Damit Informationen bleiben,

Transkript

1 Damit Informationen bleiben, wo sie hingehören Der Weg zu einer wirksamen Datenverlust-Prävention Fakten zum Thema [Datenverlust

2 Daten identifizieren, überwachen, schützen Das Internet hat die Möglichkeiten zum Informationsaustausch revolutioniert. Ob innerhalb des Unternehmens oder im Austausch mit Geschäftspartnern: Der schnelle Zugriff auf Informationen erlaubt zeitnahes Handeln und hohe Flexibilität. Doch der beschleunigte Informationsfluss bringt nicht nur Vorteile mit sich, denn in Sachen Sicherheit ist die Nutzung des Internets vielerorts noch nicht ausgereift: Schnell geraten vertrauliche Informationen in die Hände Unbefugter, etwa weil eine an den falschen Adressaten versendet wird oder sensible Informationen versehentlich auf öffentlichen Plattformen landen. Mit den bitteren Folgen sahen sich in den letzten Monaten zahlreiche auch namhafte Unternehmen und öffentliche Institutionen konfrontiert. Durch die Datenverluste erlitten sie nicht nur Umsatzeinbußen, sondern, soweit die Vorfälle an die Öffentlichkeit gedrungen waren, auch Imageverluste, die sich nur schwerlich gutmachen lassen. Daher tut Umdenken Not: Bei aller angestrebten Schnelligkeit und Informations effizienz müssen IT-Verantwortliche für ausreichende Sicherheit sorgen. Dabei helfen organisatorische Strukturen und Technologien, die die Risiken für Datenlecks minimieren.... wo Ihre sensiblen Daten gespeichert sind? Wissen Sie wie diese verwendet werden?... wie Sie sich gegen Datenverluste schützen können? 1. Risiken und deren Tragweite Seit Langem richten IT-Verantwortliche ihr Augenmerk in Sachen Bedrohungsschutz auf Viren, Würmer und Co. und schirmen sich vor allen Dingen gegen die Angreifer von außen ab. Der wirksame Schutz von Daten aber erfordert mehr als das Netzwerk abzusichern oder Server und Clients nach Viren abzusuchen. Denn der Großteil der Risiken droht nicht von externen Angreifern, sondern von internen Schwachstellen und einer Vielzahl von Fehlern, die meist ohne böse Absicht passieren. Das Risikoszenario Externe Bedrohungen 3% Das hat unlängst das englische Beratungs- und Analystenhaus Quocirca festgestellt. Demnach zählen zu den Haupt ursachen von Managementfehler 5% Sonstige 2% Datenverlust das Versehen von Mitarbeitern, eine mangel hafte Ablauforganisation oder Fehler seitens des Managements. Mangelhafte Ablauforganisation 40% Versehen eines Mitarbeiters 50% Die Gefahr von innen wird unterschätzt. Während die Öffentlichkeit ihr Augenmerk auf Viren, Würmer und Co. als Hauptursache für Datenverluste richtet, zeigen Untersuchungen, dass die größten Gefahren nicht von außen drohen, sondern innen lauern. Quelle: Quocirca Insight Report 2. Sicherheitsrichtlinien erstellen 2.1 Datenverlust-Prävention Ein verlorener Laptop, eine versehentlich an einen falschen Adressaten versandte oder Vertrauliches auf einem öffentlichen Netzwerk: Was auch immer die Ursache für das Daten leck war ein Unternehmen kann besser argumentieren, wenn es Re ge lungen zur Datenverlust-Prävention nachweisen kann. Etwa bei Verlust eines Laptops: Wenn sich laut Sicherheitsvorschriften des Unter nehmens auf Laptops keine Kundendaten befinden dürfen, wird der Verlust der Daten zum Verstoß eines Einzelnen gegen be stehende Regeln. Zwar ist das Ergebnis dasselbe und ebenfalls höchst unangenehm schließlich befinden sich Kundendaten im Zugriff Unbefugter, das Unternehmen kann jedoch nachweisen, dass es sich solcher Risiken bewusst ist und vorgesorgt hat. Seite 3

