassifizierung, da sie die Definition eigener Klassifizierungsschemata ermöglicht. Zugriffsrechte können einer Datei mit Hilfe von vordefinierten Metadaten mitgegeben werden. Die Funktion „Dynamic Access Control“ steht ab „Windows Server 2012“ zur Verfügung.

Die Kombi aus Attributen und Inhalten

Der Trend bei den marktüblichen Lösungen geht zur Kombination attributbasierter und inhaltsbasierter Verfahren für die automatisierte Klassifizierung von Dateien und zur automatischen Durchsetzung von vordefinierten Schutzmaßnahmen, zum Beispiel Zugriffsberechtigungen, Lese- und Schreibrecht, Verschlüsselung, Zertifizierung und Signaturen, Schwärzung oder Bereinigung.

Die Bedeutung der Datenklassifizierung für die Erhöhung der Transparenz der Informationsflüsse und die Verbesserung der Kontrolle über die Datenflut nimmt täglich zu.

Die Einführung einer Klassifizierungssoftware ist ein Projekt, welches alle Unternehmensbereiche tangiert. Das Ziel der Planung ist neben einem zugeschnittenen Klassifizierungsschema, die Wahl einer angemessenen Klassifizierungslösung und die stufenweise Integration des Systems in die Geschäftsprozesse.

* Dr. Daniele Fiebig ist Senior Security Consultant bei der Bristol Group Deutschland GmbH.

(ID:43056756)

Weiterführende Inhalte