EU-Datengrundschutzverordnung - Mehr als die Anforderung Daten zu verschlüsseln

Transkript

1 EU-Datengrundschutzverordnung - Mehr als die Anforderung Daten zu verschlüsseln Christian Theilen Channel Account Executive

2 Christian Theilen Channel Account Executive PLZ 8 & 9 Diplom-Ökonom 14 Jahre M-net (Stadtnetzprovider) 2 Jahre Systemhaus Seit 2016 bei Sophos

3 Die Mitspieler Die Guten Die Bösen Die Nutzer Die Gesetzgeber plus 1500 Hersteller für IT-Security Die Umsetzer:

4 IT-Business.de, Die Gesetzgeber

5 Bedrohlich sind die Auswirkungen! Reputationsverlust Bußgelder Erpressung Nicht-Verfügbarkeit Betrug Datenverlust Produktivitätsverlust 5

6 Verschärfung des Datenschutzes 2018 GDPR = General Data Protection Regulation der EU 25 May EU-DatenschutzGrundverordnung (DSGVO) Tritt am in Kraft ohne zusätzlich nationale Gesetzgebung (einzelne Bereiche sind in einem neuen Bundesdatenschutzgesetz im April 2017 vom Bundestag verabschiedet worden) ZIEL: Datenschutzrechte von EU-Bürgern zu stärken und Vertrauen in die digitale Wirtschaft wiederherzustellen durch Einführung neuer Datenschutzprozesse und Kontrollen in Unternehmen und Behörden 6

7 4 Säulen der Verordnung May Einwilligung Transparenz und Information des Betroffenen Compliance (Organisatorische Sicherheitsmassnahmen regelmäßig dokumentiert und geprüft) Technische Sicherheitsmassnahmen 7

8 Wer ist betroffen? May Alle die personenbezogene Daten verarbeiten Definition personenbezogene Daten: unmittelbare Identifizierung einer Person (z. B. Name, Geburtsdatum und ort, Wohnort, Geschlecht, Personalausweisnummer etc.) UND mittelbare Angaben wie IP-Adresse, Cookies, RFID-Tags, Standortdaten von Handy oder Auto etc.) Gilt in allen EU-Staaten und auch in NICHT-EU-Staaten, sofern kommerzielle Unternehmen mit dortigem Firmensitz ein Angebot an EU-Bürger richten. Der tatsächliche Ort der Datenverarbeitung spielt keine Rolle, sondern nur, ob Daten von EU-Bürgern betroffen sind 8

9 Ein Papiertiger? Die Datenschutzaufsichtsbehörden erhalten Befugnisse, die sie bei VERMUTETEN oder tatsächlichen Verstößen einsetzen können. Maximal: 10 Mio Euro oder 2 % des weltweiten Jahresumsatzes May Für EINDEUTIGE Verstöße (z. B. Datenverarbeitung OHNE Einwilligung des Betroffenen) Maximal: 20 Mio Euro oder 4 % des weltweiten Jahresumsatzes PRO Fall und zwar so, dass die Verhängung von Geldbußen in jedem Einzelfall wirksam, verhältnismäßig und abschreckend ist 9

10 EU DGSVO Details Unternehmen müssen: o sinnvolle Maßnahmen zum Schutz von personenbezogenen Daten implementieren o Eine klare Datenschutzregelung haben o einen namentlichlichen Datenschutzbeauftragten (ab 9 Mitarbeiter) haben Bußgelder für Verstöße können bis zu 20,000,000 oder 4% des weltweiten Jahresumsatzes betragen May Verbindliche Meldung von Datenschutzverstößen innerhalb 72 Stunden 10

11 EU DGSVO Details Die EU-DSGVO empfiehlt die Verschlüsselung und Anonymisierung um Daten bei Verstößen zu schützen May Wenn man beweisen kann, das personenbezogene Daten von unbefugten nicht gelesen werden können (z. B. weil sie verschlüsselt sind), können Bußgelder deutlich reduziert werden Auch die Nichtverfügbarkeit von personenbezogenen Daten kann bestraft werden: o Ransomware, locky und Co. o Versehentliche Löschung von Daten Für newsletter an Endkunden muss immer eine Double-opt-in Einwilligung eingeholt werden 11