3 3 Wer ein Regelwerk zur Datensicherheit etablieren möchte, muss das Rad nicht neu erfinden. Er kann bewährte Standards nutzen. ISO beispielsweise bietet ein ausgefeiltes Security-Management-System, an dem sich Newcomer in Sachen Security Policy orientieren können. Weitere Regelwerke bieten COBIT (Control Objectives for Information and related Technology) und AICPA s SAS 70 (American Institute of Certified Public Accountants/Statement on Auditing Standards). Unabhängig davon, auf welchen dieser Standards ein Unternehmen aufbauen möchte, sind zum Erstellen einer Richtlinie folgende Kriterien relevant: a) Nutzer, b) Art der Inhalte, c) Speicherort und Netzwerkkommunikation. a) Die Nutzer Dazu zählen nicht nur Mitarbeiter, sondern auch Lieferanten, Kunden und andere Geschäftspartner. Die Richtlinie muss differenzieren, wer welche Befugnisse besitzt. So etwa darf der Mitarbeiter aus der Personalabteilung personenbezogene Daten der Kollegen nutzen. Auf einem Desktop des Marketing teams aber haben diese Daten nichts zu suchen. Wenn Mitarbeiter das Unternehmen verlassen... Das unabhängige Forschungsinstitut Ponemon hat Anfang 2009 eine Studie zum Thema Datensicherheit beim Beendigen des Arbeitsverhältnisses durchgeführt und auf der Basis von fast Befragten erhebliche Mängel in puncto Datensicherheit festgestellt, wenn Mitarbeiter ihr Unternehmen verlassen. Demnach hatten 59 Prozent der Befragten Daten ihres früheren Arbeitgebers mitgenommen. Weitere Ergebnisse der Studie auf einen Blick: 1. Je schlechter der Mitarbeiter seinen Arbeitgeber beurteilt, desto eher nimmt er Daten mit. 31 Prozent der Befragten haben ihren ehemaligen Arbeitgeber hinsichtlich seiner Fairness und Integrität positiv eingeschätzt; 44 Prozent negativ. 61 Prozent der Befragten, die negativ eingestellt waren, haben Daten mitgenommen; dagegen nur 13 Prozent der positiv eingestellten Mitarbeiter. 2. Mit Abstand am häufigsten nehmen ausscheidende Mitarbeiter Kundendaten mit. Fast die Hälfte (45 Prozent) deckt sich mit Geschäftsdaten nichtfinanzieller Art ein: 39 Prozent der ausscheidenden Mitarbeiter nehmen Kundendaten, 35 Prozent nehmen personenbezogene Daten mit. 3. Die ausscheidenden Mitarbeiter geben an, zum Mitnehmen der Daten berechtigt zu sein: 54 Prozent sehen sich im Recht, weil es jeder so mache. 53 Prozent begründen den Verstoß mit dem Nutzen für die berufliche Zukunft. 52 Prozent sehen kein Problem, weil sie selbst an der Erstellung der Daten mitgearbeitet hätten. 49 Prozent fühlen sich vor Entdeckung des Miss brauchs sicher. 4. Mehr als die Hälfte der Mitarbeiter hat auch lange nach dem Ende des Arbeitsverhältnisses noch Zugriff auf Firmensysteme. 41 Prozent der Befragten haben nur noch am Tag nach ihrem offiziellen Ausscheiden Zugriff auf die Daten ihres ehemaligen Arbeitgebers, 23 Prozent bis zu drei Tage danach, 15 Prozent bis zu einer Woche und 20 Prozent sogar noch länger. -Liste Geschäftsdaten nicht-finanzieller Art Kundeninformationen, inklusive Kontaktliste Mitarbeiterdaten Finanzinformationen Kopie auf CD oder DVD Kopie auf USB-Stick Dokument per versandt Daten auf eigenem PC nicht gelöscht Download auf ein mobiles Endgerät Computer vom früheren Arbeitgeber behalten Download auf ein Zip-Laufwerk 16% 35% 39% 45% 65% 0% 10% 20% 30% 40% 50% 60% 70% Quelle: Ponemon 2/2009 Hardcopy 61% 3% 13% 28% 35% 38% 42% 53% 0% 10% 20% 30% 40% 50% 60% 70% Quelle: Ponemon 2/2009

