10 Best Practices, die für Ihre Data Loss Prevention (DLP)-Richtlinie unerlässlich sind

Jede Organisation, unabhängig von ihrer Größe oder Branche, benötigt eine Strategie zur Verhinderung von Datenverlust (DLP), um zu verhindern, dass Daten unsachgemäß zugegriffen oder gelöscht werden. Die Strategie sollte sich auf den Schutz wertvoller, sensibler oder regulierter Daten konzentrieren, wie zum Beispiel medizinische Unterlagen, Finanzdaten und geistiges Eigentum. DLP umfasst typischerweise sowohl Technologien als auch Richtlinien. Beispielsweise gehören gängige Techniken dazu, Benutzerarbeitsstationen so zu konfigurieren, dass die Verwendung von USB-Geräten blockiert wird, und formelle Richtlinien bezüglich des Teilens vertraulicher Daten per E-Mail zu haben.

Für einen umfassenderen Schutz setzen viele Organisationen ein System zur Verhinderung von Datenverlust ein, das ihnen helfen kann:

• Steuern Sie die Berechtigungen, um auf Informationsressourcen zuzugreifen
• Überwachen Sie erfolgreiche und fehlgeschlagene Aktivitäten auf Arbeitsstationen, Servern und Netzwerken, einschließlich der Personen, die Dateien lesen oder kopieren oder Bildschirmfotos machen
• Auditieren Sie Informationsflüsse innerhalb und außerhalb der Organisation, einschließlich derer von entfernten Standorten unter Verwendung von Laptops und anderen mobilen Geräten
• Kontrollieren Sie die Anzahl der Informationsübertragungskanäle (wie die Verwendung von USB-Sticks und Instant-Messaging-Apps), einschließlich der Abfangung und Blockierung ausgehender Datenströme

Erstellung einer Richtlinie zur Verhinderung von Datenverlust

Um Ihre Richtlinie zur Verhinderung von Datenverlust zu erstellen, müssen Sie das erforderliche Schutzniveau bestimmen. Zum Beispiel, ist Ihr Ziel, unbefugte Zugriffsversuche zu erkennen oder alle Benutzeraktionen zu überwachen?

Grundparameter

Hier sind die grundlegenden Parameter, die Sie definieren sollten:

• Welche organisatorischen Daten müssen geschützt werden. Ermitteln Sie genau, welche Inhalte Schutz benötigen. Beispiele hierfür sind Sozialversicherungsnummern (SSNs), Kreditkarteninformationen, Geschäftsgeheimnisse, Baupläne, Finanzdaten und persönlich identifizierbare Informationen (PII). Stellen Sie sicher, dass Sie berücksichtigen, ob Ihre Organisation einer Compliance-Richtlinie unterliegt; falls ja, müssen Sie alle Daten schützen, die in der Richtlinienvorlage beschrieben sind.
• Wo sich diese Daten befinden. Um Daten zu schützen, müssen Sie alle Orte identifizieren, an denen sie gespeichert sein können, einschließlich gemeinsam genutzter Netzwerklaufwerke, Datenbanken, Cloud-Speicher, E-Mails, Instant-Messaging-Apps und Festplatten. Wenn Mitarbeiter ihre eigenen Geräte verwenden dürfen, um auf Ihre IT-Umgebung zuzugreifen, sollten auch die Daten auf diesen Geräten geschützt werden.
• Bedingungen für den Zugriff auf verschiedene Datentypen. Verschiedene Datentypen erfordern unterschiedliche Schutzniveaus. Zum Beispiel teilen Organisationen einige Daten frei mit der Öffentlichkeit, während andere Daten streng geheim sind und nur einer ausgewählten Gruppe von Personen zur Verfügung stehen sollten. Digitale Tags und Wasserzeichen helfen Ihnen dabei, jedem Datensatz den angemessenen Zugriff zuzuweisen.
• Maßnahmen bei Informationssicherheitsvorfällen Geben Sie die Schritte an, die bei der Erkennung verdächtiger Aktivitäten zu unternehmen sind und wer für jeden davon verantwortlich ist. Denken Sie daran, dass DLP-Lösungen häufig automatisch reagieren können, beispielsweise durch Blockieren der Operation oder Senden einer Benachrichtigung an den Sicherheitsdienst.
• Welche Informationen sollen archiviert werden und wann. Ihre DLP-Richtlinie sollte Regeln für die Archivierung von Daten festlegen, wie zum Beispiel Ihren Audit-Trail und Informationen über IT-Sicherheitsvorfälle. Denken Sie daran, dass Sie Ihr Archivsystem sowohl gegen externe Angreifer als auch Insider-Bedrohungen absichern müssen, wie zum Beispiel einen Systemadministrator, der Einträge im Archiv verändern könnte.
• Bedrohung Ihre Richtlinie sollte mögliche Szenarien für Datenlecks berücksichtigen und sowohl die Wahrscheinlichkeit ihres Auftretens als auch den möglichen entstehenden Schaden bewerten.

