IT-Sicherheit und Prävention

Dank vereinheitlichter Regeln im Umgang mit personenbezogenen Daten durch private Unternehmen und öffentliche Stellen gelten zukünftig europaweit schärfere Bedingungen. Konkret geht es insbesondere um die Wahrung von Rechten der Betroffenen und den Pflichten der Verantwortlichen. Zu den relevanten Neuerungen gehören beispielsweise das Recht auf Datenmitnahme beziehungsweise
Datenportabilität.

Neu ist auch die Maßgabe eines Software-Designs, bei dem Privatsphäre-Einstellungen mit Auslieferung in Anwendungen und Produkten voreingestellt sind. Mit der Datenschutzfolgeabschätzung sollen Risiken einer Datenverarbeitung und deren möglicher Folgen für die persönlichen Rechte und Freiheiten der Betroffenen künftig vorab beurteilt werden können. 

Weiterhin ermutigt die EU-DSGVO zur Entwicklung sogenannter Verfahrensregeln (Code of Conduct), um die oft abstrakten Vorgaben für den eigenen Geschäftsbereich zu konkretisieren. Das Verhältnis von Datenschutz und IT-Sicherheit wird ausdrücklich definiert. Unternehmen werden verpflichtet, IT-Sicherheitsmaßnahmen unter Berücksichtigung des aktuellen Standes der Technik zu ergreifen, um ein dem Risiko angemessenes Schutzniveau zu gewährleisten.

Prävention schützt vor Datenverlusten

Mit der Verordnung einher geht die Forderung, dass Unternehmen besonders personenbezogene Daten besser abschirmen. Ein wichtiger Schritt, solche Daten besser zu schützen, ist das Monitoring aller Vorgänge im gesamten Netzwerk. Zum einen, um Sicherheitsvorfälle durch Angriffe aufzudecken, aber auch um den Abfluss von Daten sowohl extern als auch intern zu vermeiden. In diesem Zusammenhang spielen SIEM-Lösungen (Security Information and Event Management) eine besondere Rolle.

Unternehmen werden verpflichtet, Maßnahmen nach aktuellem Stand der Technik zu ergreifen.

Die Fülle der Angebote von Lösungen für SIEM macht es schwer, eindeutig zu erkennen, was sich hinter dem Begriff wirklich verbirgt. Häufig werden die Anforderungen auf Log-Management und die Analyse von Log-Files (Dateien, die unter anderem Webnutzungen und Adressen dokumentieren) reduziert. Geeignete Lösungen können Events und Log-Files sammeln, korrelieren und analysieren und Sicherheitsvorfälle in Echtzeit analysieren, sowie Reports automatisch erstellen und nicht zuletzt einfach und schnell in bestehende IT-Systeme integriert werden. Bei Cyberangriffen, die auf den Diebstahl personenbezogener Datensätze abzielen, machen diese Systeme sichtbar, was im Netzwerk vorgeht. Per Warnung wird ein tatsächlicher oder versuchter Zugriff auf sensible Bereiche des Firmennetzwerks angezeigt.

Prozesse müssen nahtlos ineinandergreifen

Unternehmen mit großen Datenaufkommen gelingt mit System, tägliche Vorhersagen über ihr Datenaufkommen, Sicherheitsvorfälle und drohende Engpässe zu erhalten. Wenn alle internen Prozesse nahtlos ineinandergreifen, können Mitarbeiter komfortabel in Echtzeit auf gewünschte Daten zugreifen. Besonders aussagefähige Informationen sind aus den Log-Daten zu gewinnen, und eine kontinuierliche und automatisierte Auswertung erfolgt.

Organisationen, die personenbezogene Daten verarbeiten, müssen bis Mai ihre Strategien in die Praxis umgesetzt haben, um ihre IT-Systeme vor Cyberangriffen zu schützen Der Weg zu einem ehrlichen Datencheck könnte über die Simulation einer Attacke erfolgen. Sicherheitsexperten schlüpfen in die Rolle des Hackers und sammeln alle relevanten Informationen für einen Angriff. Nach der Identifikation von Sicherheitslücken wird in Form einer Schwachstellen-Analyse ein Konzept erarbeitet, um mögliche Lücken zu schließen. Eine solche IT-Gesamtaufnahme umfasst die Infrastruktur, die Anwendungen im Internet, die mobilen Geräte, die WLAN-Verbindungen, die zentralen Hardware-Komponenten und alle Web-Applikationen. Werden solche Tests regelmäßig durchgeführt, ist ein relativ hohes Niveau an Vorkehrungen erreicht. Die totale Sicherheit gibt es sowieso nicht.