freshidea - stock.adobe.com
Tipps zur Durchsetzung einer Datenlöschungs-Richtlinie
Nicht mehr benötigte Daten erhalten nur selten die Aufmerksamkeit, die ihnen nicht nur aus Datenschutzgründen zustünde. Richtlinien zur Löschung von Daten können da weiterhelfen.
Die Datenspeicherung ist so einfach und kostengünstig geworden, dass es für viele Unternehmen praktisch keine Begrenzung der Datenmenge mehr gibt. Durch die Erweiterung des Rechenzentrums oder die zunehmende Nutzung enorm günstigen Cloud-Speichern wächst die Datenmenge so schnell, dass die wenigsten Unternehmen hierbei Schritt halten können und stattdessen viele zu digitalen Hamstern werden.
Zwar haben die meisten einen Plan, wie und wann welche Daten gelöscht werden sollten, aber zu viele setzen sie nicht durch und die Datenmenge nimmt weiter zu. Daten bergen jedoch Risiken, da alles, was gespeichert ist, verloren gehen oder gestohlen und in den falschen Händen missbraucht werden kann.
Diese Risiken bestehen für die Daten
Welchen Risiken sind die Daten überhaupt ausgesetzt? In erster Linie sind es die folgenden fünf:
Gesetzgebung: Die DSGVO (Datenschutz-Grundverordnung) räumt Verbrauchern das Recht auf Vergessenwerden und das Recht auf Löschung ein. Je mehr Daten ein Unternehmen speichert, desto schwieriger wird es, diese Anforderung zu erfüllen. Die Wahrscheinlichkeit, ein entsprechendes Word-Dokument oder eine E-Mail zu übersehen, ist bei Unternehmen mit einer außer Kontrolle geratenen Datenspeicherung deutlich größer: Ein einfaches Versehen mit möglicherweise schwerwiegenden Folgen durch Vorschriften wie die DSGVO, HIPAA, SOX oder PCI-DSS.
Ransomware: Die Auswirkungen einer Ransomware-Attacke können verheerend sein, wie wir im Jahr 2017 etwa bei WannaCry gesehen haben, als der Krypto-Locker den britischen National Healthcare Service in die Knie zwang. Ransomware verschlüsselt möglichst schnell jede Datei, die sie finden kann. Das können durchaus Tausende oder gar Millionen Dateien sein, da bei vielen Unternehmen zahlreiche Dateien für jeden Nutzer zugänglich sind. Wenn also ein Angriff beginnt und die Sicherheitsmaßnahmen nicht schnell greifen, können im Nu Daten von unermesslichem Wert verschlüsselt sein, nur weil ein einziger Mitarbeiter etwa auf eine gut gestaltete Phishing-Mail hereingefallen ist.
Angriffe: Wenn externe Angreifer in das Unternehmensnetzwerk gelangen, ist es ihr Ziel, versteckt zu bleiben, Privilegien zu erhöhen und nach Informationen zu suchen. Je mehr alte Daten aufbewahrt, desto mehr müssen geschützt werden und desto höher ist das Risiko einer Verletzung. Als nordkoreanische Angreifer 2014 Sony Pictures hackten, waren einige der verletzten Dateien mit peinlichen Informationen 13 Jahre alt. Für das Studio mögen sie keinen Wert mehr gehabt haben, für die Angreifer jedoch sehr wohl. Unternehmen müssen ihr Risiko minimieren, indem sie Informationen entfernen (archivieren oder löschen), die für sie keinen Wert mehr darstellen.
Datenschutzverletzungen: Hybride Speichermodelle, die sowohl Cloud als auch lokale Datenspeicherung nutzen, sind mittlerweile Standard für Unternehmen. Die Speicherung von Daten sowohl vor Ort als auch in der Cloud kann es jedoch erschweren, sensible Informationen nach dem Need-to-know-Prinzip zu schützen. Cloud Storage ist praktisch, dort fehlt es aber oft an den Sicherheitskontrollen, die Unternehmen von ihren lokalen Datenspeichern gewohnt sind. Hinzu kommt: Sobald Daten in der Cloud veröffentlicht werden, sind sie potenziell für alle Menschen auf der Welt zugänglich, nicht nur für die Mitarbeiter.
Insider: Frei zugängliche ungesicherte Daten im Unternehmensnetzwerk sind eine Einladung für unzufriedene Mitarbeiter, herumzuschnüffeln und Dokumente auf einem persönlichen Cloud-Speicher oder USB-Stick zu kopieren. Unstrukturierte Daten, wie Microsoft Office-Dokumente, neigen dazu, sich zu vervielfachen, wenn Mitarbeiter sie bearbeiten, kopieren und erneut speichern, wo sie für jedermann zugänglich sind. Ältere Dateien, die dem Unternehmen nicht wichtig erscheinen, könnten für einen Insider, der nach Informationen sucht, durchaus einen beträchtlichen Wert haben.
