IT Management Mai/Juni 2020
Die digitale Transformation schreitet mit Siebenmeilenstiefeln voran, die Künstliche Intelligenz dringt in alle Fachgebiete vor, neue Technologien wie Blockchain und Internet-of-Things bilden die Basis für neue Geschäftsmodelle. Und das Vertrauen der Kunden und Lieferanten setzt eine stabile IT-Sicherheit im Unternehmen voraus. it management hilft Lesern in diesem vielschichtigen Umfeld die richtigen Entscheidungen für die Enterprise IT zu treffen.
Die digitale Transformation schreitet mit Siebenmeilenstiefeln voran, die Künstliche Intelligenz dringt in alle Fachgebiete vor, neue Technologien wie Blockchain und Internet-of-Things bilden die Basis für neue Geschäftsmodelle. Und das Vertrauen der Kunden und Lieferanten setzt eine stabile IT-Sicherheit im Unternehmen voraus.
it management hilft Lesern in diesem vielschichtigen Umfeld die richtigen Entscheidungen für die Enterprise IT zu treffen.
Erfolgreiche ePaper selbst erstellen
Machen Sie aus Ihren PDF Publikationen ein blätterbares Flipbook mit unserer einzigartigen Google optimierten e-Paper Software.
20 | <strong>IT</strong> MANA<br />
GEMENT<br />
ATENSCHUTZ IN D<br />
VERTRAUEN<br />
IST GUT, WISSEN IST BESSER<br />
Ve<br />
rtra<br />
raue<br />
uen in eine Cloud darf<br />
nicht allein<br />
auf der Re<br />
putation eines Anbieters und<br />
sein<br />
iner<br />
Kun<br />
den basieren, sondern muss<br />
systemisch begründet sein.<br />
Nur wenn ein<br />
Sy stem<br />
sowohl technisch wie auch orga-<br />
nisatorisch so<br />
angelegt ist, dass es<br />
die<br />
Sc<br />
hutz<br />
ziel<br />
e des Datenschutzes erfüllt,<br />
kann<br />
ihm<br />
ver<br />
traut werden.<br />
Dazu zählen insbesondere die drei<br />
Schutzziele der Vertraulichkeit, der Integ-<br />
rität und Verfügbarkeit. Dies sind drei<br />
zentrale <strong>IT</strong>-Sicherheits-Schutzziele, an<br />
denen jeder Cloud-Anbieter im Wettbewerb<br />
gemessen wird. Wer diese erste<br />
Hürde in der Auswahl genommen hat,<br />
muss auch bei den vier datenschutzspezifischen<br />
Schutzzielen der Transparenz,<br />
Intervenierbarkeit, Nicht-Verkettbarkeit<br />
und der Datensparsamkeit zeigen, wie es<br />
mit Blick auf Verfahrensabläufe um die<br />
Leistungsfähigkeit bestellt ist.<br />
1.<br />
Schutzziel<br />
Transparenz<br />
Nutzt der Anwender ein Software-as-a-Ser-r<br />
vice-Angebot, muss er sich auf die Infrastruktur,<br />
die Plattform und die Anwendungssoftware<br />
des Anbieters verlassen. Er<br />
muss prüfen können, ob der Anbieter hinreichende<br />
Maßnahmen in Bezug auf alle<br />
Schutzziele hat. Transparenz ist dann gegeben,<br />
wenn die Datenverarbeitung des<br />
Anbieters anhand von Systemdokumentation<br />
und Protokollen nachvollzogen, geprüft<br />
und bewertet werden kann. Dabei<br />
geht es etwa um die Frage, wer auf die<br />
Daten zugreifen kann und welche technischen<br />
und organisatorischen Sicherheitsmechanismen<br />
greifen. Bestandteil einer<br />
einfachen Prüfbarkeit ist auch der Nachweis<br />
der Revisionsfähigkeit.<br />
2.<br />
Schutzziel<br />
Intervenierbarkeit<br />
Der Anwender muss wissen, welche<br />
Daten unter welchen Voraussetzungen<br />
zu welchen Zwecken übertragen wer-<br />
