6 Tipps zur Datensicherheit für Unternehmen
In den letzten Jahren, als die Digitalisierung sich auf alle Sektoren ausgeweitet hat, sind Daten und insbesondere sensible Daten zu einem immer wertvolleren Gut geworden. Das hat die Aufmerksamkeit sowohl von Cyberkriminellen als auch von Gesetzgebern auf sich gezogen hat. Unternehmen, die die persönlichen Daten von Mitarbeitern und Kunden sammeln, sind zu attraktiven Zielen für Cyberattacken geworden und fallen aufgrund ihrer Größe oder des Umsatzvolumens häufig unter die Datenschutzbestimmungen oder sonstige Vorgaben zur Informationssicherheit.
Angesichts der doppelten Herausforderung des Datenschutzes und der Einhaltung von Vorschriften haben Unternehmen begonnen, stark in Datenschutzstrategien zu investieren, konzentrieren sich aber oft auf externe Bedrohungen. Und obwohl diese für etwa die Hälfte aller Datenschutzverletzungen verantwortlich sind, sind 49% davon auf menschliches Versagen und Systemfehler zurückzuführen, so der 2019 Cost of a Data Breach Report, der vom Ponemon Institute und IBM Security veröffentlicht wurde.
Die Datensicherheit wird oft durch Fahrlässigkeit von Mitarbeitern gefährdet: eine E-Mail, die an die falsche Adresse geschickt wurde, ein USB-Stick, der an einem öffentlichen Ort vergessen/verloren wurde. Dateien, die zu groß für einen E-Mail-Anhang sind, werden über unsichere Drittanbieterdienste übertragen. Was können Unternehmen also tun, um sicherzustellen, dass ihre Daten sicher sind, und zwar nicht nur vor Außenstehenden, sondern auch vor Insidern? Hier sind unsere Tipps.
Prüfen Sie Ihren Datenfluss
Eine Prüfung ist die Grundlage jeder guten Datenschutzstrategie. Der Grund dafür liegt auf der Hand: Bevor Unternehmen mit dem Schutz ihrer Daten beginnen können, müssen sie wissen, welche Art von persönlichen Informationen sie sammeln, wo sie gespeichert werden und wie sie verwendet werden. Durch das Auffinden und Überwachen sensibler Daten können Unternehmen Schwachstellen in ihrem Datenfluss aufdecken und beim Aufbau ihrer Datenschutzstrategien fundierte Entscheidungen treffen.
Indem sie identifizierte Risiken angehen sparen Sie Geld und Ressourcen. Sie implementieren Lösungen, die auf die Schwachstellen der Daten in ihrem Netzwerk zugeschnitten sind. Die Datenüberwachung hilft Unternehmen festzustellen, wie sensibilisiert die Mitarbeiter für das Thema Datenschutz sind, wie diese mit Daten umgehen. Dies ermöglicht effiziente, gezielte Schulungen durchzuführen und die Awareness zu erhöhen.
Mitarbeiter schulen
Unternehmen müssen sicherstellen, dass Mitarbeiter die Bedeutung von Datenschutzes verstehen. Auch müssen Mitarbeiter erkennen welchen Reputationschaden oder auch finanzielle Folgen eine Datenschutzverletzung mit sich bringt . Allen Mitarbeitern, die direkt mit sensiblen Daten umgehen, sollten Schulungen angeboten werden, um sicherzustellen, dass sie die besten Datensicherheitspraktiken kennen und wissen, welche Schritte sie unternehmen müssen, um einen potenziellen Sicherheitsvorfall zu vermeiden oder zu bemerken.
Die Mitarbeiterawarenes kann durch die Vermittlung klarer Szenarien, die bei den täglichen Aufgaben auftreten können, erheblich verbessert werden. Praktische Ratschläge, die direkt nach dem Ende einer Schulung angewendet werden können, sind ebenfalls ein wichtiger Bestandteil jeder erfolgreichen Schulung. In Schulungen werden oftmals auch unbewusste Handlungsweisen der Mitarbeiter erkannt und können behoben werden.
Compliance und gesetzlichen Anforderungen verstehen
Eine solide Datenschutzstrategie kann zwar die sensiblen Daten eines Unternehmens sichern, bedeutet aber nicht unbedingt, dass sie auch den Datenschutzbestimmungen entspricht. In der Tat verlangen viele neue Vorschriften wie die Allgemeine Datenschutzverordnung der EU (DSGVO) oder der California Consumer Privacy Act (CCPA) nicht nur, dass Unternehmen Daten sicher aufbewahren, sondern bieten den Betroffenen auch neue Rechte in Bezug auf ihre Daten, wie das Recht, vergessen zu werden oder das Recht, sich gegen den Verkauf ihrer persönlichen Daten zu entscheiden.
