Zum Hauptinhalt springen
Was ist die Überwachung sensibler Daten?
Erklärungen

Was ist die Überwachung sensibler Daten?

Da Cyberkriminelle versuchen, Zugang zu personenbezogenen und sensiblen organisatorischen Daten zu erhalten, ist es für Unternehmen entscheidend geworden, die Daten zu schützen, mit denen sie betraut sind.

Die Überwachung sensibler Daten ist der Prozess der Identifizierung, Klassifizierung und Sicherung personenbezogener oder geschäftlicher Daten. Da Cyberkriminelle zunehmend versuchen, Zugang zu Kreditkartendaten, Sozialversicherungsnummern und sensiblen Organisationsdaten zu erhalten, um sie zu verwenden, zu verkaufen oder anderweitig zu nutzen, ist es für Unternehmen entscheidend geworden, die Daten zu schützen, mit denen sie betraut sind.

Was sind sensible Daten? Was sind die verschiedenen Arten sensibler Daten?

Sensible Daten sind alle Daten, die für die Organisation, die sie hält, Kosten verursachen könnten, wenn sie der allgemeinen Öffentlichkeit ausgesetzt wären. Diese Kosten können Kosten für die Meldung von Verstößen (einschließlich der Benachrichtigung von Verbrauchern und Aufsichtsbehörden), Umsatzverluste aufgrund von Systemausfall, regulatorische Bußgelder, Verlust von Kunden aufgrund von Reputationsschäden und sogar Klagen und Reparaturen umfassen. Laut dem „Cost of a Data Breach Report 2021“ des Ponemon Institute stiegen die durchschnittlichen Kosten einer Datenschutzverletzung von 3,86 Millionen USD auf 4,24 Millionen USD, den höchsten in der 17-jährigen Geschichte des Berichts.

Es gibt viele verschiedene Arten sensibler Daten und die Bestimmung, welche Daten für Ihre Organisation wichtig sind, ist entscheidend. Allerdings können sensible Daten im Allgemeinen in ein paar breite Kategorien eingeteilt werden:

  • Geschäftliche Informationen: Alle Daten, die für den Betrieb einer Organisation von zentraler Bedeutung sind, einschließlich Finanzkonten und Kontoauszüge, Mitarbeiterinformationen, geistiges Eigentum, Geschäftsgeheimnisse und mehr.
  • Persönliche Daten: Alle Informationen, die mit einer Person verbunden sind und verwendet werden können, um sie direkt oder in Kombination mit anderen Informationen zu identifizieren. Diese Art von Daten umfasst Name, Geburtsdatum, Adresse, Sozialversicherungsnummer, Rasse, sexuelle Orientierung, Religion, politische Ansichten und mehr.
  • Gesundheitsdaten: Informationen in Bezug auf die Gesundheit einer Person, einschließlich ihrer Krankengeschichte, Behinderungsdaten, medizinischen Diagnosen, Daten aus Fitness-Apps usw.
  • Finanzdaten: Bankdaten, Kreditkartendaten und Sicherheitscodes und PINs einer Person.
  • Biometrische Daten: menschliche Körperdaten, wie Gesichtsmerkmale, Fingerabdrücke, Irisscans, Stimmabdrücke und andere Daten, die zur biometrischen Identifizierung verwendet werden.
  • Genetische Daten: Genetische Merkmale einer Person, die durch DNA- und RNA-Analyse erfasst wurden, wie z. B. Chromosomeninformationen.

Die Identifizierung, welche sensiblen Daten geschützt werden müssen, ist nicht immer einfach. Das liegt daran, dass sensible Daten in zwei Kategorien fallen: reguliert und nicht reguliert.