12 Definition Double-Opt-in Ein Nutzer, der sich mit seiner -Adresse in einen Verteiler eingetragen hat (Single Opt-in), erhält durch eine anschließende Bestätigungs-E- Mail die Möglichkeit, die Anmeldung zu bestätigen. Bestätigt er die Anmeldung ist der Double-Opt-in abgeschlossen. Das Double-Opt-in-Verfahren soll Schutz vor Spam gewähren und Versendern von s mit kommerziellen Inhalten Rechtssicherheit geben, da der Versand unangeforderter kommerzieller s nicht erlaubt ist. 12

13 Beispiel Double opt in 13

14 14

15 15

16 = Postkarte 16

17 Automatische Verschlüsselung Jede Station auf dem Weg der Mail kann die Mail lesen. Unabsichtlicher oder absichtlicher Datenabfluss via Mail ist die zweithäufigste Ursache für Datenverlust ist in der Geschäftswelt die wichtigste schriftliche Kommunikation Sicherheit muss transparent für die Anwender sein sonst droht der Hillary-Effekt (Nutzung von nicht integren Accounts) 17

18 Safeguard -Verschlüsselung Wir sperren unsere Haustür ja auch ab 18

19 -Verschlüsselung on board SPX*-Verschlüsselung ist in -Protection-Modul enthalten *SPX (Secure PDF exchange) 19

20 Wie SPX funktioniert das macht der Absender Auch unterstützt: S/MIME Standard-End-to- End-Verschlüsselung für E- Mails auf Grundlage von X.509v3-Zertifikaten von einer sicheren Instanz OpenPGP End-to-End- - Verschlüsselung, die zum Schlüsselaustausch auf ein Netz des Vertrauens zurückgreift 20

21 So sieht es der Empfänger 21

22 Egal auf welchem Endgerät SPX works 22

23 Cloud aber sicher verschlüsselt!

24 Human Factor Verlorene Smartphones pro Jahr in Londoner Taxis =

25 Sophos Mobile Sophos Mobile ist eine umfassende EMM Lösung Manage Mobile, Desktops and IoT o ios, Android, Win 10 Mobile o Windows 10, (Mac coming) o Android Things, Win 10 IoT Sophos Container Fully MDM managed oder Container only management Sophos Central oder als on-premise Enterprise Mobility Management MDM Mobile Device Management MCM Mobile Content Management MAM Mobile Application Management MSM Mobile Security Management Sophos Container 25

26 Container-only Management Device Details 26

27 Usability und User Experience 27

28 Hohes Maß an Benutzerfreundlichkeit 28

29 Die EU DSGVO als Chance Intercept X Central Device Encryption Sophos Mobile Bekämpft die Hauptursachen für Datenverlust Stoppt malware und ransomware Verschlüsselt oder löscht die Daten von verlorenen oder gestohlenen Endgeräten Sichert das Netzwerk Verhindert Datenverluste am Netzwerk Perimeter Blockiert gefährliche Anhänge in s XG Firewall Appliance verschlüsselt ausgehende s SafeGuard Encryption Stoppt human error Sorgt für die Sicherheit aller Dateien auch wenn diese das Netzwerk verlassen haben Sorgt dafür, dass nur Berechtigte Datenzugriff haben 29

30 Wie kann man sich am besten schützen? Was man kaufen kann: Firewall Endpoint, Mobile und Server Zutrittskontrolle, Überwachung WLAN-Absicherung Verschlüsselung (Devices, Cloud und Mail)... Was man nicht kaufen kann: XMV und Awareness Technisch organisatorische Maßnahmen (TOM) Datenschutzbeauftragter / EU-DSGVO Double-opt-in (Einverständniserklärungen) Versicherung, aber nicht gegen Bußgelder!!!...

31 31