den. So kann er festlegen, welche Daten<br />
lokal gespeichert und welche in die<br />
Cloud übermittelt werden. Er muss außerdem<br />
kontrollieren können, wer von<br />
wo auf was wie zugreifen darf. Außer-<br />
dem sollte der Anwender vertraglich regeln,<br />
dass der Anbieter ihn über Sicher-<br />
heitsvorfälle informiert, die seine Anwendung<br />
betreffen.<br />
3.<br />
Schutzziel<br />
Vertraulichkeit<br />
Vertraulichkeit ist gegeben, wenn nur Be<br />
-<br />
fugte personenbezogene Daten sehen<br />
und nutzen können. Eine Lösung<br />
kann<br />
bloß dann wirklich „Vertraulichk<br />
ei t“<br />
her-<br />
stellen, wenn der Anbieter gewährlei<br />
stet<br />
et,<br />
dass ständig kontrolliert wird, ob nur Befugte<br />
personenbezogene Daten verarbeiten<br />
können. So sollte etwa ein Administ-<br />
rator des Anbieters nicht befugt sei<br />
ein, auf<br />
Inhaltsdaten Zugriff zu nehmen. Ein weiteres<br />
Kriterium besteht darin, dass Datenbestände<br />
separiert und verschlüsselt gespeichert<br />
werden. Außerdem muss die<br />
Datenübertragung verschlüsselt erfolgen.<br />
Zudem gilt es zu klären, wer auf die Krypto-Schlüssel<br />
zugreifen kann.<br />
4.<br />
Schutzziel<br />
Integrität<br />
Aus Datenschutzperspektive ist ein System<br />
dann integer, wenn personenbezogene<br />
Daten während der Datenverarbeitung<br />
unversehrt, vollständig und aktuell<br />
bleiben. Die Authentizität ist ein<br />
Aspekt der Integrität, die darauf zielt,<br />
dass der Ursprung der Daten festgestellt<br />
werden kann. Ein Hilfsmittel bezogen<br />
auf Dokumente sind beispielsweise digitale<br />
Wasserzeichen oder ein „Information<br />
Rights <strong>Management</strong>“. Die „Integrität“<br />
eines Systems lässt sich nur dann<br />
einschätzen, wenn der Anbieter eine<br />
permanente Kontrolle gewährleisten<br />
kann, Datenbestände, Schnittstellen und<br />
Prozesse zu sichern. Personenbezogene<br />
und -beziehbare Daten dürfen nur exakt<br />
so verarbeitet werden, wie es der An-<br />
bieter gewährleie stet. Es kommt also auf<br />
die Zwec<br />
kbindung an.<br />
5.<br />
Schutzziel<br />
Verfügbarkeit<br />
Die außerordentlich hohe und endgeräte-<br />
unab<br />
abhä<br />
hängige Verfüg<br />
barkeit von Daten ist<br />
eines der Hauptmotive für Anwender,<br />
Clou<br />
oudd-Lö<br />
Lösu<br />
sung<br />
ngen<br />
zu nutzen. Sie müssen<br />
deshalb dara<br />
rauf<br />
achten, ob der Anbieter in<br />
den releva<br />
vant<br />
nten<br />
vertraglichen Vereinbarungen<br />
auch ein<br />
e zeitgerechte Verfügbarkeit<br />
des Dienst<br />
stes<br />
vor<br />
hält. Dies kann in Form<br />
von Serv<br />
rvic<br />
e Le<br />
vel Agreeme ents erfolgen.<br />
GRUNDSÄTZLICH SOLLTEN UNTERNEHMEN IMMER WISSEN,<br />
WELCHE ANWENDER ODER WELCHE CLOUD-DIENSTE IM<br />
UNTERNEHMEN PERSONENBEZOGENE DATEN VERARBE<strong>IT</strong>EN.<br />
Michael Jacob, Senior Pre-Sales Consultant, Brainloop AG, www.brainloop.com/de-de<br />
6.<br />
Schutzziel<br />
Nichtverkettbarkeit<br />
Die Nichtv<br />
tverkett<br />
ttba<br />
barkeit ist schließlich das<br />
klas<br />
assi<br />
siscsc<br />
he Sch<br />
chut<br />
utzz<br />
iel des Datenschutzes,<br />
www.it-daily.net
Change language