  • Regulierte Daten werden immer durch die Datenschutzgesetze und -vorschriften, die sie schützen, als sensibel angesehen. Der Health Insurance Portability and Accountability Act (HIPAA) standardisiert beispielsweise Regeln für den Zugriff auf mehr als ein Dutzend Arten von Informationen in den Krankenakten einer Person, einschließlich Kontaktdaten, Sozialversicherungsnummer, Finanzdaten, Diagnoseergebnisse und Behandlungen. Diese Arten von Daten werden immer als sensibel bezeichnet, was es Gesundheitsorganisationen leicht macht, zu verstehen, welche Informationen vertraulich behandelt werden müssen.
  • Unregulierte Daten umfassen alle öffentlich bekannten Informationen. Die meisten erstellten Daten fallen in diese Kategorie. Während einige Dateien und Dokumente in dieser Kategorie, wie z. B. Mitarbeiterverträge und Kundenumfragen, nicht direkt durch Datenschutzgesetze und -vorschriften abgedeckt sind, können sie Informationen enthalten, die als sensible Daten klassifiziert werden könnten. Dies unterstreicht die Notwendigkeit, dass Unternehmen verstehen, welche Daten sie speichern, um sie angemessen zu schützen.

Wie können sensible Daten missbraucht werden? Was sind die Risiken einer Verletzung sensibler Daten?

Wenn die meisten Menschen den Begriff „Datenschutzverletzung“ hören, denken sie wahrscheinlich an gestohlene Kreditkarteninformationen. Das liegt daran, dass Hacks, die viele Kreditkartendetails aufdecken, im letzten Jahrzehnt zunehmend Schlagzeilen gemacht haben.

Eine der größten war die Datenschutzverletzung von 2013 Target. Hacker nutzten eine ausgeklügelte Phishing-Kampagne, um die Anmeldedaten eines Drittanbieters des Unternehmens zu stehlen. Sie nutzten diese Zugangsdaten, um sich in das interne Netzwerk von Target einzuarbeiten und letztendlich auf seine POS-Systeme (Point of Sale) zuzugreifen.

Sie installierten dann Malware auf diesen Systemen, um Kredit- und Debitkarteninformationen aus dem Speicher der POS-Geräte zu stehlen, während Kunden ihre Karten durchziehen.

Die Hacker sammelten und verkauften dann die gestohlenen Daten auf dem digitalen Schwarzmarkt. Target schätzte, dass Informationen für bis zu 110 Millionen Kunden gestohlen wurden, was sie zu einer der größten Datenschutzverletzungen in der Geschichte machte. In seinem Vergleich über Datenschutzverletzungen zahlte das Unternehmen 18,5 Millionen US-Dollar an 47 US-Bundesstaaten und den District of Columbia (zusätzlich zu den 202 Millionen US-Dollar, die es im Zuge des Verstoßes für Anwaltsgebühren und andere Kosten ausgegeben hat ).

„Kompromittierte sensible Daten können auf alle Arten verwendet werden, die nicht beabsichtigt waren, was schwerwiegende Auswirkungen auf das Unternehmen haben kann, das mit diesen Daten betraut ist.“

Obwohl Kreditkartendatenverletzungen die meisten Schlagzeilen erfassen, sind sie nicht das einzige Beispiel für Datenmissbrauch. Kompromittierte sensible Daten können auf alle Arten verwendet werden, die nicht beabsichtigt waren, was schwerwiegende Auswirkungen auf das Unternehmen haben kann, das mit diesen Daten betraut ist.
Einer der berüchtigtsten jüngsten Beispiele für Datenmissbrauch war der Social-Media-Gigant Facebook und das britische Beratungsunternehmen Cambridge Analytica. Die Entwickler einer App namens This Is Your Digital Life (TIYDL) sammelten bis zu 87 Millionen Facebook-Profile.

Die App wurde als Persönlichkeitsquiz entwickelt und verwendet, um psychologische Profile auf Benutzern zu erstellen und die personenbezogenen Daten der Facebook-Freunde der Benutzer zu erfassen. Die Entwickler der App verkauften diese Daten dann an Cambridge Analytica, was sie dazu verwendete, Wähler für die politischen Kampagnen von Donald Trump und Ted Cruz anzuvisieren. Letztendlich zahlte Facebook eine Strafe von 5 Milliarden US -Dollar für die Offenlegung und den nachfolgenden Missbrauch der Daten seiner Benutzer.

Vorfälle wie die Facebook-Cambridge-Verletzung haben eine größere Kontrolle darüber gebracht, wie AdTech-Unternehmen Daten verwenden. Dies hat zur Schaffung strengerer Vorschriften zur Erfassung und Nutzung von Daten geführt, wie z. B. die Datenschutz-Grundverordnung (DSGVO) der Europäischen Union und der California Consumer Privacy Act (CCPA).