4 4 b) Art der Inhalte Die Inhalte sollten nach dem Grad der Vertraulichkeit unterschieden werden. Manche Inhalte wie etwa Marketing-Texte sind ohnehin für die Allgemeinheit bestimmt. Je mehr Menschen sie lesen, desto besser. Andere Inhalte dagegen wie etwa Daten aus der Entwicklungsabteilung oder gar Patente sind streng vertraulich und dürfen nur von ausgewählten Personen eingesehen werden. Eine ausgefeilte Sicherheitspolitik differenziert zunächst zwischen verschiedenen Arten von Informationen im Unternehmen und entwickelt dann für jede Kategorie geeignete Schutzmaßnahmen. Grundsätzlich sind vier verschiedene Inhaltsbegriffe relevant: Öffentliche Inhalte, deren hohe Verbreitung gewünscht ist, wie Produktinformationen oder eine Pressemitteilung Sensible Inhalte wie Finanzdaten, Entwicklungsdaten oder Unterlagen, die einen geplanten Unternehmens zusammenschluss betreffen. Der Verlust solcher Daten ist in der Regel nicht nur mit hohen Kosten verbunden, er wird auch einen erheblichen Imageschaden nach sich ziehen. Inhalte, die das Wissenskapital eines Unternehmens darstellen. Das kann eine Designidee sein. Ihr Verlust kann nicht nur erhebliche Wettbewerbsnachteile mit sich bringen, sondern auch Lizenzrechte oder Non-disclosure-Vereinbarungen verletzen und im ungünstigsten Fall empfindliche Vertragsstrafen nach sich ziehen. Personengebundene Daten wie beispielsweise Kundendaten, Kontonummern oder Kontaktdaten sind seitens des Gesetzgebers besonders geschützt. Der Verlust dieser Daten ist mit Bußgeldstrafen belegt. c) Speicherorte und Netzwerkkommunikation Auch der Speicherort ist ein relevantes Kriterium, um Sicherheits richtlinien festzulegen. Denn die wachsende Zahl mobiler End geräte wie Laptops, Smartphones, CD-ROMs oder USB-Sticks erfordert in Sachen Datenverlustprävention besonderes Augenmerk, weil ihr Risikolevel höher ist als das der festinstallierten Endgeräte. Wachsende Risiken erfordern ein systematisches Management Ob Kunden-, Produkt- oder Mitarbeiterdaten die Datenmengen wachsen unaufhörlich CONFIDENTIAL Data Explosion Corporations without Walls The Role of Security Um sich vor den Risiken zu schützen, benötigen Unternehmen ein ausgefeiltes Risikomanagement Unternehmensgrenzen schwinden, das Büro ist überall Outsourcing und Offshoring erfordern immer mehr Datenaustausch Einige Auswirkungen 24% Konsequenzen durch Datenverlust Keine Angabe 7% Minimale Auswirkungen 6% Konsequenzen durch Datenverluste werden überwiegend als gravierend eingeschätzt. Ernste Konsequenzen 63% c.1 Fest installierte Endgeräte Bei fest installierten Endgeräten können IT-Verantwortliche eine einmal definierte Policy mithilfe einer geeigneten Technologie relativ gut implementieren und kontrollieren. Folgende Fragen helfen, die probate Policy zu definieren: Welche Informationen befinden sich auf dem Gerät? Was darf mit den jeweiligen In for mationen geschehen? Dürfen sie kopiert, versendet, ge druckt oder auf mobile Endgeräte transferiert werden? Probate Software-Lösungen suchen die Endgeräte entsprechend der Policy regelmäßig und