Der Wechsel zu einem datenzentrierten Sicherheitsmodell

Traditionell hat sich der Datenschutz darauf konzentriert, den Perimeter zu sichern – zu versuchen, Eindringlinge davon abzuhalten, in Systeme und Netzwerke einzudringen, in denen sensible Daten gespeichert sind. Aber mit dem Aufkommen des Cloud-Computings können sensible Daten durch Systeme fließen oder in Systemen gespeichert werden, die außerhalb des traditionellen Perimeters liegen. Einfach ausgedrückt, die Cloud hat keine Grenzen; Daten können frei fließen, wohin sie auch immer von einer zunehmend mobilen Belegschaft benötigt werden.

Daher muss die Cybersicherheitsstrategie von dem Versuch, einen sicheren Perimeter um Ihre Systeme und Anwendungen aufrechtzuerhalten, zu dem Schutz Ihrer Daten vor unbefugtem Zugriff wechseln. Sie benötigen eine datenzentrierte Sicherheitsstrategie.

Aktuelle Sicherheitsstrategien scheitern

Datenpannen nehmen sowohl in ihrer Häufigkeit als auch in ihrer Schwere zu. Allein in der ersten Hälfte des Jahres 2019 führten fast viertausend einzelne Vorfälle zur Offenlegung von mehr als 4,1 Milliarden Datensätzen. Drei dieser Verstöße gehörten zu den zehn größten Datendiebstählen aller Zeiten, und acht Vorfälle machten mehr als 80 Prozent der offengelegten Daten aus. Darüber hinaus zeigt die Forschung einen Anstieg sowohl der Anzahl der Vorfälle (um 54 %) als auch der Anzahl der kompromittierten Datensätze (um 52 %) im Vergleich zur Jahresmitte des Vorjahres.

Obwohl es üblich ist, sich auf die großen Datenpannen zu konzentrieren, sollte man auch beachten, dass Vorfälle, bei denen weniger als zehntausend Datensätze kompromittiert wurden, den Großteil der Datenpannenaktivitäten ausmachen. Viel zu viele Unternehmen glauben fälschlicherweise, dass sie zu klein sind, um von Cyberbedrohungen ins Visier genommen zu werden, und implementieren daher keine starken Datensicherheit Maßnahmen. Aber sensible Informationen behalten ihren Wert für bösartige Akteure, auch wenn sie in kleinen Mengen erworben oder verschlüsselt werden. Es summiert sich: Experten schätzen, dass Unternehmen weltweit in diesem Jahr über 11,8 Milliarden Dollar ausgeben werden, um Daten wiederherzustellen, die durch Ransomware-Angriffe verschlüsselt wurden.

Entwicklung einer erfolgreichen datenzentrierten Sicherheitsstrategie

Angesichts des explosionsartigen Anstiegs der Datenmengen ist es unerlässlich, Informationssicherheitsmaßnahmen zu implementieren, die dem Wert der zu schützenden Unternehmensdaten entsprechen. Es ist notwendig, eine umfassende Strategie zu entwickeln, die die stärksten Sicherheitsbemühungen (wie Verschlüsselung und strenge Zugangskontrolle) auf Ihre sensibelsten Informationen konzentriert.

Data Discovery und Classification

Der erste Schritt besteht darin, ein umfassendes Inventar aller vorhandenen Daten zu erstellen, egal ob sie sich im lokalen Intranet oder in der Cloud befinden. Nach der Entdeckung müssen alle Daten klassifiziert werden. Eine effektive Datenklassifizierung muss automatisch und basierend auf spezifischen Regeln erfolgen, die für die Daten und ihren Fluss relevant sind. Das Ziel ist es, alle Daten, die einen Wert haben — wie Kreditkartennummern, geistiges Eigentum oder medizinische Unterlagen — zu klassifizieren, damit sie angemessen geschützt werden können.

Identity and Access Management

Identity and Access Management (IAM) ist ebenfalls entscheidend für die Datensicherheit. Die Identität eines Benutzers, zusammen mit Informationen über sein Gerät, Anwendung, Dienst, Netzwerkstandort und so weiter, kann helfen sicherzustellen, dass der Datenzugriff streng nach dem Prinzip der Notwendigkeit gewährt wird.

Der effektivste Ansatz besteht darin, Benutzern Rollen zuzuweisen und jeder Rolle spezifische Berechtigungen zu erteilen. Sowohl Rollenzuweisungen als auch Berechtigungen sollten regelmäßig neu bewertet werden, um sicherzustellen, dass sie aktuell bleiben. Dies gilt insbesondere für Rollen mit erhöhten Zugriffsprivilegien auf Daten und Dienste, da diese Benutzer der Organisation erheblichen Schaden zufügen können.

Schutz vor Diebstahl und Verlust

Wenn Daten nicht mehr unter Ihrer direkten internen Kontrolle stehen, sollten sie immer verschlüsselt werden um Schutz vor unbefugtem Zugriff zu gewährleisten. Verschlüsselung hilft dabei, Daten vor unberechtigten Benutzern zu schützen und kann auch verhindern, dass autorisierte Benutzer auf die Daten auf unsichere oder nicht autorisierte Weise oder Orte zugreifen. Die Verwendung von Datenverschlüsselung sollte auf spezifischen Kriterien basieren, damit der Prozess für die Benutzer transparent ist.

Data Masking ist eine weitere nützliche Technik; sie verschleiert sensible Daten, die ein bestimmter Empfänger nicht berechtigt ist zu sehen.

Es ist auch wichtig, Data Loss Prevention (DLP) zu implementieren. DLP-Lösungen können Daten schützen — unabhängig davon, wo sie sich befinden oder wie sie genutzt werden — davor, basierend auf den von Ihnen festgelegten Kriterien, den geschützten Bereich zu verlassen.

Governance und Compliance

Eine robuste, datenzentrierte Sicherheitsstrategie erfordert auch eine starke Verwaltung der Datensicherheitslage (Data Security Posture Management). Um Ihre Daten zu schützen, müssen Sie in der Lage sein zu verfolgen, wer darauf zugreift und was damit gemacht wird, mit allen kritischen Details darüber, wann der Zugriff erfolgte und woher er stammte.

Diese detaillierten Informationen darüber, wo sich Ihre Daten befunden haben und wer sie bearbeitet hat, sind auch alle entscheidend, um Ihre Compliance mit regulatorischen Anforderungen nachzuweisen.