Gefahren der Datensicherheit

Risiken der Datensicherheit

Untersuchung der größten Risiken für die Datensicherheit. Höchste Gefährdung der Datensicherheit von aussen Wer die kritischen Daten des Unternehmens nicht kennt oder richtig einschätzt, riskiert, dass sie nicht ausreichend abgesichert sind. Entsprechend stellt er fest, dass die eigenen Angestellten 36% der Dateneinbrüche ausmachen, was den grössten Teil der Daten versehentlich verursacht. "Datensicherheit: Die grösste Gefährdung kommt von den Mitarbeitenden im Unternehmen" - so lautet der Artikel, den ich kürzlich mit einer IT-Sicherheitsgruppe im XING-Business-Netzwerk veröffentlicht habe.

Ich zitiere in dem von mir zitierten Bericht in PCWorld, nach dem laut einer Forrester-Studie der größte Teil (36%) der Dateneinbrüche durch eigene Angestellte verursacht wird - ungewollt, teilweise aus Unkenntnis, teilweise aus Unkenntnis über die Wichtigkeit der gesammelten Zeitdaten. Aus diesem Grund präsentiert der Aufsatz der PCWorld einen ganzheitlichen Lösungsansatz mit dem "Data Control Framework", um unternehmenskritische Informationen von Grund auf zu schonen.

Weil, wenn das Untenehmen und seine Angestellten die kritischen Informationen nicht wissen und nicht wissen, wie man sie richtig klassifiziert, können sie sie auch nicht beschützen. Deshalb gliedert das Datenkontroll-Framework die Maßnahmenpakete in 3 Abschnitte: Datenklassifizierung (welche Angaben haben wir, welche sind kritisch?), Datenauswertung (wer hat Zugang zu den Angaben und wo werden sie verwendet?) und schliesslich Datenschutzvorkehrungen und Abwehrmassnahmen (welche organisationstechnischen Massnahmen müssen wir zum Schutz der Angaben treffen?).

Für die evangelischen Missionare sind die Mitarbeitenden keine "Bedrohung", sondern ein Verbündeter für die Datensicherheit im Unter-nehmen. Darüber hinaus rücken sie sogar die Mitarbeitenden in den Fokus, wenn es darum geht, wirksame Massnahmen zum Datenschutz durchzusetzen. Es hat das Ziel, die Mitarbeitenden durch angemessene Sicherheitsbewusstseins- und Trainingsprogramme zu fördern, soweit sie selbst im Interesse des Betriebes angemessene Sicherheitsvorkehrungen und -massnahmen treffen oder nicht treffen.

Die Agnostik hingegen hält die Ausbildung und Einbindung der Beschäftigten zur Sicherung einer dauerhaften Datensicherheit für wesentlich, fordert aber mehr Steuerung, Regulierung und Regulierung im Falle von Verletzungen. Wesentlich entscheidender ist jedoch, dass die IT-Sicherheitsbeauftragten die organisatorische und technische Grundlage dafür legen, dass sich die Mitarbeitenden überhaupt nicht lax mit der Datensicherheit auseinandersetzen müssen.

Auf einen Beitrag im Blog des Hacksurfers, der einen ganz anderen Weg beschreibt: "People-Centric-Security". Im Wesentlichen wird nicht mehr, sondern weniger (seitens des Unternehmens) geregelt und gesteuert und mehr Verantwortlichkeit auf die Mitarbeitenden umgelegt. Dahinter steht die überzeugende Vorstellung, dass die Mitarbeitenden, wenn sie mehr Eigenverantwortung erhalten, auch mehr und besser selbst dafür sorgen.

Das Beispiel einer sehr belebten Straßenkreuzung in der britischen Metropole Poynton, wo es immer wieder zu Verkehrsunfällen kam: Nachdem alle Ampelanlagen, Schilder und Straßenmarkierungen beseitigt wurden und alle Straßenbenutzer selbst für ihre eigene Verantwortung für die Gewährleistung der Verkehrssicherheit sorgten, wurde die Anzahl der Verkehrsunfälle in diesem Gebiet dramatisch reduziert.

Diese Herangehensweise lenkt die Aufmerksamkeit auf ein weiteres Problem, das oft vergessen wird: "Was uns zurück ins Camp der Sicherheits-Agnostiker gebracht hätte und den oben geschilderten Weg mit dem Datenkontroll-Framework wieder aufnehmen sollte. Ein zentraler Bestandteil dieses Vorgehens ist der Datenverlust oder die Verhinderung von Datenlecks (DLP).

Dabei wird der Datenstrom im ganzen Unternehmensnetz an festgelegten Ausspeisepunkten kontrolliert und - einfach gesagt - alarmiert, wenn wichtige Informationen das Unternehmensnetz unberechtigt verlässt. Einziges Hindernis bei traditionellen DLP-Methoden ist, dass sie der Inhaltsanalyse an den Grenzflächen zur Außenwelt auf Dauer unterworfen sind.

Einerseits müssen sie in der Lage sein, wichtige Daten zuverlässig zu erfassen, andererseits müssen sie die verschiedenen Interfaces zu den Ein- und Ausspeisepunkten im Unternehmensnetz wirksam kontrollieren können. Damit ist der Versuch, wirksame Datenkontroll-Framework-Ansätze in Betrieben mit konventionellen DLP-Methoden zu implementieren, recht hoch. Statische Datenverlustprävention, kurz: S-DLP.

Das Hauptmerkmal dieser zum Patent angemeldete Vorgehensweise in der CodeProfiler Security -Software ist, dass unternehmenskritische Firmendaten in SAP-Anwendungen zuverlässig an der Entstehungsstelle erkannt werden, bevor sie unberechtigte Personen und damit auch die Schnittstelle zur Aussenwelt überhaupt erreicht. Ein Sicherheitsevangelist kommentierte meinen oben genannten Beitrag von XING für den anderen Teil der wichtigen Angaben und Information außerhalb der SAP-Welt wie folgt und gab daher - meiner Meinung nach - einen Rat: "Sie sollten Ihre Angestellten als Alliierte betrachten, damit sie Sie (oder weniger) nicht gefährden".