Sicherheit in Geschäftsprozesse integrieren


Neue EU-Datenschutzrichtlinie ein Meilenstein für die Transparenz in der IT-Sicherheit
Gegenwärtig investieren Unternehmen hohe Budgets, um gesetzlich vorgeschriebene Compliance-Audits zu absolvieren


(02.03.12) - Ende Januar 2012 hat die Europäische Kommission eine umfangreiche Reform der EU-Datenschutzrichtlinie vorgeschlagen, die das Recht auf Schutz der Privatsphäre im Internet verstärken und der digitalen Wirtschaft weiteren Schub verleihen soll. Einige Details dieser neuen Regularien werden sich gravierend auf die künftigen IT- und Sicherheitskonzepte der Unternehmen auswirken und fordern mehr Transparenz der Aktivitäten im Firmennetz.

Die neue EU-Datenschutzrichtlinie könnte sich als Meilenstein auf dem Weg zur Transparenz in der IT-Sicherheit erweisen – ähnlich den gesetzlichen Auflagen für Compliance nach dem Fall Enron. Treten die neuen Direktiven in Kraft, werden sie auch die Umsetzung von IT-Sicherheitsrichtlinien im Unternehmen massiv verändern.

Gegenwärtig investieren Unternehmen hohe Budgets, um gesetzlich vorgeschriebene Compliance-Audits zu absolvieren. Die Compliance-Abteilung wurde hierzu vom IT-Sicherheitsteam strikt getrennt. Dabei wurde jedoch vernachlässigt, dass auch die IT-Sicherheit und der IT-Betrieb von diesem Invest profitieren. So kann es nun passieren, dass ein Unternehmen zwar ein Audit erfolgreich absolviert, im täglichen Betrieb aber persönliche Daten verloren gehen. Denn ein Audit prüft in der Regel nur, ob bestimmte Prozesse vorhanden sind und ob die Beschreibung eines eingeführten Prozesses plausibel und sicher ist. Die praktische Überprüfung bleibt aus Kapazitätsgründen meist aus.

Die neue Richtlinie kann nun endlich dazu führen, dass IT-Sicherheitsprozesse tiefer in die Geschäftsprozesse integriert werden. Denn sie fordern Transparenz, eine Offenlegung und den Nachweis, ob, wann und wie Sicherheitsverstöße stattfinden. Und es folgen Konsequenzen bei Nichtbeachtung.

Die Beantwortung der Frage in Echtzeit "Wer hat im IT-System was getan” wird immer wichtiger. Auch wenn bisher niemand genau weiß, wie die künftige Definition von "schwerwiegende Sicherheitsverstöße" lauten wird, auf die sich die neue Richtlinie bezieht. Unternehmen sollten sich darauf einrichten, dass es sich sowohl um die Art, wie auch um die Anzahl verloren gegangener privater Datensätze handeln könnte.

Die Forderung, Verstöße "so schnell wie möglich" zu melden, bedeutet im Grunde: "Sobald man von einem Sicherheitsverstoß erfährt". Die Frage ist jedoch, wann und wer im Unternehmen zuerst informiert wird – der Systemadministrator, der IT-Leiter, der Datenschutzbeauftragte, die Geschäftsleitung oder vielleicht der Dienstleister, der die IT im Outsourcing betreut? Idealerweise erfahren alle zur selben Zeit davon – nämlich über Monitoring-Tools.

Interne und externe Vorfälle in Echtzeit erfassen
Die Erfassung von internen und externen Vorfällen in Echtzeit ist generell wichtig. Ein Schlüsselbereich ist jedoch das Monitoring der Aktivitäten von Anwendern wie IT-Administratoren, die privilegierten Zugang zu sensiblen, geschäftskritischen Daten haben. Um deren Zugriffe zu überwachen und sicher zu stellen, dass die aufgezeichneten Aktivitäten im Nachhinein nicht verändert oder gelöscht werden können, sind Monitoring-Tools unabdingbar.

Die Meldung über Vorfälle soll "falls machbar innerhalb von 24 Stunden” erfolgen, fordert die neue Richtlinie. Laut der jüngsten Studie von Verizon, dem Data Breach Investigation Report 2011, bleiben in Unternehmen Sicherheitslücken oft Wochen oder sogar Jahre lang unbemerkt offen. Die Ermittlung kleiner Vorfälle und Stichproben hat keine Priorität. Durch die neue EU-Richtlinie sind Unternehmen gezwungen, diese Haltung zu ändern – zumindest im Hinblick auf den Verlust von Personendaten. Logs und Log-Management sind die Grundlage jeder Monitoring-Methode. An Bedeutung gewinnen jetzt Log-Systeme, die große Datenmassen schnell und ohne Verluste bewältigen und lückenlose Ergebnisse liefern können.

