Datensicherheit wird für Unternehmen und Behörden immer relevanter. Anstatt sich auf den Schutz des Netzwerks und des Perimeters zu konzentrieren, müssen sie vor allem die Daten selbst schützen. Dazu sollten sie ihnen eine Vertraulichkeitsstufe zuweisen und daraus ableiten, was mit ihnen getan werden darf und was nicht, um sie keinem erhöhten Risiko auszusetzen. Damit können Sie Daten unabhängig von ihrem Speicherort schützen und so die Sicherheit ihres geistigen Eigentums in verteilten IT-Umgebungen gewährleisten.
Ein datenzentrierter IT-Sicherheitsansatz unterstützt Unternehmen und Behörden nicht nur dabei, ihre sensiblen Informationen zu schützen, sondern auch zahlreiche Compliance-Vorgaben zu erfüllen. Denn immer mehr Gesetze, Regularien und Standards verlangen konkrete Maßnahmen zur Absicherung von Daten – unabhängig davon, wo sie gespeichert sind. Forcepoint gibt einen umfassenden Überblick über die wichtigsten Regelwerke und zeigt auf, welche Anforderungen besonders relevant sind.
1. Datenschutzgesetze
Die DSGVO erfordert von Unternehmen geeignete Maßnahmen, um personenbezogene Daten vor Verlust, Diebstahl oder unbefugtem Zugriff zu schützen. Zudem müssen sie dafür sorgen, dass Kunden ihre Datenschutzrechte wahrnehmen können. Sie müssen ihnen Auskunft darüber erteilen können, welche Daten sie von ihnen speichern und Daten auf Verlangen löschen. Unternehmen, die international tätig sind, haben es aber nicht nur mit der DSGVO, sondern auch mit anderen Datenschutzgesetzen zu tun, da der Großteil der Länder weltweit inzwischen Gesetze zum Schutz persönlicher Daten eingeführt hat.
2. IT-Sicherheitsgesetze
Die NIS2-Richtlinie der Europäischen Union soll die Cybersicherheit in der EU verbessern und stellt strenge Anforderungen an Unternehmen, die als kritische und wichtige Einrichtungen eingestuft werden. Zu diesen Anforderungen zählen unter anderem die Echtzeitüberwachung von sensiblen Daten und ein eingeschränkter Zugang zu solchen Informationen. Die Richtlinie soll in Deutschland demnächst in nationales Recht übertragen und dazu in das bereits bestehende IT-Sicherheitsgesetz integriert werden. Dieses Gesetz wird dadurch deutlich mehr Unternehmen betreffen als bisher.
3. Branchenstandards
Zusätzlich zu allgemeinen Gesetzen sind viele Unternehmen mit branchenspezifischen Regularien und Standards konfrontiert. Die vor kurzem in Kraft getretene EU-Verordnung DORA beispielsweise soll die digitale Widerstandsfähigkeit des Finanzsektors stärken und fordert von Finanzunternehmen, die Verfügbarkeit, Vertraulichkeit und Integrität ihrer Daten zu schützen. Der Branchenstandard TISAX regelt die Informationssicherheit in der Automobilbranche und sorgt insbesondere dafür, dass beim Austausch von sensiblen Daten und Prototypen einheitliche Sicherheitsstandards eingehalten werden. Viele Automobilhersteller verlangen von ihren Zulieferern und Dienstleistern inzwischen eine TISAX-Zertifizierung.
4. Normen
Auch die ISO-Norm 27001 für Informationssicherheits-Managementsysteme rückt die Sicherheit und den Schutz von Daten in den Vordergrund. Die Neufassung der Norm aus dem Jahr 2022 trägt entsprechend den Titel „Information Security, Cybersecurity and Privacy Protection“. Unternehmen, die sich erstmalig zertifizieren lassen oder eine Rezertifizierung anstreben, müssen neue Sicherheitsmaßnahmen umsetzen. Dazu zählen etwa die Klassifizierung von Informationen, die Informationssicherheit bei der Nutzung von Cloud-Diensten, das Löschen von Informationen und das Verhindern von Datenabflüssen.
„Moderne Data-Security-Lösungen können Unternehmen und Behörden maßgeblich dabei helfen, die zahlreichen Compliance-Anforderungen an ihre Datensicherheit zu erfüllen“, erklärt Frank Limberger, Data & Insider Threat Security Specialist bei Forcepoint in München. „Gute Lösungen spüren Daten über alle Speicherorte hinweg zuverlässig auf und klassifizieren sie mit Hilfe von Künstlicher Intelligenz weitgehend automatisch. Dadurch wissen Organisationen, welche sensiblen Daten sie überhaupt besitzen und wo sie sich überall befinden. In Form von Richtlinien können sie dann Vorgaben für den zulässigen Umgang damit machen und die Einhaltung überwachen, um Datenschutzverletzungen zu erkennen und zu verhindern.“
