Schutz vor Datenklau. Sinnvolle Regelungen zur Internet-Nutzung am Arbeitsplatz ARZ - Veranstaltung Do. 8. April, Windischgarsten

Transkript

1 Schutz vor Datenklau Sinnvolle Regelungen zur Internet-Nutzung am Arbeitsplatz ARZ - Veranstaltung Do. 8. April, Windischgarsten Referent ZT DI Dr. Wolfgang g Prentner. ZT Prentner IT GmbH prentner@zt-prentner-it.at April 2010

2 Überblick Allgemeines Schutz vor Datenklau Neue Bedrohungsszenarien im Bankenumfeld Neue Lösungsansätze im Bankenumfeld Rechtliche Aspekte Sinnvolle Regelungen g zur Internet-Nutzung am Arbeitsplatz Zusammenfassung Seite 2

3 Allgemeines Seite 3

4 Wolfgang Prentner IT-Ziviltechniker und gerichtlich zertifizierter Sachverständiger für IT-Sicherheit (seit 1998) Gesellschafter der ZTPRENTNERIT GmbH (1999) Vorsitzender der Bundesfachgruppe Informations- Technologie der Bundeskammer der Arch+Ing (2003) E-Government Beauftragter des Bundeskomitees der Freien Berufe Österreichs. Dazu zählen die Kammern der Ärzte, Apotheker, Notare, Patentanwälte, Rechtsanwälte, Wirtschaftstreuhänder und Ziviltechniker (seit 2003) Mitglied der Plattform Digitales Österreich im Bundeskanzleramt (seit 2004) Seite 4

5 Warum IT-Ziviltechniker? Fachliche Kompetenz Unabhängigkeit Staatliche Befugnis objektiv, kompetent und unabhängig Hohe Akzeptanz beim Kunden Verschwiegenheitsverpflichtung gemäß ZTG Haftungsübernahme im Schadensfall (Mio. 1,5 pro Fall) Seite 5

6 Befugnisumfang gemäß ZTG Beraten Planen Prüfen Überwachen und Koordinieren Treuhandschaften Urkundsfähigkeit - Zertifizierung nach ZTG 4 Abs. 3 Abgrenzung zum Gewerbe keine ausführenden Tätigkeiten keine Störungsbehebung aber z.b. Störungsanalyse kein Vertrieb von Software und Hardware, daher kein Interessenskonflikt mit gewerblichen Unternehmen Seite 6

7 Schutz vor Datenklau Seite 7

8 Private Internet-Nutzung am Arbeitsplatz Seite 8

9 Datenklau: Mitarbeitermeinungen Unternehmensdaten: Meinungen von Mitarbeitern Die Firma verdient es nicht, sie zu behalten 47% Die Firma kann die Informationen nicht zu mir zurückverfolgen. 49% Ich habe diese Informationen mit erstellt. Die Informationen könnten sich zukünftig als nützlich erweisen. 52% 53% % Alle anderen machen das anscheindend auch. 54% Quelle: heise.de Seite 9

10 Neue Bedrohungsszenarien im Bankenumfeld Seite 10

11 Der Faktor Mensch Seite 11

12 Datenklau I: unbeabsichtigt Seite 12

13 Datenklau II: vorsätzlich Steuer-CD: Datendieb soll Administrator in Bank gewesen sein. 09. Februar 2010, 12:28. Seite 13

14 Datenklau III: Social Engineering Seite 14

15 Datenklau IV: automatisiert Seite 15

16 Neue Lösungsansätze im Bankenumfeld Seite 16

17 Informationssicherheit (IS) Technische Sicherheit Organisatorische Sicherheit Wirtschaftliche Sicherheit Seite 17

18 DLP - Data Loss Prevention Schutzmaßnahmen, die direkt den Schutz der Vertraulichkeit von Daten unterstützen tüt und je nach Ausprägung direkt oder indirekt die Integrität und Zuordenbarkeit sicher stellt. Quelle: Seite 18

