Sicherheit

Stichwort Data-Governance: Bloß keine Tabus!

Analysten haben nachgewiesen, dass IT-Abteilungen mehr als 95 Prozent aller Dateizugriffe nicht überprüfen. Viele IT-Verantwortliche sehen dies inzwischen als einen Fehler, der verheerende Auswirkungen nach sich zieht. Und viele Unternehmen wollen diese Situation so schnell wie möglich ändern.

Arne Jacobson, Director Dach bei Varonis Systems

Der Sicherheitsanbieter Varonis diskutiert mit seinen Kunden, wie sie sich mithilfe von automatisierten Datenmanagementlösungen einen Überblick über ihre digitalen Objekte verschaffen. Im Rahmen dieser Projekte planen IT-Verantwortliche drastische Maßnahmen, um die Datensicherheit zu garantieren. Tatsächlich ist es kein Tabu mehr, gefährdete Server auszuschalten oder den Zugriff auf E-Mails zu sperren.

Wie groß die Risiken sein können, zeigt eine Untersuchung von Varonis: In typischen Unternehmen sind für mehr als 50 Prozent der Daten auf Dateisystemen, NAS-Geräten, Share-Point-Sites und E-Mail-Systemen keine Data-Owner festgelegt. Und diese Zahlen machen eindrucksvoll klar: Um die Datenrisiken in den Griff zu bekommen, ist das Sperren nur ein erster kleiner Schritt, dem weitere folgen.

Eine Empfehlung ist es, die Zugriffsberechtigungen für das Personal stark zurückzunehmen. Heute kann jeder Mitarbeiter auf weit mehr Daten zugreifen, als dies der Fall sein sollte. Die Folgen? Viele IT-Abteilungen bemerken nicht, wenn ein Mitarbeiter auf einen Schlag tausende von Dateien löscht oder aus den Speichern kopiert. Dabei sind die Organisationen gezwungen, sich mit der Frage zu befassen, wer wann auf welche Daten zugreift und zu welchem Zweck er die Daten nutzt.

Bedrohungen von innen stellen eine mindestens genauso große Gefahr dar wie Angriffe von außen. Bei vielen Sicherheitsvorfällen im Jahr 2011 waren Mitarbeiter oder Lieferanten in der Lage, tausende von Dateien zu löschen oder herunter zu laden, ohne dass ein Data-Owner oder eine IT-Abteilung auch nur Verdacht geschöpft hätte.

Bei der Untersuchung vieler Angriffe konnte niemand feststellen, auf welche sensiblen Daten welcher Mitarbeiter Zugriff hatte oder noch hat. Auch konnten die IT-Abteilungen keinen Audit-Trail erstellen, um im Nachhinein zu ermitteln, was genau die Einbrecher gestohlen haben.

In einem ersten Schritt erkennen jetzt die Organisationen, dass die manuellen und Jahrzehnte alten Ansätze beim Datenmanagement und -schutz nicht mehr funktionieren. Gemeinsam mit Varonis haben sie die Möglichkeit, die Bedrohungen aus dem Inneren ihres Unternehmens zu diskutieren und zu prüfen, was sie mit Verbesserungen in den Bereichen Zugriffskontrolle, Auditing, Klassifizierung, Data-Ownership und Autorisierung bewirken.

Das Datenvolumen in den Unternehmen steigt von Tag zu Tag rasant an. Und ist es für die Organisationen schon schwierig, einen Data-Owner zu identifizieren, stellt sich die Frage, ob die Führung des Unternehmens in Zukunft überhaupt irgendeine Entscheidung zum Datenmanagement und -schutz treffen kann.

Eine Lösung bietet die Automatisierung des Datenmanagements: Mithilfe von Automatisierungstools sammeln die Verantwortlichen Wissen über ihre Daten – wo sind sie gespeichert? Wer hat Zugriff darauf? Wie können sie genutzt werden? Wer darf sie nutzen?

	Die meisten Geschäftsprozesse basieren auf digitaler Zusammenarbeit sowie Datenaustausch und erzeugen riesige Datenmengen – allerdings werden die IT-Budgets nicht erhöht.
	Über 95 Prozent aller Dateizugriffsaktivitäten werden von niemandem im Unternehmen überprüft. Diese Situation muss sich schnell ändern.
	Mehr Automatisierung bei der Datenanalyse und beim Datenmanagement wird ein Ersatz sein für kostenintensive ineffektive manuelle Vorgänge.
	Fachverantwortliche sollten sowohl für die Bereinigung und Löschung veralteter Informationen zuständig sein, wie auch für Vergabe von Zugriffsrechten und Datenüberwachung.
	Organisationen erkennen, dass die Nutzung von Metadaten das A und O beim Management und Schutz von Daten ist.
	Damit Unternehmen das Potenzial von „Big Data“ ausschöpfen, analysieren sie massive Datenmengen und durchsuchen sie nach Mustern.
	Unstrukturierte Daten stellen vollständige Informationsprodukte dar, die Ideen, Geschäftspläne, Budgets, Entwürfe und Prozessbeschreibungen enthalten. Sie sind das Herzstück jedes Geschäftsprozesses.
	Einige IT-Abteilungen werden Risiken minimieren und dafür drastische Maßnahmen ergreifen – beispielsweise Server abschalten oder den Zugriff auf E-Mails sperren.
	Häufig haben Unternehmen für mehr als 50 Prozent der Daten auf Dateisystemen, NAS-Geräten, Share-Point-Sites und E-Mail-Systemen keine Data-Owner festgelegt.
	Organisationen werden sich der Bedrohungen von innen zunehmend bewusst. Dies wird eine Verbesserung der Bereiche Zugriffskontrolle, Auditing, Klassifizierung, Data-Ownership und Autorisierung bewirken.

Weiterführende Links: