Datenschutz & -sicherheit

Transkript

1 Datenschutz & -sicherheit Dirk Jung Cologne Network Consulting CNC GmbH Datenschutz Definition Datenschutz umfasst alle Maßnahmen zum Schutz personenbezogener Daten vor missbräuchlicher Verwendung 1

2 Bundesdatenschutzgesetz regelt Verarbeitung und Nutzung personenbezogene Daten für berufliche oder geschäftliche Zwecke Gilt für Unternehmen und Bundesbehörden Das BDSG schützt dabei nur die Rechte natürlicher Personen. Man spricht von Betroffenen Für Landesbehörden gilt das jeweilige Länder-Datenschutzgesetz Personenbezogene Daten sind... "...Einzelangaben über persönliche oder sachliche Verhältnisse einer bestimmten oder bestimmbaren Person" ( 2 Abs. 1 BDSG). Einzelangaben können beispielsweise Adresse, Einkommen, Familienstand oder KfZ- Kennzeichen sein. Zusammengefasste Daten mehrerer Personen, aus denen sich keine Angaben über einzelne ableiten lassen, sind keine personenbezogenen Daten 2

3 Verbotsprinzip mit Erlaubnisvorbehalt Verarbeitung personenbezogener Daten ist generell untersagt Ausnahmen regelt das BDSG Unternehmen müssen prüfen, ob es rechtliche Vorschriften gibt, die die Datenverarbeitung erlauben (z.b. im BDSG oder in Rechtsvorschriften wie Meldepflichten zur Sozialversicherung und Finanzamt). Gibt es keine rechtliche Vorschrift, muss eine Einwilligung des Betroffenen erfolgen. Zur Wahrung des Datengeheimnis müssen Unternehmen geeignete technische und organisatorische Maßnahmen treffen Rechte der Betroffenen Benachrichtigungspflicht Auskunftspflicht Löschungspflicht Berichtigungspflicht Sperrpflicht Geheimhaltungspflicht 3

4 Benachrichtigungspflicht Die betroffenen Personen sind von der erstmaligen Speicherung ihrer persönlichen Daten zu benachrichtigen, wenn ihnen diese ansonsten verborgen bliebe. Auskunftspflicht Dem Betroffenen ist auf Verlangen schriftlich Auskunft über die zu seiner Person gespeicherten Daten zu geben. 4

5 Löschungspflicht Personenbezogene Daten sind zu löschen, wenn 1. ihre Kenntnisse für die Erfüllung des Zwecks der Speicherung nicht mehr erforderlich ist; 2. ihre Speicherung unzulässig ist; 3. es sich um Daten über Gesundheit, strafbare Handlungen, politische Anschauungen handelt; 4. ihre Richtigkeit von der speichernden Stelle nicht bewiesen werden kann; 5. der Betroffene die Löschung verlangt. Berichtigungspflicht Personenbezogene Daten sind zu berichtigen, wenn sie unrichtig sind. 5

6 Sperrpflicht Personenbezogene Daten sind zu sperren, wenn 1. ihre Richtigkeit vom Betroffenen bestritten wird und sich weder die Richtigkeit noch die Unrichtigkeit feststellen lässt; 2. ihre Kenntnis für die Erfüllung des Zwecks der Speicherung nicht mehr erforderlich ist. Geheimhaltungspflicht Dem DV-Personal ist es untersagt, geschützte personenbezogene Daten zu anderen Zwecken zu verarbeiten, bekannt zu geben, zugänglich zu machen oder anderweitig zu nutzen. 6

7 Datensicherheit Definition Datensicherheit umfasst Maßnahmen zum Schutz der Daten, Datenträger und Programme vor Übertragungsfehlern, Verfälschungen, Vernichtung und unberechtigtem Zugriff. Risikobereiche 1. Verfügbarkeitsverlust Daten sind weg, der Computer läuft nicht, das Netz ist zusammengebrochen 2. Manipulation Unbefugte beeinflussen die EDV-Abläufe 3. Informationsabfluss Unbefugte erhalten betriebsinterne Daten 7