automatisch nach vertraulichen Informationen etwa personenbezogenen Daten, CAD Dokumenten oder Preislisten ab und kontrollieren auf dieser Basis, ob ein geplanter Transfer von Daten den Richtlinien entspricht. Ist dies nicht der Fall, wird die Aktion von der Software automatisch unterbunden, indem sie, je nach Konfiguration, das Kopieren oder den Versand blockiert, die Daten vorsorglich entfernt oder die Übertragung auf ein Verschlüsselungs-Gateway umleitet. c.2 Mobile Endgeräte Laptops, USB-Sticks etc. erfordern besonderen Schutz, weil hier ein hohes Risiko besteht, dass das gesamte Gerät verloren geht. Wie schnell wird ein Laptop an der Flughafenkontrolle mit dem eines anderen Reisenden vertauscht oder im Taxi vergessen. Hinzu kommt: Immer wieder entstehen auf den mobilen Endgeräten neue vertrauliche und schützenswerte Daten, die nicht so zuverlässig in das Sicherheitssystem einbezogen werden können, weil die Endgeräte nur hin und wieder an das Unternehmensnetzwerk angeschlossen sind. Da die Inhalte hier nicht so unmittelbar und zeitnah automatisch überprüft werden können wie bei einem ans Unter nehmens - netz werk angeschlossenen Endgerät, ist es umso wichtiger, ver bindliche Richtlinien festzulegen. Und natürlich sollte jeder Laptop, sobald er an das Unternehmensnetz angeschlossen ist, routinemäßig in die Content-Analyse gehen. Quelle: Computerzeitung, Ausgabe 7/2008

5 5 c.3 Netzwerkkommunikation Jeder, der im Zeitdruck des Tagesgeschäfts s versendet, hat es schon mal erlebt: Entweder vergisst man im Eifer des Gefechts, das Attachment anzufügen oder man erwischt das falsche. Oder man hat zwar die richtige Datei angefügt, klickt aber einen falschen Empfänger an. Ein versehentlicher Mausklick, der großen Schaden verursachen kann. Ebenso schnell gehen Daten via Instant Messaging, Wikis oder ein Social Network verloren. Hier gilt: Wer die Vorteile der schnellen, digitalen Kommunikation nutzt, muss für probaten Schutz sorgen. Im Web 2.0 helfen Technologien wie HTTP, SMTP und FTP, die Risiken zu minimieren. Und darüber hinaus kann es hilfreich sein, ausgewählte Inhalte für die Netzwerkkommunikation einfach zu sperren. 2.2 Richtlinien nach Nutzer, Inhalt und Speicherort differenzieren Nutzer, Inhalte und Speicherorte inklusive Netzwerkkommunikation sind die Dimensionen, entlang derer die Richtlinien zu formulieren sind. Denn allgemeine Regeln wie etwa Personenbezogene Daten dürfen nicht versendet werden machen keinen Sinn. Dem Mitarbeiter der Personalabteilung beispielsweise sollte es erlaubt sein, personenbezogene Daten an die Sozialversicherungsträger zu versenden. Die Informationen auf einen USB-Stick oder eine CD-ROM zu kopieren, will man aber vielleicht auch dem Mitarbeiter aus der Personalabteilung nicht gestatten. Und auf einem Desktop des Marketing-Teams haben personenbezogene Daten der Kollegen von vornherein nichts zu suchen. 2.3 Richtlinien für die Krisenkommunikation Allerdings dürfen sich die Richtlinien nicht in der Prävention erschöpfen. Ebenso müssen sie Handlungsanweisungen für den Fall beinhalten, dass trotz aller Präventionsmaßnahmen Daten verloren gehen. So sollten die Richtlinien beispielsweise festlegen, wer bei Datenverlust zu informieren ist, in welchen Fällen die Behörden einzuschalten oder in welcher Form eventuell kompromittierte Personen zu entschädigen sind. Sprachregelungen zur Information der Öffentlichkeit sind ein weiterer wichtiger Bestandteil. 