von Redaktion IT-A…
Lesezeit
3 Minuten
Datenflusskontrolle durch Data Loss Prevention
Jedes Unternehmen erzeugt täglich Daten, die für einen reibungslosen Betriebsablauf notwendig sind. Ein Teil dieser Daten erfordert einen besonderen Schutz: So gelten Finanzdaten, Strategien und Produktionsdetails als die Kronjuwelen eines Betriebs. Sie sind nicht nur Ziel von Spionage und Angriffen, sondern können auch durch falsche Handhabung und aus Versehen aus dem Unternehmen abfließen – Lösungen zur Data Loss Prevention leisten hier Abhilfe. Ein DLP-System überprüft bei der Verarbeitung sensibler Daten ständig, ob der Umgang den gesetzten Sicherheitsrichtlinien entspricht. Unser Beitrag zeigt, wie IT-Verantwortliche die Kontrolle des Datenflusses durchsetzen, ohne dabei den produktiven Betrieb zu beeinträchtigen.
In den meisten Unternehmen ist klar geregelt, wer Zugriff auf welche Datenbestände hat. Rechte und Rollen auf Fileservern oder Datenbanken sind klar definiert. Im Gegensatz dazu mangelt es aber oft an einer Kontrolle unternehmenskritischer Informationen bei deren Verarbeitung und Weiterleitung. Hier obliegt es meist dem einzelnen Mitarbeiter, sorgsam mit sensiblen Daten umzugehen. Fehler passieren jedoch immer. Im Folgenden wollen wir zeigen, wie IT-Verantwortliche einen Überblick sowohl über den Datenbestand als auch über die Verarbeitung und Weiterleitung von Informationen erreichen können.
Paradigmenwechsel Data Loss Prevention
Innerhalb eines Unternehmensnetzwerks wird der Zugriff auf sensible Daten häufig über zentrale Lösungen zum Identitäts-, Rollen- und Rechtemanagement verwaltet und gesteuert. Die Abschottung nach dem Rollen- und Rechtekonzept aus der Zeit von UNIX reicht aber nicht mehr aus, da Mitarbeiter in modernen Geschäftsprozessen ständig Informationen austauschen und verarbeiten. Also ist ein Paradigmenwechsel von technischen Regelungen hin zu einer Kontrolle des Datenflusses ist notwendig. Nur so können präventive Maßnahmen dabei helfen, Datenpannen zu vermeiden und Datenlecks zu reduzieren. Die Vorgehensweise gliedert sich in zwei aufeinander aufbauende Phasen. Für beide Phasen verwenden die Hersteller entsprechender Lösungen gerne den Begriff Data Loss Prevention oder Data Leakage Prevention (DLP).
Phase I: Vermeidbare Risiken ausschließen
Phase I legt fest, welche Arbeitsmittel der Mitarbeiter nutzen darf. Ein typisches Versehen ist etwa die unerlaubte Aktivierung eines Modems. Eigentlich wollte der Anwender nur sein Smartphone am USB-Port aufladen. Das Betriebssystem erkennt das Smartphone allerdings als Modem und aktiviert so einen unerlaubten Weg für einen möglichen Datenabfluss. Auch eine unkontrollierte und ungewollte Datensynchronisation mit dem privaten Smartphone kann zu Datenabfluss führen.
Ein ganzheitlicher Ansatz zur Data Loss Prevention geht weit über Dateiverschlüsselung und Regeln für USB-Anschlüsse hinaus, aber schon einfache Sicherheitsmaßnahmen entfalten im Gesamtpaket große Wirkung: Eine Speicherverschlüsselung zum Beispiel minimiert den Schaden bei Verlust mobiler Geräte, da Daten nicht mehr frei zugänglich sind. Am Arbeitsplatz können über zentrale Managementlösungen passgenau nur die Geräte, Dienste, Schnittstellen und Anwendungen zugelassen werden, die die Nutzer für ihre jeweiligen Aufgaben benötigen. Eine solche Lösung ist schnell installiert und einfach zu bedienen, unnötige Gefahren von Datenverlust sind reduziert. Innerhalb dieser individuellen Arbeitsumgebungen können die Mitarbeiter weiterhin Daten in eigener Verantwortung frei bewegen und verarbeiten.
Technische Lösungen für Phase I
Die auf dem Markt erhältlichen technischen Lösungen variieren nur marginal, der Umfang der unterstützten Protokolle, Plattformen und Übertragungswege unterscheidet sich allerdings sehr. Hier ist individuell zu entscheiden, welche Lösung den Anforderungen des Unternehmens am besten gerecht wird. Die folgenden Kriterien dienen der Bewertung der Eignung einer Lösung:
Phase II: Transparenz und Datenflusskontrolle
Im Arbeitsalltag fällt es einzelnen Mitarbeitern häufig schwer, die Sensibilität der Daten immer korrekt zu bewerten. Und ob alle Anweisungen für die Verarbeitung sensibler Daten eingehalten werden, war bisher schwierig zu beurteilen. Die Datenflusskontrolle in Phase II schafft die notwendige Transparenz, auf deren Basis sich die internen Anweisungen zum Umgang mit sensiblen Daten technisch durchsetzen lassen.