Datenzustände

Bei der Gestaltung Ihrer Richtlinie denken Sie daran, Daten in all ihren Formen zu berücksichtigen:

• Daten im Ruhezustand — Informationen, die in Datenbanken, Cloud-Speichern, Computern, Laptops, mobilen Geräten und so weiter gespeichert sind
• Daten im Transfer — Daten, die zwischen Parteien übertragen werden (beispielsweise während Zahlungstransaktionen)
• Daten im Einsatz — Daten, mit denen Benutzer aktiv arbeiten und die möglicherweise geändert werden

Wenden Sie dieses Wissen an, um die Datenflüsse in Ihrer Organisation zu definieren und die erlaubten Übertragungswege für verschiedene Arten von Dokumenten festzulegen. Erstellen Sie Regeln, die die Bedingungen für die Verarbeitung, Änderung, Kopierung, Druck und andere Nutzung dieser Daten spezifizieren. Stellen Sie sicher, dass Sie Geschäftsprozesse einbeziehen, die innerhalb von Anwendungen und Programmen durchgeführt werden, die auf vertrauliche Daten zugreifen.

Rechtliche und damit verbundene Bedenken

Stellen Sie sicher, dass Sie die potenziellen rechtlichen Auswirkungen Ihrer DLP-Richtlinie bewerten. Insbesondere könnte das Aufzeichnen von Mitarbeiteraktionen auf Video als Verletzung ihrer verfassungsmäßigen Rechte angesehen werden, und falsche Alarme Ihres DLP-Systems können Konflikte mit Mitarbeitern verursachen, deren legitime Handlungen als verdächtig markiert werden. Optionen zur Behandlung dieser Bedenken könnten die Änderung von Arbeitsverträgen und die Schulung der Mitarbeiter über Sicherheitsrichtlinien umfassen.

Wie DLP-Lösungen funktionieren

Sobald Sie eine DLP-Richtlinie auf Papier erstellt haben, können Sie sich auf die Konfiguration entsprechender Richtlinien in Ihrem DLP-System konzentrieren. Typischerweise verfügt ein DLP-System über einen Satz spezifischer Regeln, die vom Programm strikt befolgt werden. Jede Regel besteht aus einer Bedingung und der Aktion, die ergriffen wird, wenn diese Bedingung erfüllt ist. Die Regeln sind nach Priorität geordnet, und das Programm verarbeitet sie in dieser Reihenfolge. Einige Lösungen beinhalten maschinelles Lernen-Technologien, die Regeln generieren oder verbessern.

Zum Beispiel könnte der Prozess folgendermaßen ablaufen:

• Eine Regel identifiziert einen Vorfall (zum Beispiel, wenn ein Benutzer versucht, sensible Informationen über einen Instant Messenger zu senden).
• Die Lösung verhindert, dass die Nachricht gesendet wird.
• Die Lösung erstellt einen Bericht mit Details zum Vorfall, einschließlich des beteiligten Benutzers, und sendet ihn an eine bestimmte E-Mail-Adresse (wie zum Beispiel an den IT-Sicherheitsbeauftragten) oder speichert ihn auf einem bestimmten Laufwerk, wie in Ihrer DLP-Richtlinie festgelegt.

