Aufbau eines effektiven Programms zur Verhinderung von Datenverlust

Daten sind heute das Lebenselixier jeder Organisation, und daher ist Datenverlust ein drängendes Anliegen für IT-Teams und die Führungsebene gleichermaßen. Datenverlust kann eine Vielzahl von Ursachen haben, von Festplattenausfällen bis hin zu data leaks durch bösartige Insider oder externe Hacker. Die Folgen eines Datenverlusts können ebenfalls sehr unterschiedlich sein. Wichtige Geschäftsprozesse können leicht gestört werden, und wenn ein kritisches Dokument in die Hände eines Konkurrenten gelangt, kann dies verheerend sein. Die Organisation kann auch mit Compliance-Strafen und Verlust des Kundenvertrauens konfrontiert werden. All diese Faktoren können den Umsatz schädigen, bis hin zum Punkt, dass das Unternehmen aus dem Geschäft gedrängt wird.

Um diese Risiken zu minimieren, muss jede Organisation einen data loss prevention (DLP) Plan haben, der kritische Daten schützt.

Entwicklung eines effektiven Programms zur Verhinderung von Datenverlust

Effektive data loss prevention erfordert einen umfassenden Ansatz. Es ist wichtig, der Versuchung zu widerstehen, nur ein einzelnes Softwareprogramm auszuwählen und zu denken, dass man damit genug getan hat. Die Daten, die Sie schützen, sind zu wichtig und die möglichen Folgen ihres Verlusts sind zu schwerwiegend. Hier sind die Schritte, die bei der Einrichtung eines wirklich effektiven DLP-Programms zu beachten sind.

Schritt 1: Holen Sie sich die Zustimmung der Geschäftsleitung.

Zuerst müssen Sie die Zustimmung der Führungsebene einholen, einschließlich der Leiter aller Abteilungen und Bereiche, die betroffen sein könnten. Ihre Unterstützung ist für den Erfolg des Programms notwendig.

Schritt 2: Identifizieren und klassifizieren Sie Ihre kritischen Daten.

Die Unterscheidung von kritischen Daten und nicht-kritischen Daten ist vielleicht der wichtigste Schritt bei der Erstellung eines Programms zur Verhinderung von Datenverlusten. Hier sind einige der Datentypen, die Sie möglicherweise identifizieren müssen:

• Geistiges Eigentum (IP)
• Rechtsdokumente
• Strategische Planungsdokumente
• Verkaufsdaten
• Kundeninformation
• Persönlich identifizierbare Informationen (PII)
• Marketingdaten und Prognosen
• Dokumentation der Operationen
• Finanzunterlagen
• Daten der Personalabteilung
• Regierungsdaten
• Passwörter und andere IT-Daten
• Daten, die jeglichen Compliance-Vorschriften unterliegen

Kennzeichnen Sie jedes kritische Datenelement mit einer digitalen Signatur, die seine Klassifizierungen angibt, damit Ihre verschiedenen Softwarelösungen es angemessen verarbeiten können.

Schritt 3: Bedrohungen und Risiken identifizieren.

Modellieren Sie die Aktivitäten rund um jede Art von kritischen Daten, einschließlich wer darauf zugreift und was damit gemacht wird. Identifizieren Sie jegliche Bedrohungen für die Sicherheit jedes einzelnen Datenelements. Welche Schwachstellen gibt es in jedem Punkt des Lebenszyklus der Daten? Wer ist verantwortlich für die sichere Nutzung der Daten? Haben sie die Werkzeuge, die sie benötigen, um sie zu schützen?

Erläutern Sie, was passieren könnte, wenn die Daten verloren gehen. Berücksichtigen Sie dabei sowohl die direkten Auswirkungen auf das Geschäft als auch die Strafen bei Nichteinhaltung von Vorschriften.

Schritt 4: Definieren Sie Ihre Ziele.

Legen Sie fest, welche Ziele Sie mit dem DLP-Programm erreichen möchten, wie zum Beispiel:

• Risiken identifizieren und Möglichkeiten zu deren Bewältigung finden
• Schutz von Daten in Übertragung, Nutzung und Speicherung
• Daten verfügbar halten, ohne das Risiko zu erhöhen
• Standardisierung von Verfahren für Sicherheit, Datenschutz und Compliance

Schritt 5: Erstellen Sie schrittweise Verfahren.

Richten Sie Prozesse und Richtlinien für die Speicherung und Handhabung kritischer Daten ein, sowie detaillierte Reaktionspläne für Datenlecks und andere Sicherheitsvorfälle. Die folgende Grafik bietet einige bewährte best practices für den sicheren Umgang mit kritischen und sensiblen Daten; stellen Sie sicher, dass Sie Verfahren zur Implementierung jeder einzelnen davon erstellen.

Quelle: https://www.isaca.org/Journal/archives/2018/Volume-1/Pages/data-loss-prevention-next-steps.aspx

Schritt 6: Aktuelle und verfügbare Systeme bewerten.

Überlegen Sie, ob Ihre bestehende Hardware und Software Ihre DLP-Ziele erfüllen können. Bedenken Sie, dass die meisten Datenschutzsysteme Daten nicht genau und konsistent klassifizieren können. Wenn Ihre aktuellen Systeme unzureichend sind, bewerten Sie andere Lösungen, wobei Sie sowohl Ihre Ziele als auch Ihre Risiko-/Kostenanalyse im Blick behalten sollten. Welche Funktionalitäten benötigen Sie und wie viel sind sie Ihnen wert?

Schritt 7: Bilden Sie alle aus.

Schaffen Sie innerhalb der Organisation Bewusstsein für die Bedeutung des DLP-Programms. Beziehen Sie Informationen ein über:

• Was als kritische Daten gilt
• Wie kritische Daten in bestimmten Situationen, einschließlich E-Mail- und Internetnutzung, gehandhabt werden sollten
• Welchen Gesetzen das Unternehmen entsprechen muss

Passen Sie das Training an die Bedürfnisse der verschiedenen Mitarbeitergruppen an und wiederholen Sie es regelmäßig. Stellen Sie sicher, dass Sie Ihre Benutzer regelmäßig testen und bei Personen, die die richtigen Verfahren nicht befolgen, nachhaken.

Vorteile eines starken Programms zur Verhinderung von Datenverlust

Je besser Ihr Programm zur Verhinderung von Datenverlusten ist, desto sicherer werden Ihre Daten sein. Zusätzlich werden Sie besser auf Compliance-Audits vorbereitet sein, einschließlich jener, die sich auf die Richtlinien zur Verhinderung von Datenverlusten des National Institute of Standards and Technology (NIST) für Bundesbehörden beziehen. NIST DLP-Programme beinhalten das Cybersecurity Framework, welches Empfehlungen umfasst, die die Einhaltung anderer regulatorischer Systeme, wie FISMA und HIPAA, unterstützen.

Das Fundament von DLP: automatisierte Datenklassifizierung

Der wichtigste Teil eines jeden Programms zur Verhinderung von Datenverlust ist die Netwrix Data Classification. Wenn Sie nicht wissen, welche Arten von Daten Sie haben, können Sie diese Daten nicht angemessen schützen.

Netwrix Data Classification liefert die genaue, konsistente und flexible Datenklassifizierung, die Sie in Ihrer lokalen, Cloud- oder Hybrid-IT-Umgebung benötigen.