Insider-Risiko beginnt damit, wer die Daten lesen kann

Insider-Risiko

Sicherheitsteams sehen Insider-Risiken oft als Problem externer Angreifer, doch das stimmt nicht ganz. Insider-Risiko entsteht durch Personen mit legitimen Zugriffsrechten. Es betrifft Mitarbeiter, Auftragnehmer und Administratoren, die sensible Daten im Rahmen ihrer Arbeit sehen oder bearbeiten können, egal ob sie diese missbrauchen oder nicht. Die meisten Gespräche über Insider-Risiken überspringen diese Definition und fokussieren sich direkt auf den böswilligen Mitarbeiter, der Daten beim Verlassen stiehlt. Das ist ein echtes Risiko, aber nicht das häufigste. Häufiger ist der Zugang, der nie hinterfragt wurde: eine Erlaubnis für einen Zweck, die stillschweigend Zugang zu etwas völlig anderem gewährt.

Admins können sensible Daten sehen

Sicherheitsteams verbringen viel Zeit damit, externe Bedrohungen zu modellieren: Phishing, Credential Stuffing und Ransomware-Akteure, die sich seitlich durch ein Netzwerk bewegen. Insider-Risiken erhalten eine andere Art von Aufmerksamkeit, meist im Zusammenhang mit böswilligen oder unachtsamen Mitarbeitern, die auf den falschen Link klicken. Beides ist wichtig. Keines deckt die stillere Variante des Problems ab: Personen, die sensible Daten nur sehen können, weil sie die verwalteten Tools bedienen, ohne dass jemand entschieden hat, dass sie diese Ansicht haben sollten.

Eine Datenklassifizierungsplattform muss Dateisysteme, Postfächer, SharePoint-Seiten und Cloud-Laufwerke scannen, um sensible Inhalte zu finden und zu kennzeichnen. Der Scan-Zugriff muss von vornherein breit angelegt sein; das Tool kann nur das klassifizieren, was es erreichen kann. Das Problem beginnt, wenn Anbieter diesen breiten Zugriff mit der Möglichkeit kombinieren, die Dateien zu öffnen und zu lesen, und ihn dann dem jeweiligen Plattformadministrator übergeben.

Admin-Konten werden nicht geprüft

Fragen Sie die meisten Sicherheitsteams, wer regulierte Kundendaten sehen kann, und sie verweisen auf ihre DLP-Regeln, Zugriffsprüfungen und rollenbasierte Berechtigungen auf dem Dateiserver. Fragen Sie, wer diese Daten über das Klassifizierungstool öffnen kann, das sie scannt, und die Antwort wird schnell unklar.

Superuser- und Administratorrollen sind meist von den Zugriffsprüfungen für reguläre Mitarbeiter ausgenommen. Sie gelten standardmäßig als vertrauenswürdig, was genau der Grund ist, warum sie überprüft werden sollten. Ein Klassifizierungsadministrator muss den Inhalt einer Gesundheitsakte nicht lesen, um zu bestätigen, dass die HIPAA-Taxonomieregel korrekt ausgelöst wurde; er benötigt nur die Bestätigung, dass die Regel ausgelöst wurde. Das sind zwei verschiedene Berechtigungen, doch die meisten Tools bieten nur eine davon.

Dies ist dasselbe Prinzip der minimalen Rechtevergabe, das sonst überall in der Sicherheit gilt, hier angewandt auf ein selten beachtetes Element: das Werkzeug, das über Ihre sensibelsten Daten wacht.

Sicherheitsfilterung

Sicherheitsfilterung, die Praxis, zu begrenzen, was ein Nutzer in einer Suche basierend auf seinen Berechtigungen finden kann, löst die Hälfte des Problems. Sie verhindert, dass ein normaler Mitarbeiter durch eine Suchergebnisdatei stößt, die er nicht sehen sollte. Sie wurde nie entwickelt, um die Admin-Konsole selbst zu steuern, wo jemand mit Plattformzugang den Text-Reiter bei jedem indexierten Dokument öffnen kann, unabhängig davon, was die Sicherheitsfilterung anderen erlaubt zu sehen.

Diese Unterscheidung wird wichtiger, da Vorschriften den Zugriff auf Inhalte genauer regeln, nicht nur den Zugriff auf Metadaten. Prüfer wollen zunehmend wissen, wer die tatsächlichen Inhalte regulierter Dateien lesen kann, über die bloße Bestätigung hinaus, dass eine Datei existiert und wie sie gekennzeichnet ist. „Unsere Administratoren haben weitreichenden Zugriff, weil sie das Tool verwalten müssen“ beantwortet diese Frage nicht, und so entstehen Prüfungsfeststellungen.

Der Zugriff auf Inhalte erfordert eine eigene Berechtigung

Netwrix Data Classification trennt die Möglichkeit, Dokumentinhalte anzusehen, von den Klassifizierungs- und Verwaltungsfunktionen, die dies früher standardmäßig ermöglichten. Superuser sehen Dateiinhalte nicht automatisch; Administratoren müssen den Zugriff bewusst freigeben.

Dies funktioniert zusätzlich zur bestehenden Sicherheitsfilterung und ersetzt sie nicht, sodass beide Ebenen gelten: was ein normaler Nutzer in einer Suche findet und wer unter Ihren Admins das Gefundene öffnen kann.

In der Praxis kann ein Klassifizierungsadministrator Scans durchführen, prüfen, wie Taxonomieregeln angewendet wurden, und den Arbeitsablauf für markierte Dateien verwalten, ohne die Datei selbst zu öffnen. Teams reservieren den Inhaltszugang für bestimmte Prüfer oder Ermittler, deren Aufgabe das Lesen des Inhalts erfordert.