Data Loss Prevention - Wie lässt sich Datenschutz im Unternehmen sicherstellen?

Data Loss Prevention Wie lässt sich Datenschutz im Unternehmen sicherstellen? White Paper Datenschutz unD Datensicherheit hatten seLten mehr Brisanz aLs heute. 2 inhaLt » Einleitung 4 » Herausforderungen im modernen Datenschutz 6 » Was ist DLP? 7 » DLP im Rechenzentrum 8 » DLP im Netzwerk 9 » DLP in Endgeräten 9 » RSA Data Loss Prevention Suite 10 » Schlusswort 11 » Über Atos Origin und RSA 12 einLeitung i n Zeiten, in denen Informationen zum wichtigsten einer Vielzahl dieser Geräte befanden sich vertrauliche, Kapital eines Unternehmens gehören, beschäf- unternehmenskritische und interne Informationen. tigt ein zentrales Thema die Sicherheits- und IT-Verantwortlichen in Unternehmen und Behörden: Wie diese Beispiele zeigen, kann der Verlust vertrau- Datenschutz und Datensicherheit hatten selten mehr licher oder Regularien unterworfener Daten, die oft im Brisanz als heute. Schon aufgrund der schwerwie- gesamten Unternehmen verteilt sind, sehr negative genden Folgen, die ein Informationsabfluss in punkto Folgen für das Unternehmen haben: das Vertrauen Geschäftserfolg und Kundenvertrauen haben kann, der Kunden wird beeinträchtigt, der Ruf des Unterneh- sollten sich Unternehmen intensiv mit dem Thema mens leidet und dies wirkt sich nicht zuletzt auch auf Risiko-Management beschäftigen und geeignete den Umsatz und Gewinn aus. Daher müssen Daten- Maßnahmen zur Datensicherheit einleiten. verluste nicht nur aus gesetzlichen, sondern auch aus unternehmerischen Gründen unbedingt vermieden Seit Januar 2005 waren mehr als 250 Millionen Daten- werden. Geschäftskritische Daten sollten daher so sätze, die vertrauliche, personenbezogene Informatio- vorgehalten werden, dass sie gegen gewollten oder nen enthielten, von Datenschutzverletzungen betrof- ungewollten Missbrauch, Verlust oder Beschädigung fen. Die finanziellen Konsequenzen solcher Vorfälle geschützt sind. für eine Organisation sind sehr hoch. Das Ponemon Institut beziffert, dass die durchschnittlichen Kosten In den vergangenen Jahren haben sich Aufmerksam- bei Datenschutzverletzungen von 143 Euro pro Daten- keit und Investitionen im Bereich Datensicherheit satz im Jahr 2008 auf 146 Euro pro Datensatz in 2009 jedoch verlagert: Stand früher noch der Schutz des gestiegen sind. Netzwerks gegen Angriffe von außen im Vordergrund, so ist es heute der Schutz der Systeme innerhalb Eine kurze Chronik der Datenskandale der Vergangen- des Netzwerks und der Schutz der Daten selbst, den heit zeigt, dass auch namhafte Unternehmen davon IT-Verantwortliche sicherstellen müssen. nicht verschont bleiben: Die Menge der digitalen Daten nimmt stetig zu, und 05. FeBruar 2010 in einer modernen Arbeitswelt verlassen diese Daten Ein Informant hat der deutschen Finanzverwaltung über Laptops, USB-Sticks, PDAs oder per E-Mail eine CD mit Daten von 1.500 Steuerhinterziehern immer häufiger den Bereich der gesicherten Infor- angeboten, die ein Konto in der Schweiz haben. Dafür mationsinfrastruktur und werden von verschiedenen wurden 2,5 Millionen Euro verlangt. Das betroffene internen und externen Nutzern verarbeitet. Dieser Kreditinstitut hatte bereits erklärt, keine Hinweise auf Paradigmenwechsel beim Schutz sensibler Daten und einen Datendiebstahl zu haben. der Risikominderung in Unternehmen ist zudem auch durch diese Faktoren bedingt: 02. FeBruar 2010 Cyber-Angriff auf ein börsennotiertes Handelssystem - » Immer mehr Daten gehen innerhalb des Unter- Hacker stehlen 250.000 Zertifikate. Kurzzeitig war der nehmens verloren. Börsenhandel ausgesetzt worden. » Unternehmen speichern zunehmend sensible Daten. 