Erkennungstechniken

Die Kernfunktionalität eines DLP-Systems besteht darin, vertrauliche Informationen in einem Datenstrom zu erkennen. Verschiedene Systeme verwenden unterschiedliche Methoden, einschließlich der folgenden:

• Erstellung digitaler Fingerabdrücke von geschützten Informationen
• Informationen mit Tags versehen
• Suche nach bestimmten Schlüsselwörtern und regulären Ausdrücken, die häufig in verschiedenen Arten von sensiblen Dokumenten zu finden sind (wie Verträge oder Finanzberichte)
• Mithilfe der Textanalyse

Natürlich ist Genauigkeit entscheidend. Falsch-Negative — das Übersehen von Informationen, die tatsächlich sensibel sind — können zu unentdeckten Lecks führen. Falsch-Positive — das Alarmieren bei Daten, die nicht wirklich sensibel sind — verschwendet die Ressourcen des Sicherheitsteams und führt zu Konflikten mit fälschlicherweise des unangemessenen Verhaltens beschuldigten Benutzern. Daher sollten Sie nach einer DLP-Lösung suchen, die sowohl Falsch-Negative als auch Falsch-Positive minimiert.

Best Practices für die Verhinderung von Datenverlust

Data Loss Prevention (DLP) und Auditing-Techniken sollten eingesetzt werden, um kontinuierlich die Richtlinien zur Datennutzung durchzusetzen. Ziel ist es, zu wissen, wie Daten tatsächlich genutzt werden, wohin sie gehen oder gegangen sind und ob dies den Compliance-Richtlinien wie GDPR entspricht oder nicht. Wenn ein verdächtiges Ereignis erkannt wird, sollten Echtzeit-Benachrichtigungen an Administratoren gesendet werden, damit sie ermitteln können. Verstöße sollten die in der Data Security Policy definierten Konsequenzen nach sich ziehen.

Die folgenden Best Practices zur Verhinderung von Datenverlust helfen Ihnen dabei, Ihre sensiblen Daten vor internen und externen Bedrohungen zu schützen:

1. Identifizieren und klassifizieren Sie sensible Daten.

Um Daten effektiv zu schützen, müssen Sie genau wissen, welche Datentypen Sie haben. Technologie zur Datenerkennung wird Ihre Datenrepositories scannen und über die Ergebnisse berichten, was Ihnen Einblick in die Inhalte gibt, die Sie schützen müssen. Datenerkennungsmotoren verwenden normalerweise regular expressions für ihre Suchvorgänge; sie sind sehr flexibel, aber ziemlich kompliziert zu erstellen und zu optimieren.

Die Verwendung von Datenentdeckung und Data Classification-Technologie hilft Ihnen dabei, den Zugriff auf Benutzerdaten zu kontrollieren und das Speichern sensibler Daten an unsicheren Orten zu vermeiden, wodurch das Risiko von Datenlecks und Datenverlust verringert wird. Alle kritischen oder sensiblen Daten sollten deutlich mit einer digitalen Signatur gekennzeichnet sein, die ihre Klassifizierung anzeigt, damit Sie sie entsprechend ihrem Wert für die Organisation schützen können. Drittanbieter-Tools wie Netwrix Data Classification können die Datenentdeckung und -klassifizierung erleichtern und genauer machen.

Wenn Daten erstellt, geändert, gespeichert oder übertragen werden, kann die Klassifizierung aktualisiert werden. Es sollten jedoch Kontrollen vorhanden sein, um zu verhindern, dass Benutzer die Klassifizierungsebenen fälschen. Zum Beispiel sollten nur privilegierte Benutzer in der Lage sein, die Klassifizierung von Daten herabzustufen.

Befolgen Sie diese Richtlinien zur Erstellung einer starken Netwrix Data Classification-Richtlinie. Und vergessen Sie nicht, die Datenentdeckung und -klassifizierung als Teil Ihres IT-Risikobewertungs-Prozesses durchzuführen.

