Weniger als ein Monat bis zum „DSGVO-Stichtag“ 25.05.2018: Unternehmen haben nun entweder die Weichen bereits gestellt und können sich beruhigt zurücklehnen – oder aber, die massiven Änderungen im Datenschutz wurden bisher mehr oder weniger bewusst ignoriert.
Für den ganz großen Wurf ist es jetzt eigentlich deutlich zu spät. Doch anstatt zu kapitulieren, lässt sich mit kleinen, aber gezielten Maßnahmen durchaus noch etwas retten.
Ein solcher Bereich ist der sichere Einsatz externer Speichermedien. Konstantin Fröse, EMEA Account Executive beim Security-Spezialisten DataLocker (www.datalocker.com), nennt vier Ansatzpunkte für Unternehmen, die jetzt noch an ihrer DSGVO-Compliance arbeiten möchten.
USB-Speicher: Sichere Hardware-Verschlüsselung ist das Mittel der Wahl
Unter der Voraussetzung, dass ohnehin nur Hardware-verschlüsselte USB-Sticks und -Festplatten eingesetzt werden, können damit bereits die geeigneten technischen Maßnahmen (DSGVO Art. 32) erfüllt werden. Wichtig ist jedoch in der Tat, dass es sich um eine echte Hardware-Verschlüsselung handelt. Diese bietet gegenüber anderen Verschlüsselungsmethoden unterschiedliche Vorteile in Bezug auf Leistung, Benutzerfreundlichkeit und Schutz vor Kompromittierung. Das wichtigste Argument gegenüber einer Softwarelösung ist jedoch, dass die Verschlüsselung nicht umgangen oder entfernt werden kann. Denn das kann bei vielen Software-basierten Lösungen relativ schnell passieren – mit dem Resultat, dass die USB-Speicher ganz normal weiter verwendet werden, jedoch ohne Schutz und Kontrolle und außerhalb der ursprünglich geplanten Compliance.
Organisatorische Maßnahmen: USB-Device-Management
Werden diese USB-Speicher nun noch über eine USB-Device-Managementlösung zentral verwaltet, können in diesem Bereich auch die in der DSGVO definierten organisatorischen Maßnahmen erbracht werden (ebenfalls Art. 32). Durch umfangreiche Sicherheitsrichtlinien kann sichergestellt werden, dass eine Nutzung der Inhalte auf den USB-Speichern nur unter bestimmten Voraussetzungen möglich ist. Und werden diese Voraussetzungen nicht erfüllt, ist kein Zugriff auf die Daten möglich.
So können beispielsweise Passwortregeln konfiguriert werden, die festlegen, wie komplex ein Passwort sein muss oder wie lange es gültig sein darf, bevor es erneuert werden muss. Es kann jedoch auch definiert werden, in welchen IP-Adressbereichen oder an welchen „vertrauenswürdigen“ Systemen der USB-Speicher überhaupt genutzt werden darf.
Zudem kann optional ein eigener Anti-Malware-Scanner zugeschaltet werden, der direkt in die Firmware des USB-Speichers integriert ist und damit weder absichtlich noch unabsichtlich deaktiviert oder entfernt werden kann. Das ist besonders dann von Bedeutung, wenn die USB-Speicher nicht nur an firmeneigenen Systemen eingesetzt werden, bei denen man stets die Kontrolle über die Aktualität der eingesetzten Anti-Malwarelösung hat.
Nachweisbarkeit der getroffenen Maßnahmen für das DSGVO-Verfahrensverzeichnis
Die Basis einer USB-Device-Managementlösung beziehungsweise eines umfassenden Gerätemanagements ist die Registrierung aller sicheren USB-Laufwerke. Dabei wird jedes Laufwerk mit wichtigen Daten wie Typenbezeichnung, Seriennummer und Firmware-Stand erfasst. Zudem ist ersichtlich, welchen Mitarbeitern diese sicheren USB-Speicher ausgehändigt wurden. Hieraus kann eine Liste exportiert werden, die sich hervorragend als Anlage zum DSGVO Verfahrensverzeichnis (Art. 30) eignet.
Meldung bei der Aufsichtsbehörde / Benachrichtigung der betroffenen Personen
Tritt der „Worst Case“ ein und ein USB-Laufwerk geht wirklich einmal verloren oder wird gestohlen, so können sowohl der AES-Schlüssel in der Hardware-Verschlüsselungseinheit als auch die auf dem Laufwerk befindlichen Daten aus der Ferne gelöscht werden. Dies wird in einem Compliance-Report dokumentiert, der ebenfalls exportiert und als Anlage zur Meldung bei der Aufsichtsbehörde (DSGVO Art. 33) und bei den betroffenen Personen (DSGVO Art 34) verwendet werden kann. Betroffene Personen könnten in diesem Fall auch Kunden oder Klienten sein, die ihrem Dienstleister ihre persönlichen Daten anvertraut haben und denen nun nachgewiesen werden kann, dass kein Grund zur Sorge besteht, da kein Datenverlust eingetreten ist.
„Es sind jetzt nur noch wenige Wochen bis zum endgültigen Inkrafttreten der Datenschutz-Grundverordnung. Auch wenn bisher einiges versäumt wurde, ist es aber noch nicht zu spät, zumindest wichtige Teilbereiche umzusetzen. Wir empfehlen Unternehmen in diesem Fall, sich auf konkret und zeitnah lösbare Aufgaben zu konzentrieren, die über die Abbildung der DSGVO-Anforderungen hinaus gleichzeitig auch einen zusätzlichen Sicherheitsgewinn darstellen“, erklärt Konstantin Fröse, EMEA Account Executive bei DataLocker.