8 Durchführbarkeit von Datensicherheit Datensicherheit verursacht zusätzliche Aufwendungen (Zeit, Investitionen und laufende Kosten) Datensicherung muss in einem vernünftigen ökonomischen Verhältnis (zeitlich und monetär) zum angestrebten Erfolg stehen. Kein unmittelbarer, messbarer Erfolg, Datensicherheit ist die Organisation des Nicht-Ereignisses. Die Sicherungsmethoden müssen von den Mitarbeitern akzeptiert und unterstützt werden. Schutz vor Verfügbarkeitsverlust Festplatten regelmäßig auf Fehler überprüfen (unter Windows etwa durch das Programm Scandisk, unter Linux mit fschk) Datensicherungen (Backup) durchführen Virenscanner installieren und aktualisieren Schädliche Umwelteinflüsse (Hitze, Kälte) ausschalten 8

9 Backup I Unter einem Backup versteht man zyklisch erstellte Sicherungskopien aller Datenbestände oder veränderter bzw. neuer Dateien zur Rekonstruktion von Daten und Datenverarbeitungsabläufen. Die Datensicherung kann dabei auf verschiedenen Datenträgern wie Streamerbändern, Disketten, CD-R/RW, Festplatten oder Wechselfestplatte erfolgen Backup II Ein Backup sollte regelmäßig durchgeführt werden Testen, ob Backup wieder zurückgesichert werden kann Folgende Backup-Strategien existieren: Vollbackup Inkrementelles Backup Differentielles Backup 9

10 Backup III In Zeitpunkt 1 wird eine vollständige Datensicherung durchgeführt. Kästchen markieren die Änderung einer Datei. Vollsicherung zum Zeitpunkt 2 A+B+C wird gesichert 3 A+B+C wird gesichert Inkrementelle Sicherung zum Zeitpunkt 2 B wird gesichert 3 C wird gesichert Differentielle Sicherung zum Zeitpunkt 2 B wird gesichert 3 B+C wird gesichert Definition Viren Computerviren sind Programme, die die Eigenschaft besitzen, sich selbst zu reproduzieren. Sie haben in der Regel schadensauslösende Funktion. 10

11 Virenarten Bootsektor-Viren Makro-Viren Trojaner Würmer Hoaxe Arten der Infizierung über wechselbare Datenträger wie Disketten oder CD-R/CD-RW über Downloads aus dem Internet per durch Teilnahme am IRC (Chat) 11

12 Anhaltspunkte für Virenaktivität Der PC wird spürbar langsamer; ein regelmäßig eingesetztes Programm passt plötzlich nicht mehr in den Arbeitsspeicher. Ein Programm greift ohne erkennbaren Grund auf Disketten oder Festplatten zu. Sie erhalten Speicherrückmeldungen, obwohl Sie keine Speicherbefehle ausgelöst haben. Programmen und Dateien verschwinden spurlos. In WORD lassen alle Dokumente nur noch als Dokumentvorlagen speichern. Hersteller von AntiViren-SW McAfee Symantec Avira

13 Weitere Infos zu Viren Virenlexikon der Hersteller von AntiViren-SW etwa Symantec Bundesamt für Sicherheit in der Informationsverarbeitung (BSI) CERT Computermissbrauch Definition Computermissbrauch ist jede Art von unberechtigter Computerbenutzung. Das schließt sowohl den ordnungsgemäßen aber unbefugten als auch den nicht ordnungsgemäßen unbefugten Gebrauch mit Schadensfolge. 13

14 Arten des Missbrauchs Computerbetrug Computerbezogene Urkundenfälschung Computersabotage Computerspionage Unerlaubter Zugang Unerlaubte Nutzung Unerlaubte Verwertung Illegaler Technologietransfer Täter 14

15 Polizeilich gemeldeter Missbrauch 53 % Computerbetrug 31 % Datendiebstahl 12 % sonstige mit Computern verbundene Straftaten 4 % Computersabotage Regeln zur Absicherung von Computern & Netzwerken I Zugriffskontrolle: Kontrollieren Sie den Zugang Berechtigter und verhindern Sie den Zugang unberechtigter Mitarbeiter und Betriebsfremder zu allen Räumen mit PCs und zu den Netzwerkräumen. Schutz vor Diebstahl, Sabotage und Beschädigungen: Schützen Sie die PCs, alle dazugehörigen Komponenten sowie die Kabel des Netzwerkes gegen höhere Gewalt (z.b. Notstromversorgung), versehentliche und beabsichtigte Beschädigung und gegen Diebstahl. Schutz der Datenträger: Sichern Sie alle Datenträger gegen Entwendung und Diebstahl durch Markierung, Erfassung, Kontrolle und Lagerung in zentralen Archiven. 15