Zugriffskontrolllisten

Eine Zugriffskontrollliste (ACL) ist eine Liste, die festlegt, wer auf welche Ressource zugreifen kann und auf welchem Niveau. Sie kann ein interner Bestandteil eines Betriebssystems oder einer Anwendung sein. Zum Beispiel könnte eine benutzerdefinierte Anwendung eine ACL haben, die auflistet, welche Benutzer welche Berechtigungen in diesem System haben.

Zugriffssteuerungslisten können auf Whitelists oder Blacklists basieren. Eine Whitelist ist eine Liste von erlaubten Elementen, wie zum Beispiel eine Liste von Webseiten, die Benutzer mit Firmencomputern besuchen dürfen, oder eine Liste von Drittanbieter-Softwarelösungen, die auf Firmencomputern installiert werden dürfen. Blacklists sind Listen von verbotenen Dingen, wie bestimmte Webseiten, die Mitarbeiter nicht besuchen dürfen, oder Software, die auf Kundencomputern nicht installiert werden darf.

Whitelists werden häufiger verwendet und sie werden auf Dateisystemebene konfiguriert. Zum Beispiel können Sie in Microsoft Windows NTFS-Berechtigungen konfigurieren und NTFS-Zugriffskontrolllisten daraus erstellen. Weitere Informationen zur korrekten Konfiguration von NTFS-Berechtigungen finden Sie in dieser Liste der Best Practices für das Management von NTFS-Berechtigungen. Denken Sie daran, dass Zugriffskontrollen in jeder Anwendung implementiert werden sollten, die rollenbasierte Zugriffskontrolle (RBAC) hat; Beispiele hierfür sind Active Directory-Gruppen und Delegation.

2. Verwenden Sie Datenverschlüsselung.

Alle kritischen Geschäftsdaten sollten im Ruhezustand oder während der Übertragung verschlüsselt werden. Tragbare Geräte sollten verschlüsselte Festplattenlösungen verwenden, wenn sie wichtige Daten enthalten werden.

Encrypting the hard drives of computers and laptops will help avoid the loss of critical information even if attacks gain access to the device. The most basic way to encrypt data on your Windows systems is Encrypting File System (EFS) technology. When an authorized user opens an encrypted file, EFS decrypts the file in the background and provides an unencrypted copy to the application. Authorized users can view or modify the file, and EFS saves changes transparently as encrypted data. But unauthorized users cannot view a file’s content even if they have full access to the device; they will receive an “Access denied” error, preventing a data breach.

Eine weitere Verschlüsselungstechnologie von Microsoft ist BitLocker. BitLocker ergänzt EFS, indem es eine zusätzliche Schutzebene für auf Windows-Geräten gespeicherte Daten bietet. BitLocker schützt Endgeräte, die verloren gehen oder gestohlen werden, vor Datendiebstahl oder -exposition und bietet eine sichere Datenentsorgung, wenn Sie ein Gerät außer Betrieb nehmen.

Hardware-basierte Verschlüsselung

Neben der softwarebasierten Verschlüsselung kann auch eine hardwarebasierte Verschlüsselung angewendet werden. Innerhalb der erweiterten Konfigurationseinstellungen einiger BIOS-Konfigurationsmenüs können Sie wählen, ob ein Trusted Platform Module (TPM) aktiviert oder deaktiviert werden soll, welches ein Chip ist, der kryptografische Schlüssel, Passwörter oder Zertifikate speichern kann. Ein TPM kann bei der Generierung von Hash-Schlüsseln unterstützen und kann Geräte außer PCs schützen, wie zum Beispiel Smartphones. Es kann Werte generieren, die mit der vollständigen Festplattenverschlüsselung verwendet werden, wie bei BitLocker. Ein TPM-Chip kann auf dem Motherboard installiert werden.