Technische Lösungen zur Datenflusskontrolle haben besonders sensible Daten im Blick und verhindern die unkontrollierte Weitergabe – entweder unterbinden sie die Weitergabe, erzwingen eine Verschlüsselung oder warnen den Mitarbeiter einfach nur vor einem Fehlverhalten. Selbst Schulungsvideos sind denkbar, die den Sinn und Zweck der Richtlinien erläutern, sobald ein Mitarbeiter im Begriff ist, eine solche Regel zu übertreten. Damit entsteht ein situationsabhängiges Bewusstsein für mögliche Gefahren. Diese Werkzeuge stehen für verschiedene Arten der Datenverarbeitung zur Verfügung, insbesondere für mobile Arbeitsplätze, die E-Mailkommunikation und soziale Netzwerke.
Auch die Möglichkeiten, die Sicherheitsfunktionen zu umgehen, sind weitestgehend ausgeschlossen. Der Umweg über Copy & Paste, um Daten aus einem vertraulichen Dokument in ein unverfängliches Dokument zu kopieren und das neue Dokument so unbemerkt weiterleiten zu können, funktioniert schon lange nicht mehr. Das neue Dokument erbt den Vertraulichkeitsstatus und steht so ebenso wie das Ursprungsdokument unter der Kontrolle der Systemkomponenten.
An der Funktionalität scheitern die Projekte heute also nicht mehr. Eine strukturierte Vorgehensweise ist allerdings notwendig, um kostenintensive Zyklen bei der Einführung zu vermeiden.
Bild 1: Der erste Schritt beim Schutz sensibler Daten ist es, diese überhaupt erst einmal zu identifizieren
Sensible Daten identifizieren
Zunächst ist festzulegen, welche Daten besonders geschützt werden sollen. Dies hört sich einfach an, aber in der Praxis treten hier die ersten Schwierigkeiten auf. Die IT, die die Systeme betreut, war bisher für die IT-Sicherheit häufig eigenverantwortlich. Solange es um das traditionelle Bollwerk ging und sich die Regeln an IP-Adressen, Ports und Netzwerkprotokollen orientierten, hat diese Verlagerung der Verantwortlichkeit von der Unternehmensführung auf die IT-Leitung mehr oder weniger gut funktioniert. Nun ist aber die Unternehmensführung gefordert, ihrer Verantwortlichkeit für den Schutz der sensiblen Daten nachzukommen und festzulegen, welche Daten fokussiert zu betrachten sind. Schließlich verbleibt die Haftung im Schadensfall bei der Unternehmensführung. Fehlende Zuordnungen von Kompetenzen und Aufgaben führen leicht dazu, einer Lösung eine überbewertete Komplexität zuzuordnen und Probleme mit einer unzureichenden technischen Lösung entschuldigen zu wollen.
Roland Krüger, Portfoliomanager Geschäftsbereich Business Security bei der secunet Security Networks AG/ln
Paradigmenwechsel Data Loss Prevention
Innerhalb eines Unternehmensnetzwerks wird der Zugriff auf sensible Daten häufig über zentrale Lösungen zum Identitäts-, Rollen- und Rechtemanagement verwaltet und gesteuert. Die Abschottung nach dem Rollen- und Rechtekonzept aus der Zeit von UNIX reicht aber nicht mehr aus, da Mitarbeiter in modernen Geschäftsprozessen ständig Informationen austauschen und verarbeiten. Also ist ein Paradigmenwechsel von technischen Regelungen hin zu einer Kontrolle des Datenflusses ist notwendig. Nur so können präventive Maßnahmen dabei helfen, Datenpannen zu vermeiden und Datenlecks zu reduzieren. Die Vorgehensweise gliedert sich in zwei aufeinander aufbauende Phasen. Für beide Phasen verwenden die Hersteller entsprechender Lösungen gerne den Begriff Data Loss Prevention oder Data Leakage Prevention (DLP).
Phase I: Vermeidbare Risiken ausschließen
Phase I legt fest, welche Arbeitsmittel der Mitarbeiter nutzen darf. Ein typisches Versehen ist etwa die unerlaubte Aktivierung eines Modems. Eigentlich wollte der Anwender nur sein Smartphone am USB-Port aufladen. Das Betriebssystem erkennt das Smartphone allerdings als Modem und aktiviert so einen unerlaubten Weg für einen möglichen Datenabfluss. Auch eine unkontrollierte und ungewollte Datensynchronisation mit dem privaten Smartphone kann zu Datenabfluss führen.