16 Regeln zur Absicherung von Computern & Netzwerken II Kontrolle des Gerätebestandes: kontrollieren Sie die möglichst zentralisierte Beschaffung aller Geräte und der Zusatzkomponenten. Legen Sie Standardkonfigurationen fest. Überwachen Sie den Bestand an Geräten und überprüfen Sie die Konfiguration auf eigenmächtige Änderungen. Verhindern Sie das Mitbringen und die Nutzung anderer Geräte oder Komponenten. Kontrolle des Softwarebestandes: Implementieren Sie nur Software, deren Herkunft Ihnen genau bekannt ist und zu deren Ersteller Sie Vertrauen besitzen. Verhindern Sie das Mitbringen anderer Programme. Regeln zur Absicherung von Computern & Netzwerken III Zugriffskontrolle: Legen Sie in einem Zugriffskontrollsystem detailliert fest, welche Mitarbeiter auf welche Daten, Programme und peripheren Geräte wie Disketten, Laufwerke, Platten, Server, Drucker zugreifen können soll. Identifizierung: Die berechtigten Benutzer sollen sich durch eine Security card o.ä. gegenüber dem Computer identifizieren. Authentifizierung: Führen Sie Passworte ein, die nicht erraten werden können und erzwingen Sie einen häufigen Wechsel. Temporärer Schutz: Bei Verlassen des Raumes sollten Tastatur und Bildschirm gesperrt werden. 16

17 Regeln zur Absicherung von Computern & Netzwerken IV Nachweisführung: Protokollieren Sie alle Aktivitäten auf Personalcomputern und Netzwerke und werten Sie die Protokolle unter Sicherheitsaspekten aus. Kontrollieren Sie u.a. die Passwortnutzung ( Länge, Wechsel etc.) Verschlüsselung: Verschlüsseln Sie alle wertvollen Daten auf Datenträgern. Besonderer Schutz: Schützen Sie die Computer mit den wertvollsten Daten ihres Unternehmens durch besonders intensive Maßnahmen gegen Verlust und Manipulation. Regeln zur Absicherung von Computern & Netzwerken V Sicherheitsbeauftragter: Übertragen Sie einem besonders erfahrenen und vertrauenswürdigen Mitarbeiter die Funktion des Daten- Sicherheitsbeauftragten. Sicherheitsanalyse: Führen Sie bei umfangreichen Anwendungen, vielen PCs, Netzwerken oder beim Anschluss an öffentliche und offene Netze eine Sicherheitsanalyse durch. Lassen Sie sich ggf. von Spezialisten beraten. Sicherheitsstrategie: Erarbeiten Sie eine unternehmensübergreifende Sicherheitsstrategie mit allen notwendigen Sicherheitsmaßnahmen 17

18 Regeln zur Absicherung von Computern & Netzwerken VI Untersuchung von Sicherheitsproblemen: Lassen Sie sich über alle Unregelmäßigkeiten, Hinweise auf Sabotageversuche oder Wirtschaftsspionage informieren und lassen Sie diesen Hinweisen (unauffällig) nachgehen. Beratung der Anwender: Bieten Sie allen Mitarbeitern im Unternehmen zentral eine Beratung bei jeglichen Problemen an, entwickeln Sie organisatorische Verfahren zur Behebung von Fehlern und bieten Sie Verfahren zur Erkennung und Ausmerzung von Viren, Würmern etc. an sowie zur Rekonstruktion von Dateien bei Beschädigung oder Verlust. Regeln zur Absicherung von Computern & Netzwerken VII Mitbestimmung: Beteiligen Sie grundsätzlich die Mitarbeitervertretung (Betriebsrat) an allen Sicherheitsüberlegungen. Der Schutz vor Wirtschaftsspionage und Sabotage hilft, die Arbeitsplätze Ihres Unternehmens zu sichern. Berater: Ziehen Sie insbesondere bei der Einführung neuer Sicherheitsmassnahmen sowie bei konkreten sicherheitsrelevanten Vorfällen einen einschlägig ausgewiesenen, spezialisierten Berater hinzu. 18

19 Weitere Infos zur Datensicherheit Bundesamt für Sicherheit in der Informationsverarbeitung (BSI) CERT 19