UNTERSTÜTZUNG BEI DER REAKTION AUF SICHERHEITSVERLETZUNGEN FÜR DIE DSGVO MIT RSA SECURITY

Transkript

1 UNTERSTÜTZUNG BEI DER REAKTION AUF SICHERHEITSVERLETZUNGEN FÜR DIE DSGVO MIT RSA SECURITY EINHALTUNG DER BEVORSTEHENDEN FRIST FÜR DIE DSGVO-COMPLIANCE

2 VORBEREITUNG AUF DIE DSGVO IST ESSENZIELL Die DSGVO der EU legt Unternehmen eng miteinander verknüpfte Verpflichtungen zur Verarbeitung personenbezogener Daten von EU- Bürgern auf, darunter: Einführung von Policies und Verfahren, die sicherstellen und nachweisen, dass personenbezogene Daten unter Einhaltung der Verordnung verarbeitet werden Pflege einer Dokumentation zu allen Verarbeitungsvorgängen Bewertung des elektronischen und physischen Datensicherheitsrisikos für personenbezogene Daten, einschließlich versehentlicher oder unrechtmäßiger Zerstörung, Verlust, Änderung, unbefugter Weitergabe von oder Zugriff auf personenbezogene Daten, die übertragen, gespeichert oder anderweitig verarbeitet werden Implementierung geeigneter technischer und organisatorischer Kontrollen, um ein für das Risiko angemessenes Maß an Sicherheit zu gewährleisten Implementierung von Verfahren zur Überprüfung der Wirksamkeit der Kontrollen, die an den Ergebnissen der Risikobewertung ausgelegt sind Durchführung von Bewertungen der Auswirkungen der Data Protection auf die geplante Verarbeitung sehr sensibler personenbezogener Daten Bereitstellung transparenter Hinweise an EU-Bürger zum Zeitpunkt der Datenerfassung auf spätere Anfrage In einigen Unternehmen Ernennung eines Datenschutzbeauftragten, der mit der Überwachung der Compliance des Unternehmens mit den Anforderungen der DSGVO der EU beauftragt ist Die Datenschutz-Grundverordnung (DSGVO) der Europäischen Union (EU), die im Mai 2018 in Kraft tritt, bringt Änderungen für Unternehmen mit sich, die personenbezogene Daten von Bürgern der Europäischen Union verarbeiten. Diese Verordnung soll den Schutz personenbezogener Daten innerhalb der EU und bei Übertragung an beliebige Orte außerhalb der EU erhöhen. Die Regelungen der DSGVO betreffen alle Unternehmen mit Sitz in der EU sowie jedes Unternehmen, das personenbezogene Daten im Zusammenhang mit Personen in der EU kontrolliert oder verarbeitet. Diese Anforderungen gelten unabhängig vom Standort des Unternehmens, sodass die DSGVO eine wirklich globale Complianceanforderung ist. Eine Nichteinhaltung der DSGVO-Anforderungen kann erhebliche negative Folgen haben: Wird keine Compliance erreicht und aufrechterhalten, drohen Strafen in Höhe von voraussichtlich bis zu 4 % des weltweiten Jahresumsatzes eines Unternehmens oder 20 Millionen Euro, je nachdem, welcher Betrag höher ist. Ohne einen ganzheitlichen Ansatz für die DSGVO-Compliance müssen Unternehmen wahrscheinlich verfügbare Personal- und Kapitalressourcen vorzeitig ausschöpfen und unnötig viel Zeit für die Vorbereitung auf die anstehende Verordnung aufwenden. Data Protection ist eins der zentralen Elemente der DSGVO. Was nützen schließlich all die Verbesserungen des Schutzes personenbezogener Daten der DSGVO, wenn Sie die Daten nicht vor Missbrauch oder Diebstahl sichern und schützen können? Die DSGVO legt Data-Protection-Anforderungen fest und führt neue Verantwortlichkeiten ein, die Unternehmen erfüllen müssen. Die Reaktion auf Sicherheitsverletzungen ist eine wichtige Verantwortung im Rahmen der DSGVO. Artikel 33 der Verordnung enthält spezifische Anforderungen für