19 Daten 1. Was sind sensible Unternehmensdaten? 2. Wo sind sensible Daten gespeichert? 3. Wer verwendet sensible Daten? 4. Wie erstelle ich eine Richtlinie um sensible Daten zu schützen? 5. Welche Werkzeuge setze ich dafür ein? Seite 19

20 Bedrohungsbereiche (Threat Coverage) Endpunkt Device Kontrolle Daten Kontrolle Applikationen Kontrolle Netzwerk Mail Web Instant Message,... Storage Archive/Backup Filesystem Datenbanken,... Seite 20

21 DLP- Beteiligter Personenkreis und Organisationen Geschäftsführung Mitarbeiter Betriebsrat Revision Externe Experten Software Lieferant Durchlaufzeit (2-12 Monate): Analyse, Organisation und Beratung Proof of Concept Implementierung Überwachung und Pflege Seite 21

22 Data Loss Prevention Systeme I Seite 22

23 DLP Mitarbeiter Benachrichtigung Seite 23

24 DLP - Auswirkungen Seite 24

25 Rechtliche Sicherheitsaspekte Seite 25

26 Arbeiterkammer Oberösterreich Eine Tendenz zur Beobachtung ortet AK- Experte Velebit im Interview und erläutert, wo Kontrolle aufhört und Menschenwürde (Grundrecht) anfängt. Seite 26

27 Der Standard (11. Jänner 2010) Überwachung am Arbeitsplatz nimmt zu! s, Internetnutzung oder etwa Krankenstandstage. Umfrage: 65% plädieren für ein Überwachungsverbot (AK OÖ) Seite 27

28 Ergebnis der Untersuchung (AK OÖ) 65% traten bei der Befragung für ein Überwachungsverbot ein. 26% gehen davon aus, dass sie am Arbeitsplatz überwacht werden. 12% "sicher", dass sie am Arbeitsplatz überwacht und kontrolliert werden 14% "wahrscheinlich" 4% schließen eine Überwachung definitiv aus. 47% von denen, die sich überwacht glauben, nehmen an, dass ihre s und ihre Internetnutzung kontrolliert werden. 36% vermuten eine kontinuierliche Beobachtung während der Arbeitszeit. 30% glauben oder wissen, dass Arbeitskollegen nach Krankenständen befragt werden oder gaben an, selbst befragt worden zu sein. 67% der Beschäftigten in Oberösterreich sind der Ansicht, dass derartige Überwachungen in letzter Zeit stark oder leicht zugenommen haben. 17% glauben, dass die Überwachung nicht ausgeweitet worden sei. Seite 28 Stichprobe: 600 AK-Mitarbeiter

29 PC Überwachung (AK OÖ) Privaten Benutzung des PC Nutzungsverbot durch Arbeitgeber ist jederzeit möglich. Wenn man dagegen verstößt, ist das sogar ein Entlassungsgrund. Ausdrückliche Erlaubnis, private Nutzung erlaubt Zwei Stunden täglich privat im Internet t - missbräuchliche Verwendung - trotz Erlaubnis ein Entlassungsgrund. Keine ausdrückliche Regelung - private Nutzung grundsätzlich erlaubt. Die Arbeitsleistung darf allerdings nicht darunter leiden. Seite 29

30 Kontrolle I (AK-OÖ) Dürfen s am Arbeitsplatz kontrolliert werden? Achtung der Privatsphäre bzw. des Briefverkehrs. Verstoß gegen das Briefgeheimnis i i bzw. gegen das Telekommunikationsgesetz. Der Arbeitgeber darf s nicht ansehen, außer es ist ganz klar ersichtlich, dass es sich um ein berufliches Mail handelt. Aber das muss eindeutig sein. Die Firma darf auch keine Spyware installieren, um sich von privaten Mails Kenntnis zu verschaffen. Damit würde man sich strafbar machen. Seite 30

