Es ist nicht länger an der Zeit, darüber zu diskutieren, ob Daten im Unternehmen geschützt werden müssen. Jetzt gilt es zu handeln und ein Gut zu schützen, das für Unternehmen von grundlegender Bedeutung geworden ist. Eine Beeinträchtigung dieses Gutes kann zu Wertverlusten und Reputationsschäden für das gesamte Unternehmen führen. Didier LAVOINE erläutert die Hintergründe.
Ist Datensicherheit in Unternehmen nicht bereits seit Langem ein wichtiges Thema?
Didier Lavoine: Erstaunlicherweise nicht. Das Thema ist tatsächlich noch relativ neu. Zuvor konzentrierte sich die Sicherheitsfrage auf das gesamte Informationssystem: Infrastruktur, Architektur und Anwendungen. Das wichtigste Ziel bestand darin, Betriebsunterbrechungen möglichst zu vermeiden und gleichzeitig die Zugänge sowie den Perimeter des Informationssystems abzusichern.
Was sich beim Übergang vom Konzept der „Unternehmens-IT“ zu dem des „Informationssystems“ bereits abzeichnete, ist heute Realität: Wir leben inzwischen in einer datengetriebenen Welt. Ob roh, verarbeitet oder flüchtig: Daten haben einen Wert. Auch Hacker haben dies längst verstanden. Während ihre „Erfolge“ lange Zeit vor allem darin bestanden, Informationssysteme lahmzulegen, gehören der Diebstahl, die Veränderung und die Beschädigung von Daten heute zu ihren wichtigsten Zielen.
Geht dieses Thema damit weit über die Zuständigkeit der IT-Abteilung hinaus?
DL: Absolut! Es handelt sich um eine unternehmensweite Herausforderung. Dies gilt umso mehr, als eine unzureichende Absicherung bestimmter Informationen, beispielsweise personenbezogener Daten im Rahmen der DSGVO, strafrechtliche Sanktionen nach sich ziehen kann.
Die Daten eines Unternehmens und ihre Sicherheit bilden daher einen zentralen Schwerpunkt der Governance. Bei DEEP sind wir überzeugt, dass die IT-Abteilung heute ebenso wie die anderen Unternehmensbereiche – beispielsweise Finanzwesen, Vertrieb und Operations – in den Leitungsgremien vertreten sein muss. Dabei spielt es keine Rolle, wie diese Gremien bezeichnet werden: Geschäftsleitung, Board, Exekutivausschuss, Lenkungsausschuss usw.
Welcher Ansatz empfiehlt sich für die Datensicherheit?
DL: Zunächst empfehlen wir einen zugleich pragmatischen und strukturierten Ansatz im Rahmen einer vorausschauenden Strategie. Die Entwicklung eines Datensicherheitsplans ist lediglich der erste Schritt. Damit dieser langfristig wirksam bleibt, muss er kontinuierlich gesteuert und weiterentwickelt werden.
Der erste Schritt besteht in der Identifizierung der Assets, insbesondere der Datenbanken, die im Zusammenhang mit Daten bei Weitem zu den bevorzugten Angriffszielen zählen. Dabei müssen sowohl technologische Aspekte – Hersteller, Version, Administrationsverfahren usw. – als auch die Nutzung berücksichtigt werden. Letztere wird anhand einer Analyse der geschäftlichen Auswirkungen, einer sogenannten Business Impact Analysis (BIA), bewertet. Dadurch können die Datenbanken entsprechend ihrer geschäftlichen Kritikalität priorisiert werden.
Anschließend gilt es, für jedes einzelne Asset die Schwachstellen zu analysieren und die bereits vorhandenen Sicherheitsmaßnahmen zu identifizieren, bevor schließlich Risikoszenarien entwickelt werden. Auch organisatorische Aspekte dürfen dabei nicht außer Acht gelassen werden.
Welche Bereiche werden konkret untersucht?
DL: Auf Grundlage unserer Erfahrung im Datenbankmanagement, insbesondere mit Oracle-Datenbanken unabhängig von der jeweiligen Version, haben wir ein Referenzmodell für die Sicherheitsanalyse entwickelt. Dieses umfasst sieben zentrale Bereiche:
-
Die Zugriffsverwaltung
-
Die Absicherung der Daten, einschließlich ihrer Verfügbarkeit
-
Die Umgebung: Infrastruktur und Architektur
-
Die Aufrechterhaltung des Betriebs
-
Lizenzen und Lieferantenverträge
-
Die Teams, einschließlich personalbezogener Aspekte
-
Die physische Sicherheit
An diese Analyse schließt sich eine Remediationsphase an, die sich bei Oracle-Datenbanken auf verschiedene Oracle-Lösungen stützt, darunter:
-
Die Maskierung von Daten mit Data Masking & Subsetting
-
Die Verschlüsselung von Daten mit Network Encryption und Transparent Data Encryption
-
Das Management des Datenbanklebenszyklus mit Database Lifecycle Management
-
Die Verdeckung beziehungsweise Pseudonymisierung von Daten mit Data Redaction
-
Die erweiterte Zugriffskontrolle mit Database Firewall und Database Vault
-
Die einheitliche Kontrolle von Datenbanken mit Database Security Assessment (DBSAT) und Data Safe
Für jedes identifizierte Risiko muss der Sicherheitsplan die entsprechenden Maßnahmen, deren Reifegrad sowie ihre zeitliche Weiterentwicklung festlegen. Denn auch hier gilt: Der Datensicherheitsplan muss langfristig gesteuert werden, damit er wirksam ist und bleibt.
Zu diesem Zweck haben wir uns dafür entschieden, dieses Konzept mit einem Risk-Management-Tool für das Management von Cyberrisiken und Compliance auszustatten.
Wie steht es um Risiken im Zusammenhang mit Normen und Standards?
DL: Seit etwa zwei Jahren ist dies eindeutig ein wichtiges Thema für Unternehmen: ITIL allein reicht nicht mehr aus, und viele Unternehmen haben bereits einen Prozess zur ISO-27001-Zertifizierung eingeleitet. In diesem Zusammenhang müssen eine durchgängige Nachvollziehbarkeit der Daten und ein kontinuierlicher Verbesserungsprozess gewährleistet werden. Heute können wir unsere Kunden dabei unterstützen, die Sicherheitsaspekte ihrer Daten problemlos in ihre ISO-27001-Initiativen zu integrieren.
Welche Empfehlungen geben Sie abschließend Unternehmen, die mit der Absicherung ihrer Daten beginnen möchten?
DL: Auch wenn es aus unserer Sicht eine Reihe bewährter Verfahren gibt, existiert nicht der eine richtige Ansatz. Dieser hängt unter anderem von der Umgebung und Organisation des Unternehmens sowie von den vorhandenen Datentypen und Datenmengen ab.
Fest steht jedoch, dass kein „Big Bang“ erforderlich ist. Stattdessen sollte mit einigen wenigen Datenbanken begonnen werden – insbesondere mit den kritischsten Datenbanken, von denen die Geschäftskontinuität unmittelbar abhängt.
In jedem Fall muss eine langfristige operative Überwachung gewährleistet werden. Denn ein Datensicherheitsplan, der zu einem bestimmten Zeitpunkt sinnvoll und leistungsfähig ist, bleibt dies in der Regel nicht lange.
