So entwickeln Sie ein Datensicherheitskonzept

Zuerst gilt es zwischen Datenschutzkonzept und Datensicherheitskonzept zu differenzieren. Denn der wesentliche Unterschied zwischen Datensicherheit und Datenschutz liegt in der Art der betrachteten Daten. Während sich Datenschutz nur auf personenbezogene Daten bezieht, betrifft Datensicherheit zusätzlich noch alle anderen Daten. Um nun die Datensicherheit im Unternehmen zu erhöhen, ist es sinnvoll, ein Datensicherheitskonzept zu entwickeln. Grundsätzlich werden hierbei die Aspekte Verfügbarkeit, Vertraulichkeit und Integrität sowie die Kontrolle der Daten betrachtet.

Schritt 1: Bestandsaufnahme und Klassifizierung der Daten

Um mit Daten angemessen umgehen zu können, muss als erstes geklärt werden, wo Daten erhoben und verarbeitet werden. Denn verschiedene Datenverarbeitungsanlagen benötigen auch unterschiedliche Sicherheitsmaßnahmen. Und vor allem die Art der Daten bestimmt, wie damit umgegangen werden muss. BRANDMAUER IT empfiehlt, Daten in die drei Kategorien „unternehmenskritisch“, „unternehmensrelevant“ und „weniger relevant“ einzuteilen. Damit lässt sich relativ leicht abschätzen, wie gut Daten gespeichert und gesichert werden müssen. Außerdem bestimmt die Art der Daten die Geschwindigkeit, mit der diese geschrieben und gelesen werden. So sollte man für Datenbanken stets SSD-Platten verwenden, für übliche Unternehmensdaten SAS-Platten und für Archivdaten die etwas langsameren SATA-Platten. Somit kann sich beispielsweise aus der Klassifizierung ein völlig neues Storage-Konzept ergeben.

Ferner werden Unternehmen in Zukunft mit weitaus größeren Datenmengen umgehen müssen (Stichwort IoT, Industrie 4.0, Big Data, usw.). Ohne eine vernünftige Übersicht über Art und Erhebung der Daten ist das richtige Management dann fast unmöglich. Wenn Sie Ihre Daten nicht strukturieren, werden Sie bald einen riesigen Datenfriedhof haben, der Ihnen jede Menge Kosten produziert!

Schritt 2: Datensicherheitskonzept entwickeln

Hat man die Klassifizierung und Bestandsaufnahme abgeschlossen, gilt es im nächsten Schritt, ein an das Unternehmen angepasstes Datensicherheitskonzept zu entwickeln. Da ein Datensicherheitskonzept grundsätzlich individuell erstellt wird, kann verständlicherweise keine allgemeingültige Vorlage existieren. Allerdings gibt es viele Maßnahmen, die bei den meisten Unternehmen angewendet werden können.

Daher möchte ich im Folgenden einige Punkte näher erläutern:

• Auf jeden Fall sollten Datenverarbeitungsanlagen in gesicherten Serverräumen untergebracht werden. Diese sollten üblicherweise mit Schließ- und Brandmeldesystemen und Alarmanlagen gesichert werden.
• Ebenso wichtig ist, dass Datenverarbeitungssysteme mit einer entsprechenden Benutzer- und Rechteverwaltung gesichert sind.
• Weiterhin ist es von Bedeutung, dass Zugriffsrechte von Benutzern regelmäßig kontrolliert und an den tatsächlichen Bedarf angepasst werden.
• Zudem empfiehlt es sich Daten verschlüsselt zu speichern.
• Ferner ist jegliche Bearbeitung gemäß BDSG in einer Eingabekontrolle nachvollziehbar zu machen. Zum Glück bringen die meisten Applikationen dies heute schon von Haus aus mit. So können Sie nachvollziehen, ob und von wem Daten verändert oder entfernt wurden.

Auch wenn Daten im Unternehmen selbst gut gesichert sind, kommt es oft dann zu Sicherheitslücken, wenn Daten weitergegeben werden. Dabei muss vor allem genau dokumentiert werden, wann Daten wie wohin gelangen, um im Nachhinein den Weg der Daten zurückverfolgen zu können. Hierzu schreibt sogar das BDSG in den Anlagen zu § 9 eine Weitergabekontrolle für personenbezogene Daten vor. Gerade im Bereich der elektronischen Datenübertragung besteht oft ein Sicherheitsrisiko. Dieses lässt sich jedoch erheblich senken, indem beispielsweise E-Mails und USB-Sticks verschlüsselt werden.

Um nun noch den Punkt Verfügbarkeit der Daten aufzugreifen, so sollte ein Blick auf ein funktionierendes Backup-System geworfen werden. Denn auch dieses muss an die Art der Daten angepasst werden. Zum Beispiel kommt es bei unternehmenskritischen Daten viel stärker auf den Zeitraum zwischen Datensicherungen an (Recovery Point Objective) als bei weniger relevanten Daten.

Bei Datenverlust im Unternehmen richtig handeln: wir zeigen wie's geht!

Fazit und Handlungsempfehlung

Genau genommen gibt es keine allgemein gültige Anleitung zur Erstellung eines Datensicherheitskonzeptes, da in jedem Unternehmen andere Anforderungen an dieses gestellt werden. Unterschätzen Sie jedoch nicht den Mehrwert eines Datensicherheitskonzeptes bei der Strukturierung Ihrer Daten und der dazugehörigen Verfahren im täglichen IT-Betrieb. Ein gutes Datensicherheitskonzept spart bares Geld, weil es Sie zu einer Fokussierung auf die wirklich wichtigen Unternehmensdaten zwingt und Ihren Administratoren klare Vorgaben zum Umgang mit den Unternehmensdaten macht.

Die Bestandsaufnahme und die Klassifizierung sind Kernelemente eines Datensicherheitskonzeptes. Die Durchführung der oben genannten Sicherheitsmaßnahmen ist jedoch unabhängig davon zu empfehlen, da diese auf jeden Fall das Sicherheitsrisiko Ihrer Daten senken.