Welche Vorschriften gelten für sensible Daten?

Es gibt viele regulatorische Anforderungen, die regeln, wie Unternehmen Geschäfte tätigen, und die meisten schreiben vor, wie sensible Daten gehandhabt werden sollten. Einige Vorschriften zielen auf bestimmte Branchen ab. HIPAA deckt beispielsweise die Gesundheitsbranche ab, und PCI DSS deckt die Finanzabteilung ab. Andere wie CCPA und GPDR gelten für alle Branchen innerhalb einer geografischen Region.

[Weiterlesen: Die „Regulationsausweitung“ der Datensicherheit setzt multinationale Unternehmen unter Druck]

Die Vorschriften können auch von Standort zu Standort variieren, sodass die Anforderungen für den Umgang mit Daten, auch innerhalb einer einzigen Branche, zwischen Europa und den USA und sogar von Bundesstaat zu Bundesstaat variieren können. Aber praktisch alle Vorschriften und Standards haben Auswirkungen auf die IT und Datensicherheit. Die häufigsten davon sind:

DSGVO (Datenschutz-Grundverordnung). Das von der Europäischen Union im Jahr 2016 angenommene Gesetz ist das primäre Gesetz zum Schutz und zur Privatsphäre von Bürgerdaten. DSGVO hat mehrere Mandate für alle Transaktionen eingeführt, die innerhalb der EU-Mitgliedsstaaten stattfinden, einschließlich:

  • Kunden müssen ihre Einwilligung zur Datenverarbeitung erteilen.
  • Alle personenbezogenen Daten müssen anonymisiert oder pseudonymisiert werden (die Identität des Verbrauchers muss durch ein Pseudonym ersetzt werden).
  • Verbraucher müssen innerhalb von 72 Stunden über eine Datenschutzverletzung informiert werden.
  • Daten, die außerhalb der EU übertragen werden, müssen von der empfangenden Partei den gleichen Schutz erhalten, den die EU bietet.
  • Einige Unternehmen müssen einen Datenschutzbeauftragten (DSB) benennen, um die Einhaltung der DSGVO zu überwachen.

Alle Organisationen innerhalb der EU unterliegen der DSGVO, ebenso diejenigen mit Sitz im Ausland, die Betriebe oder Kunden in der EU haben.

CCPA (California Consumer Privacy Act), verabschiedet im Jahr 2018, gewährt Einwohnern Kaliforniens mehrere Rechte, darunter:

  • Das Recht zu wissen, welche personenbezogenen Daten erfasst, verwendet, weitergegeben oder verkauft werden.
  • Recht auf Löschung personenbezogener Daten, die von Unternehmen und ihren Dienstleistern gespeichert werden.
  • Das Recht, den Verkauf personenbezogener Daten abzulehnen.
  • Das Recht auf Nichtdiskriminierung über Preis oder Dienst, wenn ein Verbraucher ein Datenschutzrecht gemäß CCPA ausübt.

CCPA hat auch mehrere neue Verpflichtungen für das Geschäft geschaffen. Am wichtigsten ist, dass Unternehmen, die der CCPA-Verordnung unterliegen, Verbraucher bei oder vor der Datenerfassung benachrichtigen müssen. Sie müssen auch Verfahren erstellen, um auf Verbraucher zu reagieren, die sich von der Datenerfassung abmelden möchten, wissen, welche Daten erfasst werden oder ihre erfassten Daten löschen lassen – und müssen diese Anfragen innerhalb bestimmter Zeitrahmen beantworten.

[Weiterlesen: Was ist eine Cyber-Risikobewertung und warum ist sie wichtig?]

CCPA gilt für alle gewinnorientierten Unternehmen, die Einwohner Kaliforniens bedienen und eines der folgenden Kriterien erfüllen:

  • Generiert einen Bruttojahresumsatz von mehr als 25 Millionen US-Dollar.
  • Kauft, erhält oder verkauft jährlich die personenbezogenen Daten von 50 000 oder mehr Verbrauchern, Haushalten oder Geräten.
  • Leitet 50 % oder mehr des Jahresumsatzes aus dem Verkauf personenbezogener Daten von Verbrauchern ab.

