Sicherheit in Geschäftsprozesse integrieren


Neue EU-Datenschutzrichtlinie ein Meilenstein für die Transparenz in der IT-Sicherheit
Gegenwärtig investieren Unternehmen hohe Budgets, um gesetzlich vorgeschriebene Compliance-Audits zu absolvieren


(02.03.12) - Ende Januar 2012 hat die Europäische Kommission eine umfangreiche Reform der EU-Datenschutzrichtlinie vorgeschlagen, die das Recht auf Schutz der Privatsphäre im Internet verstärken und der digitalen Wirtschaft weiteren Schub verleihen soll. Einige Details dieser neuen Regularien werden sich gravierend auf die künftigen IT- und Sicherheitskonzepte der Unternehmen auswirken und fordern mehr Transparenz der Aktivitäten im Firmennetz.

Die neue EU-Datenschutzrichtlinie könnte sich als Meilenstein auf dem Weg zur Transparenz in der IT-Sicherheit erweisen – ähnlich den gesetzlichen Auflagen für Compliance nach dem Fall Enron. Treten die neuen Direktiven in Kraft, werden sie auch die Umsetzung von IT-Sicherheitsrichtlinien im Unternehmen massiv verändern.

Gegenwärtig investieren Unternehmen hohe Budgets, um gesetzlich vorgeschriebene Compliance-Audits zu absolvieren. Die Compliance-Abteilung wurde hierzu vom IT-Sicherheitsteam strikt getrennt. Dabei wurde jedoch vernachlässigt, dass auch die IT-Sicherheit und der IT-Betrieb von diesem Invest profitieren. So kann es nun passieren, dass ein Unternehmen zwar ein Audit erfolgreich absolviert, im täglichen Betrieb aber persönliche Daten verloren gehen. Denn ein Audit prüft in der Regel nur, ob bestimmte Prozesse vorhanden sind und ob die Beschreibung eines eingeführten Prozesses plausibel und sicher ist. Die praktische Überprüfung bleibt aus Kapazitätsgründen meist aus.

Die neue Richtlinie kann nun endlich dazu führen, dass IT-Sicherheitsprozesse tiefer in die Geschäftsprozesse integriert werden. Denn sie fordern Transparenz, eine Offenlegung und den Nachweis, ob, wann und wie Sicherheitsverstöße stattfinden. Und es folgen Konsequenzen bei Nichtbeachtung.

Die Beantwortung der Frage in Echtzeit "Wer hat im IT-System was getan” wird immer wichtiger. Auch wenn bisher niemand genau weiß, wie die künftige Definition von "schwerwiegende Sicherheitsverstöße" lauten wird, auf die sich die neue Richtlinie bezieht. Unternehmen sollten sich darauf einrichten, dass es sich sowohl um die Art, wie auch um die Anzahl verloren gegangener privater Datensätze handeln könnte.

Die Forderung, Verstöße "so schnell wie möglich" zu melden, bedeutet im Grunde: "Sobald man von einem Sicherheitsverstoß erfährt". Die Frage ist jedoch, wann und wer im Unternehmen zuerst informiert wird – der Systemadministrator, der IT-Leiter, der Datenschutzbeauftragte, die Geschäftsleitung oder vielleicht der Dienstleister, der die IT im Outsourcing betreut? Idealerweise erfahren alle zur selben Zeit davon – nämlich über Monitoring-Tools.

Interne und externe Vorfälle in Echtzeit erfassen
Die Erfassung von internen und externen Vorfällen in Echtzeit ist generell wichtig. Ein Schlüsselbereich ist jedoch das Monitoring der Aktivitäten von Anwendern wie IT-Administratoren, die privilegierten Zugang zu sensiblen, geschäftskritischen Daten haben. Um deren Zugriffe zu überwachen und sicher zu stellen, dass die aufgezeichneten Aktivitäten im Nachhinein nicht verändert oder gelöscht werden können, sind Monitoring-Tools unabdingbar.

Die Meldung über Vorfälle soll "falls machbar innerhalb von 24 Stunden” erfolgen, fordert die neue Richtlinie. Laut der jüngsten Studie von Verizon, dem Data Breach Investigation Report 2011, bleiben in Unternehmen Sicherheitslücken oft Wochen oder sogar Jahre lang unbemerkt offen. Die Ermittlung kleiner Vorfälle und Stichproben hat keine Priorität. Durch die neue EU-Richtlinie sind Unternehmen gezwungen, diese Haltung zu ändern – zumindest im Hinblick auf den Verlust von Personendaten. Logs und Log-Management sind die Grundlage jeder Monitoring-Methode. An Bedeutung gewinnen jetzt Log-Systeme, die große Datenmassen schnell und ohne Verluste bewältigen und lückenlose Ergebnisse liefern können.