die Benachrichtigung im Zusammenhang mit einer Sicherheitsverletzung personenbezogener Daten an die Aufsichtsbehörde. Benachrichtigungen müssen in der Regel innerhalb von 72 Stunden nach Erkennen der Sicherheitsverletzung durch das Unternehmen erfolgen. Das ist nicht viel Zeit, um die Forensik durchzuführen und folgende wichtige Frage zu beantworten: Was ist die Auswirkung? Mit der Antwort auf diese Frage können Sie ermitteln, ob Sie alle Betroffenen informieren müssen. Das Erreichen dieses Ziels erfordert eine Kombination aus Prozessen und technischen Funktionen, darunter Sicherheits-Incident-Management, Security-Operations- und Sicherheitsverletzungsmanagement sowie Tools für die umfassende Überwachung und Analyse von Sicherheitsdaten zusammen mit starken forensischen Funktionen. RSA: GANZHEITLICHER ANSATZ ZUR BEKÄMPFUNG VON SICHERHEITSVERLETZUNGEN RSA bietet Lösungen für Business-Driven Security, die den Geschäftskontext auf einzigartige Weise mit Sicherheitsvorfällen in Verbindung bringen, um Unternehmen dabei zu unterstützen, Risiken zu managen und die wichtigsten Ressourcen zu schützen. RSA-Lösungen unterstützen Unternehmen bei der effektiven Erkennung und Abwehr von Angriffen, dem Management von Benutzeridentitäten und -zugriff sowie der Reduzierung geschäftlicher Risiken all das sind wichtige Schritte, damit Unternehmen eine ganzheitliche Strategie für die Reaktion auf die DSGVO entwickeln können. Lassen Sie uns mit den DSGVO-Anforderungen als Kontext einen genaueren Blick auf das Produkt- und Serviceportfolio von RSA werfen und erläutern, wie diese Angebote Unternehmen bei der Vorbereitung auf die DSGVO-Compliance unterstützen können. 2

3 RSA NETWITNESS SUITE Die RSA NetWitness Suite ist eine führende Plattform zur Erkennung und Behandlung von Bedrohungen, die es Sicherheitsteams ermöglicht, das volle Ausmaß einer Infizierung zu erkennen und zu verstehen. Die RSA NetWitness Suite unterscheidet sich durch zwei wichtige Merkmale von Lösungen der Konkurrenz: Transparenz: Durch die Nutzung von Protokollen, Paketen und Endpunkten können Sie mit der RSA NetWitness Suite Daten in Ihrem gesamten Unternehmen sehen, einschließlich Cloud- und virtualisierten Umgebungen. Dank dieser bisher unerreichten Breite der Transparenz können RSA NetWitness-Kunden scheinbar nicht verbundene Warnmeldungen und Ereignisse korrelieren, um sich auf die Bedrohungen zu konzentrieren, die wichtig sind. Produktivität: Mit einer vollkommen neuen Benutzererfahrung für Sicherheitsanalysten bietet die RSA NetWitness Suite visuelle Hinweise auf Bedrohungen. Advanced-Threat-Informationen und -Analysen wurden entwickelt, um Bedrohungen zu finden und eine priorisierte Warteschlange für die Untersuchung zu erstellen, während umfangreiche Visualisierungsfunktionen ungewöhnliche Aktivitäten in der Flut von legitimen Data aufpoppen lassen. Pivot-Tools ermöglichen Analysten einen schnellen Drill-down in spezifische Daten, um Exploits zu isolieren und zu eliminieren. Für die DSGVO bietet die RSA NetWitness Suite spezielle Funktionen, mit denen Unternehmen Sicherheits-Incidents erkennen und melden können. Die umfangreichen Analysefunktionen unterstützen Sie auch großartig bei der Compliance, bei der es darum geht, Ihre Maßnahmen zu dokumentieren und präzise in Berichten darzustellen, was stattgefunden hat. In den wichtigen 72 Stunden vor dem Melden einer Sicherheitsverletzung kann die