Es kann auch sein, dass, obwohl die Datenprüfung ergeben hat, dass ein Unternehmen vielleicht nicht bestimmte Schutzmechanismen benötigt, es gesetzlich verpflichtet sein könnte, diese umzusetzen, unabhängig davon, ob sie für das Unternehmen nützlich sind oder nicht. Es ist daher von wesentlicher Bedeutung, dass Unternehmen verstehen, welche Vorgaben für ihr Unternehmen, ihre Region und/oder ihr Land gelten, und dass sie sicherstellen, dass ihre Datenschutzstrategien diese berücksichtigen.
Schützen Sie bewegte Daten
Viele Unternehmen neigen dazu, ihre Datenschutzstrategien auf sensible Daten zu konzentrieren, die sich innerhalb der Grenzen ihres Unternehmensnetzwerks befinden. Da jedoch die Arbeit an dezentralen Standorten immer beliebter wird oder aufgrund von Notfällen wie der jüngsten COVID-19-Pandemie durchgesetzt wird, sollten Datenschutzstrategien auch Richtlinien umfassen, die sicherstellen, dass auf Firmengeräten gespeicherte Daten geschützt bleiben, unabhängig davon, ob sie sich im Büro befinden oder außerhalb.
Der Einsatz von VPNs und Datenschutzlösungen, die Richtlinien auf Endpunktebene anwenden und daher auch außerhalb von Unternehmensnetzwerken weiterhin aktiv sind, sind einige der Dinge, die Unternehmen beim Aufbau ihrer Datenschutzstrategien für die Remote-Arbeit berücksichtigen sollten.
Überwachen Sie Geräte, die eine Verbindung zu Ihrem Netzwerk herstellen
Ein weiterer blinder Fleck der Datenschutzstrategien sind Wechseldatenträger wie USBs. USBs sind heute ein beliebtes Hacking-Tool und ein häufig verloren gegangener Gegenstand. Seit Jahren untergraben sie die Datenschutzstrategien von Unternehmen. Unternehmen haben die Möglichkeit, ihre Verwendung insgesamt zu blockieren, indem sie Gerätekontrollwerkzeuge einsetzen, mit denen sie die Verwendung von Peripheriegeräten und USB-Ports an Firmencomputern blockieren oder einschränken können.
Alternativ können sie die Verwendung von vertrauenswürdigen Geräten einführen, so dass nur vom Unternehmen ausgegebene Wechseldatenträger an einen Arbeitsplatz angeschlossen werden können. Es besteht auch die Möglichkeit, die Verschlüsselung auf allen USBs durchzusetzen, die an einen Endpunkt des Unternehmens angeschlossen sind, so dass sichergestellt ist, dass jedes Mal, wenn ein Mitarbeiter Dateien auf einen USB kopiert, diese verschlüsselt und für niemanden ohne Passwort zugänglich sind.
Implementieren Sie einen Plan zur Reaktion auf Datenverletzungen (Incident Response plan)
Schließlich ist keine Datenschutzstrategie zu 100% sicher. Selbst die umfassenden kritischen Sicherheitskontrollen nach CIS 20 Critical Security Controls können nur 97% aller Datenschutzverletzungen verhindern. Dies ist vor allem auf die Unvorhersehbarkeit von Sicherheitsvorfällen zurückzuführen. Eine neue Software- oder Hardwareschwachstelle kann entdeckt und ausgenutzt werden, bevor sie gepatcht wird, oder ein gut ausgebildeter Mitarbeiter kann müde werden und einen Fehler machen.
Die effektivste Art und Weise, mit einer Datenverletzung umzugehen, ist die Notfall Planung. Durch das Erstellen und den Test eines Reaktionsplans für Datensicherheitsverletzungen können Unternehmen sicherstellen, dass im Falle einer Datensicherheitsverletzung die Ursachen schnell entdeckt werden, Abhilfemaßnahmen ergriffen werden und die Mitarbeiter genau wissen, wie sie vorgehen müssen. Eine effiziente Reaktion auf einen Datenverstoß kann Unternehmen erhebliche Kosten sparen und dazu beitragen, die Schwere eines Sicherheitsvorfalls zu mildern.