Ein ganzheitlicher Ansatz zur Data Loss Prevention geht weit über Dateiverschlüsselung und Regeln für USB-Anschlüsse hinaus, aber schon einfache Sicherheitsmaßnahmen entfalten im Gesamtpaket große Wirkung: Eine Speicherverschlüsselung zum Beispiel minimiert den Schaden bei Verlust mobiler Geräte, da Daten nicht mehr frei zugänglich sind. Am Arbeitsplatz können über zentrale Managementlösungen passgenau nur die Geräte, Dienste, Schnittstellen und Anwendungen zugelassen werden, die die Nutzer für ihre jeweiligen Aufgaben benötigen. Eine solche Lösung ist schnell installiert und einfach zu bedienen, unnötige Gefahren von Datenverlust sind reduziert. Innerhalb dieser individuellen Arbeitsumgebungen können die Mitarbeiter weiterhin Daten in eigener Verantwortung frei bewegen und verarbeiten.
Technische Lösungen für Phase I
Die auf dem Markt erhältlichen technischen Lösungen variieren nur marginal, der Umfang der unterstützten Protokolle, Plattformen und Übertragungswege unterscheidet sich allerdings sehr. Hier ist individuell zu entscheiden, welche Lösung den Anforderungen des Unternehmens am besten gerecht wird. Die folgenden Kriterien dienen der Bewertung der Eignung einer Lösung:
- Zentrale Kontrolle der Sicherheitsrichtlinien
- Schneller Rollout in wenigen Stunden
- Keine zusätzliche Software oder Hardware notwendig
- Einfache Bedienung/Konsole (niedrige Betriebskosten)
- Flexibilität dank guter Unterstützung durch den Hersteller
- Verschlüsselung (HDD und externe Geräte), Anwendungskontrolle
- Sensibilisierung der Mitarbeiter durch eigene Multimedia-Meldungen
- Inkl. Reporting, Alarmierung und forensischer Maßnahmen
Phase II: Transparenz und Datenflusskontrolle
Im Arbeitsalltag fällt es einzelnen Mitarbeitern häufig schwer, die Sensibilität der Daten immer korrekt zu bewerten. Und ob alle Anweisungen für die Verarbeitung sensibler Daten eingehalten werden, war bisher schwierig zu beurteilen. Die Datenflusskontrolle in Phase II schafft die notwendige Transparenz, auf deren Basis sich die internen Anweisungen zum Umgang mit sensiblen Daten technisch durchsetzen lassen.
Technische Lösungen zur Datenflusskontrolle haben besonders sensible Daten im Blick und verhindern die unkontrollierte Weitergabe – entweder unterbinden sie die Weitergabe, erzwingen eine Verschlüsselung oder warnen den Mitarbeiter einfach nur vor einem Fehlverhalten. Selbst Schulungsvideos sind denkbar, die den Sinn und Zweck der Richtlinien erläutern, sobald ein Mitarbeiter im Begriff ist, eine solche Regel zu übertreten. Damit entsteht ein situationsabhängiges Bewusstsein für mögliche Gefahren. Diese Werkzeuge stehen für verschiedene Arten der Datenverarbeitung zur Verfügung, insbesondere für mobile Arbeitsplätze, die E-Mailkommunikation und soziale Netzwerke.
Auch die Möglichkeiten, die Sicherheitsfunktionen zu umgehen, sind weitestgehend ausgeschlossen. Der Umweg über Copy & Paste, um Daten aus einem vertraulichen Dokument in ein unverfängliches Dokument zu kopieren und das neue Dokument so unbemerkt weiterleiten zu können, funktioniert schon lange nicht mehr. Das neue Dokument erbt den Vertraulichkeitsstatus und steht so ebenso wie das Ursprungsdokument unter der Kontrolle der Systemkomponenten.
An der Funktionalität scheitern die Projekte heute also nicht mehr. Eine strukturierte Vorgehensweise ist allerdings notwendig, um kostenintensive Zyklen bei der Einführung zu vermeiden.
Bild 1: Der erste Schritt beim Schutz sensibler Daten ist es, diese überhaupt erst einmal zu identifizieren
Sensible Daten identifizieren
Zunächst ist festzulegen, welche Daten besonders geschützt werden sollen. Dies hört sich einfach an, aber in der Praxis treten hier die ersten Schwierigkeiten auf. Die IT, die die Systeme betreut, war bisher für die IT-Sicherheit häufig eigenverantwortlich. Solange es um das traditionelle Bollwerk ging und sich die Regeln an IP-Adressen, Ports und Netzwerkprotokollen orientierten, hat diese Verlagerung der Verantwortlichkeit von der Unternehmensführung auf die IT-Leitung mehr oder weniger gut funktioniert. Nun ist aber die Unternehmensführung gefordert, ihrer Verantwortlichkeit für den Schutz der sensiblen Daten nachzukommen und festzulegen, welche Daten fokussiert zu betrachten sind. Schließlich verbleibt die Haftung im Schadensfall bei der Unternehmensführung. Fehlende Zuordnungen von Kompetenzen und Aufgaben führen leicht dazu, einer Lösung eine überbewertete Komplexität zuzuordnen und Probleme mit einer unzureichenden technischen Lösung entschuldigen zu wollen.
Seite 1 von 2 Nächste Seite>>
Roland Krüger, Portfoliomanager Geschäftsbereich Business Security bei der secunet Security Networks AG/ln