3. Richtlinien implementieren und deren Einhaltung kontrollieren Die Richtlinien zu erstellen reicht aber nicht aus. Man muss sie implementieren und ihre Einhaltung überprüfen. Dazu sollten Nutzer regelmäßige Schulungen und Informationen erhalten. Nicht nur das: Idea ler weise wird das Know-how der Anwender um eine Technologie ergänzt, die die Einhaltung der Richt linien kontinuierlich und automatisch überprüft. Legen beispielsweise die Richtlinien fest, dass Kun dendaten nicht per versendet werden dürfen, sollte das System automatisch erkennen, wenn ein Nutzer dies trotzdem probiert. Und mehr noch: Das System sollte den Versuch stoppen und die Sicherheitsverantwortlichen darüber informieren. Zudem kann die Technologie dazu beitragen, die Mitarbeiter zu sensibilisieren, etwa mithilfe einer automatischen Benachrichtigung. Seite 6 Fast zwei Drittel der Kunden wollen heute wissen, ob ihre Daten beim Lieferanten sicher sind 70% 60% 50% 40% 30% 20% 10% 0% 64,16% 37,84% Ja Nein Fragen Ihre Kunden an, wie Ihr Unternehmen mit Datenschutz-relevanten Themen umgeht? Deloitte & Touche GmbH Wirtschaftsprüfungsgesellschaft

6 6 Schritt 1 In vier Schritten zum effektiven Sicherheitsmanagement Entwickeln einer Sicherheitspolitik Schritt 2 Erstellen des IT-Sicherheitskonzepts Fokus: Nutzer und Arten von Informationen Schritt 3 Realisieren der IT-Sicherheitsmaßnahmen Schulung der Nutzer, IT-Software zur automatisierten Überprüfung der Richtlinieneinhaltung Schritt 4 Laufende Aktualisierung Überprüfung neuer Abläufe, Technologien und gesetzlicher Vorgaben Denn der Satz Sie versuchen gerade, vertrauliche Daten zu versenden kann einen unbeabsichtigten Fehler verhindern. Die Nachricht Sie versuchen gerade, eine veraltete Version dieser Datei zu versenden ermöglicht sogar eine automatische Qualitätskontrolle. 4. Verantwortlichkeiten klar definieren Nicht zuletzt sollten Unternehmen dafür sorgen, dass die Verantwortlichkeiten bei der Datenverlust- Prävention eindeutig geregelt sind. Denn nur wenn klar ist, wer im Worst Case die Konsequenzen trägt, wird es gelingen, eine wirksame Sicherheitspolitik zu implementieren. 5. Fazit: Klare Richtlinien beugen vor Natürlich kann auch die beste Sicherheitsrichtlinie samt entsprechender Technologie nicht verhindern, dass Daten gestohlen werden. In jedem Fall aber werden sie dazu beitragen, das Sicherheitsniveau im Unternehmen deutlich zu erhöhen. Denn wenn klare Regelungen existieren und kontinuierlich kommuniziert werden, gehen die Mitarbeiter mit sensiblen Daten verantwortungsvoller um und das Risiko versehentlicher Datenverluste sinkt. Symantec (Deutschland) GmbH Humboldtstraße Aschheim Deutschland Tel.: +49 (0) Fax: +49 (0) Symantec (Austria) GmbH Wipplingerstraße Wien Österreich Tel.: +43 (0) Fax: +43 (0) Symantec (Switzerland) AG Andreasstraße Zürich Schweiz Tel.: +41 (0) Fax: +41 (0) Papier umweltschonend hergestellt aus nachhaltig bewirtschafteten Wäldern. Copyright 2009 Symantec Corporation. Alle Rechte vorbehalten. Symantec und das Symantec-Logo sind Marken oder eingetragene Marken der Symantec Corporation oder ihrer verbundenen Unternehmen in den USA oder in anderen Ländern. Andere Bezeichnungen können Marken anderer Rechteinhaber sein. 5/09