31 Kontrolle II (AK-OÖ) Arbeitnehmer muss auf jeden Fall sein Einverständnis geben Selbst eine Zustimmung des Betriebsrates und des Arbeitnehmers ändert nichts an der Gesetzeswidrigkeit, wenn private Mails kontrolliert werden. Dienstliche Kontrolle nur, wenn es die unzweifelhafte Zuordnung zum beruflichen Kontext gibt. Seite 31

32 Surf Kontrolle (AK OÖ) Privates Surfen erlaubt Kontrolle der Webseiten - Verstoß gegen die Menschenwürde. Ohne explizite Zustimmung des Mitarbeiters - keine personenbezogene Kontrolle der Logfiles Kontrollmaßnahmen sind hier nicht legitim. Seite 32

33 Betriebsrat (AK OÖ) Es gibt eine explizite Regelung bei der Verwendung von Kontrollmaßnahmen in technischen Systemen. Nämlich: es bedarf der Zustimmung des Betriebsrates. keinen Betriebsrat Dann muss jeder Arbeitnehmer in Form eines Einzelvertrages zustimmen. Ohne ausdrückliche Zustimmung ist das verboten. Seite 33

34 Mitarbeiter Auskunft (AK OÖ) Informationspflicht: Arbeitgeber an Arbeitnehmer über den Einsatz von Überwachungsmaßnahmen. Betriebsrat muss über die Art der Aufzeichnung von personenbezogenen Daten informiert werden, über die Grundlagen der Übermittlung der Daten und über die Daten selbst. Ohne Betriebsrat muss das den Arbeitnehmern selbst mitgeteilt werden. Link AK-Portal: Big Brother am Arbeitsplatz Seite 34

35 Regeln für Arbeitgeber kann vorgeben was erlaubt ist Verstoß dagegen ist ein Entlassungsgrund Ausnahmen: Notsituationen, Kind krank, Diebstahl Allgemeine Kontrolle des Datenverkehrs (von Metadaten) t ist nach Zustimmung des AN oder dessen Vertretung (Betriebsrat) zulässig. Pi Private s EM dürfen in keinem Fall (!) kontrolliert t werden (Briefgeheimnis) Betreff: [privat/beruflich] Seite 35

36 Arbeitsrecht versus Datenschutzrecht (ohne Gewähr) Arbeitsschutzrecht Betriebsratsvereinbarungen genügen g Gemeinschaftsrecht Datenschutzrecht/TKG t ht/tkg Betriebsratsvereinbarungen genügen nicht Einzelzustimmung erforderlich da Individualrecht Seite 36

37 Rechtliche Sicherheit Implementierung - Unternehmen IKS ( 82 AktG, 22 GmbHG) Compliance und IT-Sicherheit Geschäftsführung bzw. Vorstand Publizität - Gesetzgeber URÄG 2008, 243 a UGB Überwachung 92 (4a) AktG Aufsichtsrat Revision Seite 37 IKS internes Kontrollsystem

38 Strafbestimmungen (StGB) I 118a (1) Widerrechtlicher Zugriff auf ein Computersystem Geldstrafe oder bis zu 6M Haft 119 (1) Verletzung des Telekommunikationsgeheimnisses Geldstrafe oder bis zu 6M Haft 119a (1) Missbräuchliches Abfangen von Daten: Geldstrafe oder bis zu 6M Haft 126b Störung der Funktionsfähigkeit eines Computersystems: Geldstrafe oder bis zu 6M Haft 126c Missbrauch von Computerprogrammen oder Zugangsdaten: Geldstrafe oder bis zu 6M Haft Seite 38