RSA NetWitness Suite dokumentieren, was geschehen ist, wer betroffen war und welche Auswirkung die Verletzung hatte. Die DSGVO stellt klar, dass Unternehmen geeignete Sicherheitskontrollen implementieren müssen und dass Unternehmen, die das nicht tun, im Fall eines Verstoßes zur Verantwortung gezogen werden. Mit der RSA NetWitness Suite können Unternehmen auch die DSGVO- Anforderungen für die Data Protection für Benutzer in Bedrohungserkennungsund Reaktionsaktivitäten an sich erfüllen. Die Plattform ist mit einer Reihe von Kontrollmaßnahmen wie Verschleierung ausgestattet, die Sicherheitsanalysten für den Schutz von datenschutzsensiblen Daten nutzen können, ohne die Analysefunktionen zu verringern. 3 Die RSA NetWitness Suite kann so konfiguriert werden, dass die Gefährdung von datenschutzsensiblen Metadaten und Rohinhalten (Pakete und Protokolle) durch eine Kombination verschiedener Techniken wie folgende begrenzt wird: Datenverschleierung: Datenschutzsensible Metaschlüssel können für bestimmte Analysten/Rollen verschleiert werden. Durchsetzung der Datenaufbewahrung: Bewahren Sie datenschutzsensible Daten nur so lange wie nötig auf. Auditprotokollierung: Nutzen Sie den Auditpfad für datenschutzsensible Aktivitäten, z. B. zum Anzeigen/Ändern von Daten.

4 RSA ARCHER SUITE Die RSA Archer Suite ist eine branchenführende GRC-Lösung (Governance, Risikomanagement und Compliance), die Unternehmen beim Management verschiedener Risikodimensionen mit auf Branchenstandards und Best Practices basierenden Lösungen unterstützt und als konfigurierbare, integrierte Softwareplattform bereitgestellt wird. Die RSA Archer Suite umfasst spezifische Anwendungsbeispiele, die Unternehmen unterstützen, die Funktionen im Zusammenhang mit der Reaktion auf Sicherheitsprobleme verbessern möchten. RSA Archer Data Governance stellt ein Framework bereit, mit dem Unternehmen geeignete Kontrollen im Zusammenhang mit der Verarbeitung von personenbezogenen Daten identifizieren, managen und implementieren können. Mithilfe von RSA Archer Privacy Program Management können Unternehmen Verarbeitungsaktivitäten gruppieren, um Bewertungen der Auswirkungen der Data Protection durchzuführen und Mitteilungen an Datenschutzbehörden bezüglich Vorschriften und Datenschutzverletzungen zu überwachen. SECURITY INCIDENT MANAGEMENT RSA Archer Security Incident Management ermöglicht die Verarbeitung zahlreicher Sicherheitswarnmeldungen und die Implementierung eines gemanagten Prozesses zur Eskalation, Untersuchung und Behebung von Sicherheits-Incidents. Das Anwendungsbeispiel umfasst ein zentrales System zur Katalogisierung von IT- Ressourcen für die Incident-Priorisierung, das einen geschäftlichen Kontext (Nutzung von IT-Ressourcen) zur Priorisierung von Ereignissen bietet. Ein Workflow für Sicherheits-Incidents mit integriertem Reporting über Sicherheits- Incidents rationalisiert den Prozess und ermöglicht Teams eine effektive Incident-Behandlung. Probleme im Zusammenhang mit der Untersuchung von Incidents können nachverfolgt werden und definierte Verfahren zum Umgang mit Sicherheitsereignissen sorgen dafür, dass Incidents ordnungsgemäß verarbeitet werden. SECURITY OPERATIONS AND BREACH MANAGEMENT RSA Archer Security Operations and Breach Management erweitert den Sicherheits-Incident-Prozess durch das Monitoring von Key-Performance- Indikatoren, das Messen der Wirksamkeit von Kontrollen und das Managen