WatchGuard s Beitrag zur Anonymisierung des Benutzers und die Datenschutz-Grundverordnung der EU

Transkript

1 WatchGuard s Beitrag zur Anonymisierung des Benutzers und die Datenschutz-Grundverordnung der EU Technische Kurzbeschreibung WatchGuard Technologies, Inc. Veröffentlicht im Mai 2016 Einführung Die Zahl der Internetnutzer nimmt weltweit stetig zu und damit rückt das Problem des Schutzes personenbezogener Daten zunehmend in den Fokus. Viele Länder haben in diesem Zusammenhang Richtlinien zum Übertragen, Speichern, Anzeigen und Beschreiben von personenbezogenen Daten formuliert. Dabei sind die Datenschutzrichtlinien der Europäischen Union (EU) die striktesten weltweit. Im April 2016 wurde die Datenschutz-Grundverordnung (DS-GVO) offiziell vom EU-Parlament verabschiedet. Zum 25. Mai 2018 soll sie vollständig in Kraft treten. Die damit einhergehenden Verpflichtungen sind weitreichend. Dabei kommt dem Haftungsaspekt insbesondere in Bezug auf die Beschäftigten in einem Unternehmen eine zentrale Rolle zu. Interne Bedrohungen sind nach wie vor eine der Hauptquellen für Datensicherheitsverletzungen und Datenmissbrauch. Die Verschlüsselung sämtlicher Daten ist ein erster Schritt in die richtige Richtung. Doch Unternehmen müssen noch viel mehr tun, wenn sie den Anforderungen der neuen Verordnung genügen wollen. EU-Unternehmen stehen vor der Herausforderung, die Einhaltung der Datenschutz-Grundverordnung künftig wie folgt nachzuweisen: Prüfung der datenschutzbezogenen Auswirkungen für riskante Verarbeitungen und zwar bevor diese beginnt Datenschutz ohne Wenn und Aber oder anders gesagt: Unternehmen müssen den Datenschutz bereits von Anfang an in ihre Serviceinfrastrukturen einbinden und verbindliche Prüfungen hinsichtlich der Haftbarkeit durchführen Technische und organisatorische Maßnahmen für Datenverarbeiter o o Benachrichtigung des Verantwortlichen bei möglichen Datenschutzverletzungen Ernennung eines Datenschutzbeauftragten* Pseudonymisierung personenbezogener Daten dabei werden personenbezogene Daten so stark anonymisiert, dass sie zu keinem Zeitpunkt der Verarbeitung mit dem Inhaber in Verbindung gebracht werden können. *Zwar müssen nicht alle Unternehmen zwangsläufig eine derartige Position besetzen, jedoch liegt der Fokus bei sämtlichen Datenverarbeitern auf der Verantwortlichkeit und dem strikten Schutz von benutzerbezogenen Daten. Seite1

2 WatchGuard s Beitrag zur Anonymisierung des Benutzers Die im Lieferumfang sämtlicher WatchGuard Firebox Security-Appliances enthaltene Visualisierungsplattform Dimension von WatchGuard verfügt jetzt über eine leistungsstarke Funktion zur Anonymisierung des Benutzers. Sie hebt die Compliance in Bezug auf die Einhaltung der Datenschutz-Grundverordnung innerhalb der EU auf die nächste Stufe. Diese benutzerfreundliche Funktion lässt sich nicht nur denkbar einfach aufrufen und konfigurieren, sie wurde sogar speziell im Hinblick auf die Datenschutz-Grundverordnung und interne Bedrohungen entwickelt. Funktionsweise Bei der Anonymisierung des Benutzers werden sämtliche personenbezogenen Daten in Berichten, Dashboards und Zusammenfassungen in Dimension durch Platzhaltertexte ersetzt. Sobald diese Funktion aktiviert ist, erfolgt die Verschleierung von Benutzernamen, IP-Adressen, Hostnamen und Mobilgerätenamen durch eindeutige, zufällig generierte alphanumerische Sequenzen. Diese anonymisierten Sequenzen sind nicht nur innerhalb der entsprechenden anonymisierten Sitzung eindeutig, sondern auch über sämtliche anderen hinweg. Auf diese Weise erhält ein anonymisiertes personenbezogenes Datenelement in jeder Sitzung einen anderen Platzhalter. Dadurch wird verhindert, dass diese Daten in und zwischen Sitzungen antizipiert werden können. Abbildung 1: Beim anonymisierten Modus erfolgt die Verschlüsselung nur auf der sichtbaren Ebene von Dimension. Die Datenbank selbst wird nicht verschlüsselt. Seite2