Verschlüsselte Log-Dateien, in denen Firmen die Anwendernamen, Passwörter und andere sensible Daten speichern, sind ein Schlüsselelement, wenn es darum geht, den Verlust von Daten zu vermeiden, da diese Dateien nicht einfach zu dechiffrieren sind. (BalaBit IT Security: ra)

BalaBit IT Security: Kontakt und Steckbrief

Der Informationsanbieter hat seinen Kontakt leider noch nicht freigeschaltet.


Meldungen: Kommentare und Meinungen

  • Datenschutz und Informationsfreiheit

    Die Bundesbeauftragte für den Datenschutz und die Informationsfreiheit (BfDI) Prof. Dr. Louisa Specht-Riemenschneider ihren Tätigkeitsbericht vorgestellt. Dazu erklärt Susanne Dehmel, Mitglied der Bitkom-Geschäftsleitung: "Das Amt der Bundesbeauftragten für den Datenschutz und die Informationsfreiheit ist mit Blick auf die digitale Transformation und Zukunftstechnologien wie Künstlicher Intelligenz eines der wichtigsten in Deutschland. Der vorgelegte Tätigkeitsbericht zeigt den eingeschlagenen und dringend notwendigen Perspektivwechsel der BfDI, die Datenschutz und verantwortungsvolle Datennutzung gleichermaßen in den Blick nimmt."

  • Bitkom zum "AI Continent Action Plan" der EU

    Die EU-Kommission hat den "AI Continent Action Plan" vorgestellt, mit dem Europa bei Künstlicher Intelligenz zu den aktuell führenden Nationen USA und China aufschließen will. Dazu erklärt Susanne Dehmel, Mitglied der Bitkom-Geschäftsleitung: "Mit dem AI Continent Action Plan verschiebt die EU den Fokus von KI-Regulierung auf KI-Förderung - und dafür ist es höchste Zeit. Die europäischen Staaten können nur gemeinsam zu den führenden KI-Nationen USA und China aufschließen und die Grundlagen für eine wettbewerbsfähige, europäische KI schaffen. Eine KI aus Europa würde einen entscheidenden Beitrag zu Europas digitaler Souveränität leisten. Die aktuelle geopolitische Lage und die angespannten Handelsbeziehungen zu den USA machen dies notwendiger denn je."

  • Rückschlag im Kampf gegen Korruption

    Transparency Deutschland kritisiert den Koalitionsvertrag von Union und SPD als unzureichend im Hinblick auf Korruptionsbekämpfung und -prävention sowie Transparenz. Keine der drei Kernforderungen, die die Antikorruptionsorganisation bereits im Wahlkampf an die künftige Bundesregierung formuliert hatte, wurde im Koalitionsvertrag berücksichtigt. In der nächsten Legislaturperiode bleiben damit gravierende Defizite bestehen - und der Handlungsbedarf verschärft sich.

  • Nachhaltigkeit in der Unternehmensstrategie

    Die Europäische Kommission hat am 26.02.25 mit der Omnibus-Richtlinie ein neues Paket von Vorschlägen zur Vereinfachung der EU-Nachhaltigkeitsvorschriften und zur Steigerung der Wettbewerbsfähigkeit vorgelegt. Stefan Premer, Principal Sustainability Consultant - Global Lead Climate Strategy bei Sphera, Anbieterin von Lösungen für das Nachhaltigkeitsmanagement in Unternehmen, erläutert unten seine Sicht zu diesen Vorschlägen.

  • Risiken frühzeitig zu kontrollieren

    Die Regulierung von KI ist ein zentrales politisches und wirtschaftliches Thema - doch während Europa auf Vorschriften setzt, treiben die USA und China die Umsetzung voran. Die EU versucht mit dem AI-Act, Risiken frühzeitig zu kontrollieren, doch der technologische Fortschritt lässt sich nicht per Gesetz erzwingen. Unternehmen müssen Verantwortung übernehmen, indem sie Transparenz fördern und Vertrauen schaffen - nicht nur aus ethischen Gründen, sondern auch für wirtschaftliche Vorteile.

Wir verwenden Cookies um unsere Website zu optimieren und Ihnen das bestmögliche Online-Erlebnis zu bieten. Mit dem Klick auf "Alle akzeptieren" erklären Sie sich damit einverstanden. Erweiterte Einstellungen