des gesamten Sicherheitsbetriebsteams. Die Lösung umfasst einen Workflow für die Bewältigung von Datenschutzverletzungen, mit dem Sicherheits- und Geschäftsteams schnell auf eine Sicherheitsverletzung personenbezogener Daten reagieren können. Durch die Fokussierung auf die Incidents mit den größten Auswirkungen können Sie das Gesamtsicherheitsrisiko verringern und schnell und angemessen auf Datenschutzverletzungen reagieren. RSA RISK AND CYBERSECURITY PRACTICE RSA bietet eine Reihe von strategischen Services, die Ihnen helfen sollen, eine Strategie für Business-Driven Security zu entwickeln, ein modernes Security-Operations-Center aufzubauen und Ihr GRC-Programm (Governance, Risikomanagement und Compliance) zu erneuern. Zur Ergänzung unseres soliden Produktangebots bieten wir zudem Support während und nach der Implementierung an, damit Sie Ihre Investition in unsere Produkte maximieren können. 4

5 RSA INCIDENT RESPONSE PRACTICE Natürlich ist eine wichtige Anforderung der DSGVO das effiziente und effektive Management von Incidents, wenn diese auftreten. Wenn Unternehmen eine Sicherheitsverletzung entdecken, müssen sie schnell ermitteln können, was genau passiert ist, wie es passiert ist, welchen Umfang und welche Auswirkungen die Infektion hat und welche Schritte zur Eindämmung und Abhilfe unternommen werden müssen. Das RSA Incident Response Team hilft Unternehmen, schnell die Details und die erforderlichen Schritte zu verstehen, die während eines Angriffs durchgeführt werden müssen. Gepaart mit anderen RSA Archer-Lösungen kann Incident Response Practice diese nächsten Schritte anpassen, damit Unternehmen die einzigartigen Anforderungen der DSGVO erfüllen können. RSA ADVANCED CYBER DEFENSE PRACTICE RSA Advanced Cyber Defense Practice unterstützt Sicherheitsorganisationen bei der Entwicklung der Prozesse, Verfahren, Workflows und Automatisierungen, die eine schnelle, wirksame Reaktion auf Datenschutzverletzungen und andere Cyber- Incidents ermöglichen. FAZIT Weltweit bewerten Unternehmen aktiv die Auswirkungen der DSGVO auf ihre Geschäfts-, Datenschutz- und Managementabläufe. Die Frist bis Mai 2018 rückt schnell näher und jedes Unternehmen, das personenbezogene Daten von EU- Bürgern verarbeitet, muss die Bereitstellung zusätzlicher Prozesse, Policies und Technologien in Angriff nehmen, um die erheblichen Bußgelder zu vermeiden, die durch die Verordnung auferlegt werden. Eine Verletzung personenbezogener Daten kann zu erheblichen Konsequenzen führen und Unternehmen müssen eine Strategie zum Schutz personenbezogener Daten von EU-Bürgern implementieren, die Möglichkeiten einschließt, Sicherheitsbedrohungen zu identifizieren und darauf zu reagieren. Mit einem einzigartigen Umfang von Produkten und Services, die auf die kritischen Bereiche der Bedrohungserkennung und Reaktion auf Sicherheits-Incidents abzielen, kann RSA als strategischer Partner agieren, der jedes Unternehmen auf dem Weg zur DSGVO-Compliance unterstützen kann. RSA und das RSA-Logo sind Marken oder eingetragene Marken von Dell Technologies in den USA und/ oder in anderen Ländern. Copyright 2017 Dell Technologies. Alle Rechte vorbehalten. Veröffentlicht in Deutschland. 08/17, Lösungsüberblick, H RSA ist der Ansicht, dass die Informationen in dieser Veröffentlichung zum Zeitpunkt der Veröffentlichung korrekt sind. Die Informationen können jederzeit ohne vorherige Ankündigung geändert werden.