Verschlüsselte Log-Dateien, in denen Firmen die Anwendernamen, Passwörter und andere sensible Daten speichern, sind ein Schlüsselelement, wenn es darum geht, den Verlust von Daten zu vermeiden, da diese Dateien nicht einfach zu dechiffrieren sind. (BalaBit IT Security: ra)

BalaBit IT Security: Kontakt und Steckbrief

Der Informationsanbieter hat seinen Kontakt leider noch nicht freigeschaltet.


Kostenloser Compliance-Newsletter
Ihr Compliance-Magazin.de-Newsletter hier >>>>>>


Meldungen: Kommentare und Meinungen

  • Vertrauen in Abgeordnete droht Schaden zu nehmen

    Der Bundesgerichtshof (BGH) hat entschieden, dass sich N. )Mitglied des Deutschen Bundestages) und S. (Mitglied des Bayerischen Landtages) in der "Maskenaffäre" nicht strafbar gemacht haben. Das Handeln der beiden CSU-Politiker erfülle nicht den Straftatbestand der Bestechlichkeit von Mandatsträgern. Der BGH bestätigt damit drei Beschlüsse des Oberlandesgerichts München von November 2021.

  • Bitkom zu einheitlichen Ladebuchsen

    EU-Parlament und EU-Staaten haben sich auf einheitliche Ladebuchsen an Handys, Tablets und anderen Elektrogeräten geeinigt. Dazu erklärt Bitkom Hauptgeschäftsführer Dr. Bernhard Rohleder: "Die EU spricht von ‚Ladebuchsen', tatsächlich handelt es sich dabei um Datenschnittstellen, über die sich die Geräte oft auch laden lassen. Die politische Festlegung auf einen technischen Standard wird den Elektroschrott nicht reduzieren, sondern vor allem Innovationen bremsen und läuft dem wichtigen Prinzip der Technologieoffenheit massiv zuwider."

  • Umsetzung von Basel III in der EU

    Der Berichterstatter des Europäischen Parlaments, Jonás Fernández (S&D), hat seinen Berichtsentwurf zum Legislativvorschlag der Europäischen Kommission zur Umsetzung von Basel III in der EU (sog. "EU-Bankenpaket") vorgelegt. Mit den darin enthaltenen Vorschlägen weicht der spanische Abgeordnete deutlich von der vorgezeichneten Linie der Europäischen Kommission ab. "Die Umsetzung der Vorschläge würde vor allem die von der Kommission vorgeschlagenen Übergangsregelungen deutlich einschränken. Damit würde die europäische Wirtschaft zu einem Zeitpunkt großer Unsicherheit und hohen Investitionsbedarfs zusätzlich belastet", so Christian Ossig, Hauptgeschäftsführer des diesjährigen Federführers Bundesverband deutscher Banken für die Deutsche Kreditwirtschaft (DK). Die Übergangsregeln sahen eine zeitlich begrenzte Reduzierung des Risikogewichtes für bestimmte Kredite vor.

  • Inkasso: Transparenz und Rechtssicherheit

    Das Bundesjustizministerium will die Inkasso-Aufsicht zentralisieren und greift mit seinem neuen Gesetzentwurf eine langjährige Forderung des BDIU auf. "Die Stärkung der Aufsicht ist ein so notwendiger wie überfälliger Schritt", kommentiert Kirsten Pedd, Präsidentin des BDIU, das Vorhaben in einer ersten Stellungnahme. "Das schafft Transparenz und Rechtssicherheit für alle am Inkasso Beteiligten, natürlich auch für Verbraucherinnen und Verbraucher."

  • Rechtssicherheit und bürokratische Entlastung

    Derzeit wird im Innenausschuss des Bundesrats ein Antrag verhandelt, der das Datenschutzrecht in Deutschland reformieren will. Auf Antrag des Bundeslandes Bayern soll unter dem Titel "Entschließung des Bundesrates zur Evaluierung des Datenschutz-Anpassungs- und Umsetzungsgesetzes EU" sowohl die vom Bundesinnenministerium durchgeführte Evaluierung des Gesetzes zur Anpassung des Datenschutzrechts an die Verordnung (EU) 2016/679 und zur Umsetzung der Richtlinie (EU) 2016/680 (Datenschutz- Anpassungs- und Umsetzungsgesetz EU, DSAnpUG-EU) erweitert als auch eine Anpassung des Bundesdatenschutzgesetzes (BDSG) vorgenommen werden. Ziel des Vorschlags sind die Erhöhung der Rechtssicherheit und die bürokratische Entlastung von KMU.

Wir verwenden Cookies um unsere Website zu optimieren und Ihnen das bestmögliche Online-Erlebnis zu bieten. Mit dem Klick auf "Alle akzeptieren" erklären Sie sich damit einverstanden. Erweiterte Einstellungen