So kann man eine Datenlöschungs-Richtlinie durchsetzen
Während viele Unternehmen über Richtlinien zur Archivierung oder Löschung nicht benötigter Daten verfügen, kann die Durchsetzung dieser Richtlinien dennoch eine große Herausforderung darstellen. Mit diesen sechs Tipps kann diese Problematik wirkungsvoll angegangen werden:
Kennen Sie Ihr Risiko. Viele Unternehmen wissen nicht, inwieweit ihre eigenen Daten sie gefährden. Unwissenheit schützt bekanntlich nicht vor Strafe, so auch nicht im Falle eines Sicherheitsvorfalles oder eines Audits. Führen Sie eine Bestandsaufnahme Ihrer Daten durch, um zu erfahren, welche Daten sensibel sind, welche Dateien über zu weit gefasste Zugriffsrechte verfügt ist und wer Zugriff auf was hat. Dieses Wissen bildet die Grundlage für die weitere Entwicklung Ihrer Risikominderung.
Lernen Sie Ihre Daten kennen. Viele Unternehmen haben den Überblick verloren, welche Daten sie haben und wo diese sich befinden. Bilden Sie Ihre Datenspeicher ab, überwachen Sie, was verwendet wird, und archivieren Sie, was Sie nicht mehr benötigen. Im Falle einer Datenschutzverletzung werden die Regulierungsbehörden Fragen stellen, auf die Sie vorbereitet sein und die Sie beantworten können sollten.
Konzentrieren Sie sich auf Ihre sensiblen Daten. Einige Ihrer Dateien enthalten personenbezogene Daten (PII) und vertrauliche Informationen wie Geschäftspläne und Ähnliches. Andere Informationen haben hingegen nur einen geringen Wert. Konzentrieren Sie sich auf den Schutz der Kronjuwelen – Informationen, die unter Regulierungen wie die DSGVO fallen und sensible Informationen, die Ihr Unternehmen gefährden könnten. Löschen oder archivieren Sie solche Dateien, die für Ihr Unternehmen keinen Wert mehr darstellen.
Sichern Sie Ihren hybriden Datenspeicher. Wenn Unternehmen die Cloud nutzen, werden sie in aller Regel auch weiterhin Informationen auf physischen Servern vor Ort speichern. Unabhängig davon, wo Ihre Daten gespeichert sind, müssen Sie sicherstellen, dass Ihre Sicherheitsrichtlinien und -kontrollen alle Ihre Daten umfassen. Beide Umgebungen haben bestimmte Möglichkeiten und Grenzen, die Sie kennen sollten.
„Viele Unternehmen wissen nicht, inwieweit ihre eigenen Daten sie gefährden. Unwissenheit schützt bekanntlich nicht vor Strafe, so auch nicht im Falle eines Sicherheitsvorfalles oder eines Audits.“
Thomas Ehrlich, Varonis
Nutzen Sie KI und Automatisierung. Sie müssen in der Lage sein, Ihre Datenlöschrichtlinien auf Dateien in Ihrem gesamten Unternehmen anzuwenden – dies sind schnell mehrere Hunderttausend Dateien. Unternehmen, die Aufbewahrungs- und Dispositionsrichtlinien für ihre Dateien automatisieren, also automatisch archivieren und löschen, was nicht mehr benötigt wird, sind besser vor Insider-Bedrohungen und Cyberangriffen geschützt. Die Identifizierung von sowohl sensiblen als auch nicht mehr benötigten Daten muss dabei kontinuierlich erfolgen. Auf diese Weise kann kein Datenwildwuchs mehr entstehen.
Arbeiten Sie mit einem Privilegienmodell auf Basis der minimalen Rechtevergabe. Die Zugriffsrechte müssen dem Need-to-know-Prinzip folgen, damit nur diejenigen Zugriff haben, die ihn auch tatsächlich für ihre Arbeit benötigen. Der Datenrisiko-Report 2018 hat kürzlich gezeigt, dass in 41 Prozent der Unternehmen sämtliche Mitarbeiter Zugriff auf mindestens 1.000 sensible Dateien – wie personenbezogene Daten, Kreditkarten- oder auch medizinische Informationen – haben. Diese offen zugänglichen Dateien sind das, was am ehesten Ransomware zum Opfer fällt, von Angreifern entwendet oder von einem Innentäter missbraucht wird. Deshalb sollten Sie den Zugriff beschränken und damit Katastrophen verhindern, bevor sie geschehen.
Nicht mehr benötigte und genutzte Daten erhalten nicht immer die Aufmerksamkeit der IT, die sie eigentlich benötigen. Viele Unternehmen wissen gar nicht, wo sie anfangen und was sie löschen sollen, da es oftmals schwierig zu entscheiden ist, welche Dateien wichtig sind und noch benötigt werden. Und im Zweifelsfall entscheiden sich die Verantwortlichen eben für die Beibehaltung der entsprechenden Dateien. Deshalb ist das Wissen, welche Dateien wo gespeichert und wie genutzt werden, der entscheidende erste Schritt und die Grundlage für eine Verbesserung der Datensicherheit.
Folgen Sie SearchSecurity.de auch auf Twitter, Google+, Xing und Facebook!