3 Ist der Anonymisierungsmodus aktiviert, werden die Seiten nach der Anmeldung in Dimension abhängig von der Benutzerrolle mit bestimmten Einschränkungen angezeigt. Außerdem stehen in diesem Modus keine Protokollnachrichten und Detailberichte zur Verfügung. Folgende Visualisierungs- Dashboards sind im Anonymisierungsmodus in Dimension verfügbar: Executive Dashboard Security Dashboard Dashboard für Abonnementservices Threat Map FireWatch Im Anonymisierungsmodus stehen nur Zusammenfassungsberichte zur Verfügung. Darin enthaltene Detailanzeigen sowie Kunden- und Detailberichte können nur angezeigt werden, wenn sich Dimension nicht im Anonymisierungsmodus befindet. Wie aktiviere ich die Anonymisierung des Benutzers? Die Anonymisierung des Benutzers kann bei der anfänglichen Konfiguration auf einer Firebox-Appliance über den Einrichtungsassistenten von Dimension aktiviert werden. Wenn Dimension bereits installiert ist, lässt sich diese Funktion über die Seiten zum Servermanagement (Server Management) und Zugriffsmanagement (Access Managemen t) aktivieren. Abbildung 2: Konfiguration der Anonymisierung des Benutzers nach Bereitstellung von Dimension auf einer Firebox- Appliance. Seite3

4 Was hat es mit dem Anonymization Officer auf sich? Der Anonymization Officer (Anonymisierungsbeauftragte) ist eine neue Rolle in Dimension. Sie unterstützt die Einhaltung der DS-GVO und bezieht sich auf die darin definierte neue Rolle des betrieblichen Datenschutzbeauftragten. Die Rolle des Anonymization Officer ist so angelegt, dass sie von Personen mit oder ohne technischen Hintergrund ausgeübt werden kann. Bei der Authentifizierung gilt das Vier-Augen- beziehungsweise zwei Anmeldungen-Prinzip. So benötigt beispielsweise ein IT- Administrator, der die Anonymisierung in Dimension aufheben möchte, eine entsprechende Genehmigung vom Anonymization Officer. Dadurch wird verhindert, dass eine einzelne Person ohne entsprechende Verantwortlichkeit oder externe Bestätigung den gesamten Zugriff auf personenbezogene Daten erhält. Abbildung 3: Das Feature der Benutzer-Anonymisierung erleichtert die Bestimmung eines Anonymization Officers. Auditierung Wenn die Anonymisierung einer Dimension-Sitzung deaktiviert wird, findet eine Auditierung statt. Um die Aktionen des Benutzers nachzuverfolgen, werden sämtliche Aktivitäten in Dimension protokolliert. Dadurch können Unternehmen ihre IT-Mitarbeiter für die Zeiten, in der sie genehmigten Zugriff auf personenbezogene Daten hatten, in die Verantwortung nehmen. Die Auditierung kann überall in Dimension erfolgen, unabhängig davon, ob die Anonymisierung aktiviert ist oder nicht. Sie lässt sich zudem bei aktiviertem Anonymisierungsmodus nur auf Sitzungen beschränken, bei der die Anonymisierung deaktiviert wurde. Seite4

5 Abbildung 4: Sie können einfach konfigurieren, ob ein Auditprotokoll für sämtliche Aktionen in Dimension erstellt werden soll oder ob Sie die Protokollierung bei aktiviertem Anonymisierungsmodus auf Sitzungen beschränken möchten, bei denen die Anonymisierung aufgehoben wurde. Weitere Informationen zur Anonymisierung des Benutzers und den leistungsstarken Visualisierungswerkzeugen in WatchGuard Dimension finden Sie unter Adresse: 505 Fifth Avenue South Suite 500 Seattle, WA 98104, USA Web: Vertrieb Nordamerika: Internationaler Vertrieb: Informationen zu WatchGuard WatchGuard Technologies, Inc. gehört zu den weltweit führenden Anbietern von integrierten multifunktionellen Business-Sicherheitslösungen, die branchenspezifische Hardware mit führenden Sicherheitslösungen und richtlinienbasierten Managementtools intelligent vereinen. WatchGuard liefert Hunderttausenden von Unternehmen weltweit benutzerfreundlichen Schutz auf Enterprise- Niveau. Die Zentrale von WatchGuard befindet sich in Seattle, Washington. Das Unternehmen betreibt Niederlassungen in ganz Nordamerika, Europa, dem asiatisch-pazifischen Raum und Lateinamerika. Weitere Informationen finden Sie unter WatchGuard.com. Mit diesem Dokument werden keine ausdrücklichen oder implizierten Gewährleistungen gegeben. Alle hier aufgeführten technischen Daten können sich ändern. Informationen zu zukünftigen Produkten, Ausstattungsmerkmalen und Funktionen werden zu gegebener Zeit zur Verfügung gestellt WatchGuard Technologies, Inc. Alle Rechte vorbehalten. WatchGuard, das WatchGuard-Logo und WatchGuard Dimension sind Marken bzw. eingetragene Marken von WatchGuard Technologies, Inc. in den USA und/oder anderen Ländern. Alle weiteren Marken und Markennamen sind das Eigentum ihrer jeweiligen Inhaber. Teilenr. WGCE66913_ Seite5