16. oktoBer 2009 » Daten werden immer öfter von mehreren Personen Einem namhaften Finanzdienstleister in Deutschland verwendet – sowohl internen als auch externen. wurden in großem Umfang Kundeninformationen » Es gibt eine immer größere Nachfrage und illegale entwendet - mehrere Tausend Datensätze mit vertrau- Märkte für personenbezogene Daten. lichen Kundendaten sind betroffen. » Die durch Richtlinien geprägte Umgebung wird größer und zunehmend komplexer. 27. Januar 2009 Datenpanne bei einem Telekommunikationsunterneh- Die Novellierung des Bundesdatenschutzgesetzes men: Mehrere hundert Datensätze von Neukunden (BDSG) in 2009 hat ebenfalls dazu beigetragen, dass waren über einen einfachen Internet-Link tagelang Unternehmen das Thema Datensicherheit stärker für jedermann abrufbar. Ein Unternehmenssprecher beachten müssen. Das BDSG schreibt unter ande- spricht von einem „höchst ärgerlichen Betriebsfehler“. rem härtere Konsequenzen für Unternehmen beim fahrlässigen Umgang mit personenbezogenen Daten Zudem haben Umfragen zufolge Fahrgäste in nur vor. Der neue § 42a des BDSG sieht beispielsweise einem halben Jahr sage und schreibe 55.000 Mobil- beim Verlust sensibler Daten eine Informationspflicht telefone, 5.000 Handhelds, 3.000 Notebooks und gegenüber den Aufsichtsbehörden und den Betroffe- 900 USB-Sticks in Londoner Taxis liegen lassen. Auf nen vor. Dies beinhaltet, dass Letztere beispielsweise 4 geschäftsrisiko gründe für den schutz risikobehaftete Daten (Beispiele) Folgen des Datenmissbrauchs Regulatorisch Compliance mit geltenden Finanzdaten: Informationen, die Geldstrafen, geringeres Kundenver- Gesetzen und Datenschutz- internationalen Richtlinien wie trauen, Kosten für Aufdeckung des richtlinien Sarbanes-Oxley (SOX) und Payment Betrugs Card Industry (PCI) unterliegen Personenbezogene Daten: Mitarbei- ter- und Kundendaten, die Richtlinien wie Bundesdatenschutzgesetz, Gesellschaftsrecht und KonTraG unterliegen Nicht regulatorisch Schutz von Geschäfts- Preisgestaltung, Fusionen und Über- Verlust des Wettbewerbsvorteils, unzu- strategie und betrieblichen nahmen, Vertriebs- und Marketing- friedene Kunden, Umsatzverluste, Informationen daten, Quellcode, Patente, Entwürfe Schaden des Markenwerts und geringe oder Entwicklungs-dokumentationen Arbeitsmoral Schutz von geistigem Eigentum in einer bundesweit erscheinenden Tageszeitung zu Handeln. Klar sein dürfte, dass im Laufe der Zeit die informieren sind. Darüber hinaus wurden die Bußgeld- Risiken des Verlustes sensibler Daten immer höhere strafen deutlich erhöht. Kosten für das Unternehmen mit sich bringen, zum Beispiel durch Fehlerkorrektur, Compliance-Aufwen- Der Paradigmenwechsel wird dadurch verstärkt, dass dungen, unzufriedene Kunden und Imageverluste. herkömmliche Sicherheitstechnologien, die sich auf Hacker und den Peripherieschutz konzentrierten, zur Angesichts dieser Sicherheitslage ist ein umfassendes strategischen Sicherung der Unternehmensdaten Risiko-Management von zentraler Bedeutung. Dazu längst nicht mehr ausreichen. Ein Umdenken ist er- gehört zum einen die Schulung und Sensibilisierung forderlich, um vor allem Bedrohungen von innen zu der Mitarbeiter für den richtigen Umgang mit vertrau- begegnen, die durch kriminelle Absicht oder un- lichen Informationen. Zum anderen ist eine informati- wissentlich durch fehlerhafte Unternehmens- und onszentrierte Strategie notwendig, die effektive Mittel Sicherheitsprozesse entstehen können - wie auch zur Erkennung, Bewertung und Minderung der Risiken der Lagebericht zur Informationssicherheit (KES, Nr. 4, bereitstellt, denen Informationen über ihren gesamten 2008) belegt. Hier ist erkennbar, dass die größten Lebenszyklus hinweg ausgesetzt sind. Damit können Schäden durch Irrtum und Nachlässigkeit eigener Unternehmen ihre Ressourcen und Geschäftspro- Mitarbeiter verursacht werden. Eine im Auftrag von zesse schützen und dafür sorgen, dass gesetzliche, RSA, The Security Division of EMC, erstellte IDC- behördliche und sonstige Sicherheitsanforderungen Studie zeigt zudem, dass versehentliche Verstöße eingehalten werden.