Datenschutz und Digitalisierung – Best Practices für Business und IT

Was können Unternehmen proaktiv tun, um den Anforderungen bezüglich Datenschutz und -sicherheit Rechnung zu tragen? Wir stellen grundlegende Lösungsansätze vor.

Autor: Christian Ludt

Der Zugriff auf sensible Daten ist immer selbstverständlicher, und mit FinTech, InsureTech und LegalTech erschliessen sich immer mehr Möglichkeiten. Der Datenschutz darf jedoch nicht auf der Strecke bleiben. Mit dem Inkrafttreten der neuen europäischen Datenschutzgrundverordnung (englisch GDPR) am 25. Mai 2018 gewinnt der Datenschutz noch mehr an Bedeutung. Was können Sie nun proaktiv tun? Wir stellen Ihnen hier die Herausforderungen sowie die grundlegenden Lösungsansätze vor.

Schützenswerte Daten identifizieren

Der Schutz von Daten beginnt damit, schützenswerte Daten innerhalb der Organisation ausfindig zu machen und das damit verbundene Risiko einzuschätzen. Werden zum Beispiel personenbezogene Daten bearbeitet oder Daten, die Firmengeheimnisse repräsentieren? Welcher Schaden entsteht, wenn die Daten entwendet werden oder verloren gehen? Welchen Schutzbedarf ein Unternehmen für die jeweiligen Daten festlegt, hängt von seinem „Risk Appetite“ ab. An dieser Stelle fliessen auch rechtliche Aspekte ein. Diese haben beispielsweise Einfluss auf den Entscheid, ob und welche Daten in die Cloud verlagert werden.

Schützenswerte Daten beim Zugriff schützen

Wenn schützenswerte Daten identifiziert sind, lassen sich entsprechende Zugriffsschutzmassnahmen implementieren. Um einen effektiven Zugriffsschutz zu bieten, sind folgende Praktiken zu befolgen:

  • Benutzeridentitäten und deren Berechtigungen zentral verwalten. Dies erlaubt auf zuverlässige Art und Weise, Berechtigungen für diverse Anwendungen zu erteilen oder zu entziehen.
  • Einsatz von unpersönlichen oder Gruppen-Accounts vermeiden, da keine eindeutige Beziehung zu einer Benutzeridentität hergestellt werden kann und dadurch die Nachvollziehbarkeit verloren geht. Besonderes Augenmerk gilt privilegierten Accounts.
  • Datenzugriffe im Namen der anfragenden Benutzeridentität realisieren. Dadurch wird die Nachvollziehbarkeit einfacher sichergestellt. Hier sind Standard-basierte Mechanismen zur Identitätspropagierung einzusetzen.
  • Sicherheitsfunktionen wie Authentifizierung, Durchsetzung von Sicherheits-Policies und Schutz vor Angriffen möglichst auf dedizierte Sicherheitskomponenten wie API Gateways und Web Application Firewalls auslagern. Auch feingranulare Zugriffsentscheide lassen sich auf zentrale Autorisierungsserver auslagern.

Nachvollziehbarkeit beim Zugriff gewährleisten

Zugriffsschutzmassnahmen sind nur eine Seite der Medaille. Um die von der Compliance geforderte Nachvollziehbarkeit zu gewährleisten, ist ein hohes Mass an Transparenz und Kontrolle beim Access Management erforderlich. Rein organisatorisch lässt sich das kaum bewerkstelligen. Wie lässt sich also die nötige Nachvollziehbarkeit sicherstellen? Folgende Best Practices geben Auskunft:

IAM Werkzeug für zentrales Verwalten von Benutzeridentitäten und Berechtigungen. Dies ermöglicht die Kontrolle darüber, welche Benutzer welche Rechte in welchen Anwendungen haben. Regelwerke zur Prozessautomatisierung helfen dabei, diese Kontrolle mit minimalem organisatorischen Overhead auszuüben. Automatisierte Re-Zertifizierungskampagnen erlauben es, überflüssige Berechtigungen sofort zu entziehen damit das Need-to-Know-Prinzip eingehalten wird.

Fachliche Berechtigungen aus den Anwendungen auslagern. Der feingranulare Zugriff auf Daten ist oft innerhalb der einzelnen Applikationen gelöst und aus Sicht Compliance eine Blackbox. Das ist besonders dann problematisch, wenn die gleichen Daten von verschiedenen Anwendungen verwendet werden und der Zugriff durch komplexe, fachliche Berechtigungen gesteuert ist (z.B. Zugriff auf Versichertendossiers abhängig von Kompetenz, Agentur, Fall, usw.). Die Transparenz wird erhöht, indem solche Berechtigungen aus den Applikationen extrahiert und als Zugriffsregeln in einem Tool zentral verwaltet werden. Zudem wird die Konsistenz der Zugriffsberechtigungen über mehrere Anwendungen hinweg gewährleistet.

Schützenswerte Daten schon während der Software-Entwicklung absichern

Dem Schutz von sensiblen Daten muss bereits während des Software Entwicklungs- und Testzyklus Rechnung getragen werden. Ein häufiges Problem stellen schützenswerte Daten wie Personen- oder Geschäftsdaten dar, die in der Softwareentwicklung und bei Fachtests häufig freizügig verwendet werden. Die Daten werden dazu oftmals aus Produktivsystemen kopiert und in nicht-produktiven Systemen wiederverwendet. Dieses Vorgehen widerspricht meist nicht nur dem Datenschutzgesetz, sondern auch den Firmen-internen Vorgaben.

Abhilfe schafft ein gut durchdachtes Testdaten-Management. Dazu zählt neben dem Anonymisieren von sensiblen, produktiven Daten die Anreicherung mit synthetischen Daten. Bei der Anonymisierung werden Daten verfremdet, bei letzterem werden Daten künstlich erzeugt. Auch Simulationen oder Virtualisierungen von Umsystemen helfen, den Zugriff auf schützenswerte Daten zu vermeiden.

Mit der Verbreitung von DevOps und bei häufigen Release-Zyklen sollte IT-Sicherheit früh im Entwicklungszyklus verankert werden. Das ist einerseits eine Mindset Frage: jeder sollte bezüglich Security sensibilisiert werden. Andererseits kann IT-Sicherheit auch Tool-unterstützt durchgesetzt werden: beispielsweise kennen aktuelle Repository-Manager die Angriffsmöglichkeiten und sperren entsprechende Bibliotheken oder lösen den Software Build mit aktuellen Bibliotheksversionen aus.

Fazit

Der Schutz von Daten ist enorm wichtig und gewinnt durch die neue europäische Datenschutzgrundverordnung und das sich gerade in der Vernehmlassung befindliche neue Schweizer Datenschutzgesetz weiter an Bedeutung. Mit entsprechenden Massnahmen und Best Practices lassen sich die Herausforderungen frühzeitig und effektiv adressieren.