39 Strafbestimmungen (StGB) II 122ff StGB: Verletzung Betriebsgeheimnis; Strafrahmen: bis 3 Jahre 246 StGB: Staatsfeindliche Verbindungen; Strafrahmen: bis 5 Jahre 252 StGB: Verrat von Staatsgeheimnissen; Strafrahmen: bis 10 Jahre 242 StGB Hochverrat; Strafrahmen: bis 20 Jahre Datenschutzgesetz 52 bis ,- Mediengesetz 7 bis ,- Telekommunikationsgesetz 109 bis ,- Seite 39

40 RA Dr. Juranek, CMS-Rechtsanwälte. Auch hier ist die Kontrolle und Erhebung personenbezogener Daten grundsätzlich verboten, im Einzelfall kann jedoch - im Rahmen einer Interessensabwägung im Sinne des Datenschutzgesetztes - eine e Ausnahme erfolgen. Seite 40

41 Sinnvolle Regelungen zur Internet- Nutzung am Arbeitsplatz Seite 41

42 Sinnvolle IT-Regelungen I Technik: Virenschutz, Spamfilter, Surfcontrol, DLP, Pseudonymisierung (Nummernkonto), Verschlüsselung, DLP udgl. Organisation IT-Richtlinien, Bewusstseinsbildung, udgl. Recht Abklärung der rechtlichen Einzelsituation Betriebsrat Einzelvereinbarung für sensible Bereiche Seite 42

43 Sinnvolle IT-Regelungen II Surfen: Download/Lesen (ja) Upload/ (nein) Speichern (ja, aber keine Musik und Videos, keine großen Bilder) Mailen Firma Programm (Outlook, Lotus Notes) Webmail: Gmail, Hotmail, Yahoo Chatten: MSN, Netlog (nein/sperren) Voice: Skype, Google (nein/sperren) Social-Nets: Facebook, Xing (nein, sperren) Achtung: Mitarbeiter haften (mit Verschulden) bei Einschleusen von Schadsoftware (Serverstillstand, udgl.) Seite 43

44 Sinnvolle IT-Richtlinien III Wer (Rollen) Mitarbeiter, Leitende Angestellte, Direktoren, GF, V und AR oder Administrator Was (Services) Surfen, Mailen, Chatten, Wann (Zeit) In, vor oder während der Arbeit (Pausenregelungen) Wo (Ort) Arbeitsplatz, zentraler Computer pro Abteilung, Stockwerk oder Haus Wie lange (Dauer) Nicht der Regelfall sondern die Ausnahmen führen zu Problemen. Seite 44

45 Sinnvolle IT-Regelungen IV ISO Informationssicherheit ISO Risiko Management COBIT SAS 70 ITIL Common Criteria, FIPS 140 Grundschutzhandbuch h db h BSI Sicherheitshandbuch der öffentl. Verwaltung Compliance Bestimmungen Seite 45

46 Sinnvolle IT-Regelungen IVa Seite 46 Quelle

47 Sinnvolle IT-Regelungen V Mobile Datenträger Netbooks Mobile Devices (Handies) Datenklau und Serverklau (24h) Seite 47

48 Zusammenfassung Seite 48

49 Das Imperium schlägt zurück Macht des Mitarbeiters Macht des Betriebsrats Macht des Rechts Online Mobbing Google Problem Seite 49

50 Nacktscanner Seite 50

51 80-20 Regel bei Schadensbewertung 80% Mitarbeiter und Social Engineering 20% Hacker Seite 51

52 Risikofaktoren aus Arbeitgebersicht Faktor Technologie Faktor Organisation Faktor Recht Faktor Mensch Seite 52

53 Zusammenfassung Der Faktor Mensch als Risikio bleibt bestehen. Ein gutes Betriebsklima, eine hohe Sicherheitskultur, gezielte Maßnahmen und dder viel gepriesene ARZ-Geist ARZG sind gute Bestandteile zum Schutz vor Datenklau. Seite 53

54 Besten Dank für Ihre Aufmerksamkeit! Haben Sie noch Fragen? Seite 54