PCI DSS (Payment Card Industry Data Security Standard). Seit seiner Einführung im Jahr 2004 wurde es regelmäßig aktualisiert, um die Sicherheitsstandards der Zahlungsabwicklung zu verbessern. Sie legt ein Dutzend primäre Anforderungen fest, um Karteninhaberdaten zu schützen, einschließlich Firewall-Anforderungen und Passwortregeln, die Verschlüsselung von Daten während der Übertragung, Netzwerkzugriffsüberwachung und mehr. PCI DSS gilt für jede Organisation, die Karteninhaberdaten akzeptiert, überträgt oder speichert.

HIPAA (Health Insurance Portability and Accountability Act) legt Standards fest, wie geschützte Gesundheitsinformationen (PHI) von Gesundheitsdienstleistern gehandhabt werden. PHI umfasst eine Reihe von Patientendaten, einschließlich persönlicher Kennungen wie Name, Geburtsdatum und Geschlecht sowie Gesundheitsinformationen wie Diagnosen, Behandlungsinformationen und medizinische Testergebnisse. HIPAA legt fest, wie auf PHI zugegriffen wird, und legt physische, administrative und technische Sicherheitsvorkehrungen fest, die Gesundheitsorganisationen implementieren müssen, um sie zu sichern. Sie befasst sich auch damit, wie Gesundheitseinrichtungen im Falle einer Datenschutzverletzung reagieren sollten. Gesundheitseinrichtungen, einschließlich Krankenhäuser, Arztpraxen, Pflegeheime und jede andere Partei, die Gesundheitsgeschäfte mit Kunden oder Patienten tätigt, müssen HIPAA-konform sein.

FERPA (Family Educational Rights and Privacy Act) ist ein Bundesgesetz zum Schutz der Privatsphäre von Aufzeichnungen zur Schülerbildung. Diese Aufzeichnungen können in jedem Medium vorhanden sein und umfassen typischerweise sowohl persönliche Kennungen (SSN, Geburtsdatum, Geschlecht, ethnische Zugehörigkeit) als auch akademische Informationen (Testbewertungen, GPA, Transkripte, Finanzhilfeinformationen). Das Gesetz gewährt Eltern mehrere Rechte, einschließlich des Rechts, die Ausbildungsunterlagen ihres Kindes einzusehen und Ungenauigkeiten zu ändern. Sie gibt ihnen auch die Kontrolle über die Offenlegung personenbezogener Informationen aus den Aufzeichnungen ihres Kindes. Diese Rechte gehen direkt auf den Schüler über, sobald er 18 Jahre alt wird oder das College besucht. FERPA gilt für alle Schulen, die Bundesmittel erhalten.

NIST (National Institute of Standards and Technology), eine nicht-regulatorische Bundesbehörde, legt Standards für die Wissenschafts- und Technologiebranchen fest, um Bundesbehörden und Auftragnehmer dabei zu unterstützen, die Anforderungen des Federal Information Security Management Act (FISMA) zu erfüllen. NIST-Standards können jedoch jedem Unternehmen helfen, seine Sicherheit zu verbessern und Verstöße gegen Bundesgesetze wie PCI DSS und HIPAA zu verhindern. Organisationen auf der ganzen Welt nutzen das NIST Cybersecurity Framework (CSF), um Cyberrisiken zu reduzieren und ihre Netzwerke und Daten zu schützen. NIST Federal Information Processing Standards (FIPS) werden von Regierungsbehörden, Auftragnehmern und Anbietern verwendet. FIPS-Standards legen Anforderungen für Umstände fest, die nicht durch breitere Branchenstandards abgedeckt sind, und bieten einen Rahmen für eine andere Reihe von Sicherheitsprozessen.