3. Sichern Sie Ihre Systeme ab.

Überall dort, wo sensible Daten vorübergehend gespeichert werden könnten, sollte auf der Grundlage der Arten von Informationen, zu denen das System potenziell Zugang haben könnte, gesichert werden. Dies schließt alle externen Systeme ein, die über eine Fernverbindung mit erheblichen Privilegien Zugang zum internen Netzwerk erhalten könnten, da ein Netzwerk nur so sicher ist wie sein schwächstes Glied. Die Benutzerfreundlichkeit muss jedoch weiterhin berücksichtigt werden, und es muss ein geeignetes Gleichgewicht zwischen Funktionalität und Sicherheit gefunden werden.

Betriebssystem-Baselining

Der erste Schritt zur Sicherung Ihrer Systeme besteht darin, sicherzustellen, dass die Konfiguration des Betriebssystems so sicher wie möglich ist. Standardmäßig enthalten die meisten Betriebssysteme unnötige Dienste, die Angreifern zusätzliche Angriffsmöglichkeiten bieten. Die einzigen Programme und lauschenden Dienste, die aktiviert sein sollten, sind diejenigen, die für Ihre Mitarbeiter zur Ausführung ihrer Arbeit unerlässlich sind. Wenn etwas keinen geschäftlichen Zweck hat, sollte es deaktiviert werden. Es kann auch vorteilhaft sein, ein sicheres Basis-Image-OS zu erstellen, das für den typischen Mitarbeiter verwendet wird. Wenn jemand zusätzliche Funktionalitäten benötigt, aktivieren Sie diese Dienste oder Programme auf Einzelfallbasis. Windows- und Linux-Betriebssysteme haben jeweils ihre einzigartigen Basis-Konfigurationen.

4. Implementieren Sie eine strenge Patch-Management-Strategie.

Es ist entscheidend, dass alle Betriebssysteme und Anwendungen in Ihrer IT-Umgebung auf dem neuesten Stand sind, um den Datenschutz und die Cybersicherheit zu gewährleisten. Während einige Dinge, wie die Aktualisierung der Signaturen für Antiviren-Tools, automatisiert werden können, müssen Patches für kritische Infrastrukturen gründlich getestet werden, um sicherzustellen, dass keine Funktionalität beeinträchtigt wird und keine Schwachstellen in das System eingeführt werden.

5. Rollen zuweisen.

Definieren Sie klar die Rolle jedes Einzelnen, der an der Strategie zur Verhinderung von Datenverlusten beteiligt ist. Legen Sie fest, wer welche Daten besitzt, welche IT-Sicherheitsbeauftragten für welche Aspekte der Untersuchung von Sicherheitsvorfällen verantwortlich sind und so weiter.

6. Automatisieren Sie so viel wie möglich.

Je mehr DLP-Prozesse automatisiert werden, desto breiter können sie in der gesamten Organisation eingesetzt werden. Manuelle DLP-Prozesse sind von Natur aus begrenzt im Umfang und können nicht skaliert werden, um den Anforderungen außerhalb der kleinsten IT-Umgebungen gerecht zu werden.

7. Verwenden Sie die Anomalieerkennung.

Um abnormales Benutzerverhalten zu identifizieren, ergänzen einige moderne DLP-Lösungen die einfache statistische Analyse und Korrelationsregeln mit maschinellem Lernen und Verhaltensanalytik. Das Erstellen eines Modells des normalen Verhaltens jedes Benutzers und jeder Benutzergruppe ermöglicht eine genauere Erkennung verdächtiger Aktivitäten, die zu Datenlecks führen könnten.

8. Sensibilisieren Sie die Stakeholder.

Es reicht nicht aus, eine DLP-Richtlinie einzuführen. Investieren Sie darin, Stakeholder und Datennutzer über die Richtlinie, deren Bedeutung und die erforderlichen Maßnahmen zum Schutz der Unternehmensdaten aufzuklären.

9. Legen Sie Kennzahlen fest.

Messen Sie die Wirksamkeit Ihrer DLP-Strategie anhand von Kennzahlen wie dem Prozentsatz der Falschpositiven, der Anzahl der Vorfälle und der durchschnittlichen Zeit bis zur Reaktion auf einen Vorfall.

10. Speichern Sie keine unnötigen Daten.

Eine Organisation sollte nur unerlässliche Informationen speichern. Daten, die Sie nicht haben, können nicht verloren gehen.