Ein Produktvergleich und eine Übersicht aller Leistungsmerkmale der beiden am Markt vertretenen USB-Device-Managementlösungen Ironkey EMS und Safeconsole ist hier zu finden:
https://media.datalocker.com/...
Für den ganz großen Wurf ist es jetzt eigentlich deutlich zu spät. Doch anstatt zu kapitulieren, lässt sich mit kleinen, aber gezielten Maßnahmen durchaus noch etwas retten.
Ein solcher Bereich ist der sichere Einsatz externer Speichermedien. Konstantin Fröse, EMEA Account Executive beim Security-Spezialisten DataLocker (www.datalocker.com), nennt vier Ansatzpunkte für Unternehmen, die jetzt noch an ihrer DSGVO-Compliance arbeiten möchten.
USB-Speicher: Sichere Hardware-Verschlüsselung ist das Mittel der Wahl
Unter der Voraussetzung, dass ohnehin nur Hardware-verschlüsselte USB-Sticks und -Festplatten eingesetzt werden, können damit bereits die geeigneten technischen Maßnahmen (DSGVO Art. 32) erfüllt werden. Wichtig ist jedoch in der Tat, dass es sich um eine echte Hardware-Verschlüsselung handelt. Diese bietet gegenüber anderen Verschlüsselungsmethoden unterschiedliche Vorteile in Bezug auf Leistung, Benutzerfreundlichkeit und Schutz vor Kompromittierung. Das wichtigste Argument gegenüber einer Softwarelösung ist jedoch, dass die Verschlüsselung nicht umgangen oder entfernt werden kann. Denn das kann bei vielen Software-basierten Lösungen relativ schnell passieren – mit dem Resultat, dass die USB-Speicher ganz normal weiter verwendet werden, jedoch ohne Schutz und Kontrolle und außerhalb der ursprünglich geplanten Compliance.
Organisatorische Maßnahmen: USB-Device-Management
Werden diese USB-Speicher nun noch über eine USB-Device-Managementlösung zentral verwaltet, können in diesem Bereich auch die in der DSGVO definierten organisatorischen Maßnahmen erbracht werden (ebenfalls Art. 32). Durch umfangreiche Sicherheitsrichtlinien kann sichergestellt werden, dass eine Nutzung der Inhalte auf den USB-Speichern nur unter bestimmten Voraussetzungen möglich ist. Und werden diese Voraussetzungen nicht erfüllt, ist kein Zugriff auf die Daten möglich.
So können beispielsweise Passwortregeln konfiguriert werden, die festlegen, wie komplex ein Passwort sein muss oder wie lange es gültig sein darf, bevor es erneuert werden muss. Es kann jedoch auch definiert werden, in welchen IP-Adressbereichen oder an welchen „vertrauenswürdigen“ Systemen der USB-Speicher überhaupt genutzt werden darf.
Zudem kann optional ein eigener Anti-Malware-Scanner zugeschaltet werden, der direkt in die Firmware des USB-Speichers integriert ist und damit weder absichtlich noch unabsichtlich deaktiviert oder entfernt werden kann. Das ist besonders dann von Bedeutung, wenn die USB-Speicher nicht nur an firmeneigenen Systemen eingesetzt werden, bei denen man stets die Kontrolle über die Aktualität der eingesetzten Anti-Malwarelösung hat.
Nachweisbarkeit der getroffenen Maßnahmen für das DSGVO-Verfahrensverzeichnis
Die Basis einer USB-Device-Managementlösung beziehungsweise eines umfassenden Gerätemanagements ist die Registrierung aller sicheren USB-Laufwerke. Dabei wird jedes Laufwerk mit wichtigen Daten wie Typenbezeichnung, Seriennummer und Firmware-Stand erfasst. Zudem ist ersichtlich, welchen Mitarbeitern diese sicheren USB-Speicher ausgehändigt wurden. Hieraus kann eine Liste exportiert werden, die sich hervorragend als Anlage zum DSGVO Verfahrensverzeichnis (Art. 30) eignet.
Meldung bei der Aufsichtsbehörde / Benachrichtigung der betroffenen Personen
Tritt der „Worst Case“ ein und ein USB-Laufwerk geht wirklich einmal verloren oder wird gestohlen, so können sowohl der AES-Schlüssel in der Hardware-Verschlüsselungseinheit als auch die auf dem Laufwerk befindlichen Daten aus der Ferne gelöscht werden. Dies wird in einem Compliance-Report dokumentiert, der ebenfalls exportiert und als Anlage zur Meldung bei der Aufsichtsbehörde (DSGVO Art. 33) und bei den betroffenen Personen (DSGVO Art 34) verwendet werden kann. Betroffene Personen könnten in diesem Fall auch Kunden oder Klienten sein, die ihrem Dienstleister ihre persönlichen Daten anvertraut haben und denen nun nachgewiesen werden kann, dass kein Grund zur Sorge besteht, da kein Datenverlust eingetreten ist.
„Es sind jetzt nur noch wenige Wochen bis zum endgültigen Inkrafttreten der Datenschutz-Grundverordnung. Auch wenn bisher einiges versäumt wurde, ist es aber noch nicht zu spät, zumindest wichtige Teilbereiche umzusetzen. Wir empfehlen Unternehmen in diesem Fall, sich auf konkret und zeitnah lösbare Aufgaben zu konzentrieren, die über die Abbildung der DSGVO-Anforderungen hinaus gleichzeitig auch einen zusätzlichen Sicherheitsgewinn darstellen“, erklärt Konstantin Fröse, EMEA Account Executive bei DataLocker.
Ein Produktvergleich und eine Übersicht aller Leistungsmerkmale der beiden am Markt vertretenen USB-Device-Managementlösungen Ironkey EMS und Safeconsole ist hier zu finden:
https://media.datalocker.com/...