CMMC (Cybersecurity Maturity Model Certification) ist ein Programm des Verteidigungsministeriums, das Standards und Best Practices für Auftragnehmer von Defense Industrial Base (DIB) festlegt. DIB-Auftragnehmer handhaben sensible Regierungsdaten, und CMMC stellt sicher, dass sie sie auf die gleiche Weise sichern wie Regierungs- und Militärbehörden. Insbesondere befasst sich CMMC mit dem Schutz von Federal Contract Information (FCI) und Controlled Unclassified Information (CUI).

Weitere Sicherheits-Compliance-Standards, die Organisationen kennen müssen, sind COPPA (Children’s Online Privacy Protection Act), CIS Controls (Center for Internet Security Controls) und FedRAMP (Federal Risk and Authorization Management Program). Und jedes Jahr treten mehr regulatorische Anforderungen in Kraft. Organisationen müssen verstehen, welche Standards und Vorschriften für ihr Geschäft gelten, da Compliance-Fehler zu erheblichen Strafen und Kosten führen können.

Wie rufen Angreifer sensible Daten ab?

Es gibt unzählige Möglichkeiten für Angreifer, sensible Daten zu stehlen, und unternehmensorientierte Hacker entwickeln ständig ausgeklügeltere Methoden. Einige der beliebtesten Methoden sind:

  • Malware („bösartige Software“) bezieht sich im Großen und Ganzen auf jedes Skript oder jeden Code, der dazu bestimmt ist, ein Gerät auszunutzen. Angreifer nutzen eine Schwachstelle aus, um Malware – die ein Benutzer unabsichtlich von einem E-Mail-Anhang oder einem Weblink herunterlädt – in das System einzufügen, wo es eine Vielzahl bösartiger Handlungen durchführen kann, wie z. B. die Überwachung Ihrer Tastaturanschläge, die Übertragung sensibler Daten auf den Computer des Angreifers oder die Erfassung Ihrer Passwörter. Malware ist besonders beliebt, da sie leicht zu verteilen und hocheffektiv ist.
  • Phishing ist eine Art von Social-Engineering-Angriff, bei dem der Angreifer E-Mails, SMS oder Telefonanrufe verwendet, die scheinbar von einer legitimen Institution stammen, um das Ziel dazu zu bringen, sensible Daten wie Anmeldedaten und Kreditkarteninformationen weiterzugeben. Phishing hat im Zeitalter von COVID zugenommen und machte 36 % der Datenschutzverletzungen im Jahr 2021 aus, was einem Anstieg von 11 % im Vergleich zum Vorjahr entspricht.
  • Cross-Site-Scripting (XSS): Hacker verwenden XSS-Angriffe, um ein bösartiges Skript oder einen bösartigen Code in eine gemeinsame Programmiersprache wie JavaScript, Flash oder HTML in den Inhalt einer Website einzuspeisen. Das bösartige Skript wird dann im Browser des Benutzers ausgeführt, wenn er die Website besucht, sodass der Hacker Cookies stehlen und alle Informationen erfassen kann, die der Benutzer an diese Website sendet, wie Anmeldeinformationen, Kreditkartennummern und andere sensible Daten.
  • Gerätediebstahl: Opportunistische Kriminelle können sensible Daten einfach abrufen, indem sie physischen Zugriff auf das Gerät eines Benutzers erhalten. Eine häufige Ursache für Datenkompromittierung ist ein unbeaufsichtigtes Gerät – ein Laptop, der im Auto oder auf einem Café-Tisch zurückgelassen wird. Sobald jemand sie in der Hand hat, hat er Zugriff auf eine potenzielle Schatzkammer sensibler Daten, insbesondere wenn das Gerät nicht passwortgeschützt oder verschlüsselt ist.

Wo befinden sich sensible Daten normalerweise?

Vertrauliche Daten können überall und überall sein. Daten werden täglich zwischen einer Vielzahl von Geräten, Benutzern, Apps und Diensten übertragen. Das kann die Sicherung sehr schwierig machen, insbesondere wenn es Ihr Netzwerk verlässt. Eine Datei, die sich beispielsweise auf einem sicheren zentralen Server befindet, kann gefährdet werden, wenn ein Mitarbeiter eine Kopie auf seinen privaten Laptop herunterlädt – was fast sicherlich nicht das gleiche Sicherheitsniveau hat – und dann vergisst, sie zu löschen, wenn er mit der Arbeit daran fertig ist. Vertrauliche Daten können auch auf Backup-Servern und Festplatten gefunden werden.

Warum ist die Sicherung sensibler Daten schwierig?

Auch hier ist eines der größten Probleme bei der Sicherung sensibler Daten, dass es sich an so vielen Orten befindet, was bedeutet, dass es schwierig ist, es sogar zu finden, viel weniger sicher. Einige dieser Standorte können häufig vom Netzwerk getrennt werden, wie dies bei einem Laptop oder einem USB-Stick eines Mitarbeiters der Fall ist, was die Visibilität des Unternehmens in die Daten einschränkt. Die Sicherung sensibler Daten erfordert auch ein feines Gleichgewicht zwischen Sicherheit und Benutzerfreundlichkeit. Benutzer benötigen Zugriff auf bestimmte Dokumente, aber für diesen Zugriff sind möglicherweise Berechtigungen weiter vorgelagert erforderlich. Um dies zu mindern, sollte ein Unternehmen enge Prozesse sowohl in Bezug auf die Erteilung von Berechtigungen als auch auf die Beendigung von Sitzungen benötigen und sicherstellen, dass alle verbleibenden Daten vom Gerät gelöscht werden. Ein Tool zur Überwachung sensibler Daten kann bei vielen dieser Herausforderungen helfen.

Wie funktionieren Tools zur Überwachung sensibler Daten?

Die Tools zur Überwachung sensibler Daten können zwei Ansätze verfolgen. Eine ist netzwerkbasiert, bei der zentralisierte Software von einem Server aus alle Netzwerkgeräte nach sensiblen Daten scannt. Diese Methode ist jedoch langsam, da sie die Netzwerkbandbreite beeinträchtigt, und sie kann Lücken hinterlassen, da sie nicht auf Geräte außerhalb des Unternehmensnetzwerks zugreifen kann.

[Weiterlesen: Was ist Geräteschwachstellenmanagement?]

Der alternative Ansatz verwendet eine Client-zentrierte Architektur, um über alle Endpunkte hinweg nach sensiblen Daten zu suchen. Sie hat eine viel geringere Auswirkung auf die Netzwerkleistung, und sobald sie einen ersten Scan nach sensiblen Daten durchführt, indexiert sie Ihre Endpunkte weiterhin in Echtzeit, um die Scans auf dem neuesten Stand zu halten. Und da Software direkt auf dem Endpunkt installiert ist, können Sie nach sensiblen Daten scannen, auch wenn das Gerät nicht mit dem Unternehmensnetzwerk verbunden ist.

Was sind die wichtigsten Funktionen eines Tools zur Überwachung sensibler Daten?

Wie bei jedem neuen Tool sind Benutzerfreundlichkeit und Kompatibilität mit Ihren aktuellen Technologien die wichtigsten Überlegungen. Weitere Funktionen, nach denen gesucht werden muss:

  • Agentbasiertes Scannen: Agentbasierte Überwachungstools installieren ein Softwarepaket („Agent“) auf jedem Gerät, das Sie scannen möchten. Jeder Agent sammelt relevante Sicherheitsdaten von seinem Hostcomputer und sendet sie an einen Sammelserver zurück. Dies ermöglicht es, Geräte zu scannen, auch wenn sie offline oder außerhalb des Organisationsnetzwerks sind. Agentenbasierte Überwachungstools sind auch leichter als netzwerkbasierte Tools, was die Belastung Ihres Netzwerks verringert.
  • Unterstützung mehrerer Dateiformate und Betriebssysteme: Ein Tool zur Überwachung sensibler Daten sollte in der Lage sein, Daten in einer Vielzahl gängiger Dateiformate (Word, Excel, PDF usw.) auf Windows-, Mac- und Linux-Endpunkten abzurufen.
  • Standardmäßige regulatorische Inhalte: Das Tool sollte einen tiefen Einblick in DSGVO, PCI DSS, HIPAA, CCPA und andere regulatorische Anwendungsfälle bieten, sodass Sie schnell über Anforderungen an die Datenprivatität berichten und darauf reagieren können, wenn sich gesetzliche Vorschriften ändern.

Mehr Ressourcen