Was ist Datensicherheit?

Warum ist Datensicherheit wichtig?

Durch die Fortschritte in der Cloud-Computing-Technologie und die weltweite Verbreitung der Cloud sind vertrauliche Daten heute weitaus stärker verteilt – und einer größeren Vielfalt an Sicherheitsrisiken ausgesetzt – als zu der Zeit, als alle Daten in lokalen Rechenzentren gespeichert wurden. Die Cybersicherheitsbranche hat viele neue Sicherheitstools entwickelt, die sich die Vorteile künstlicher Intelligenz und Automatisierung zunutze machen. Gleichzeitig entwickeln auch Cyberkriminelle ihre Taktiken ständig weiter.

Viele Organisationen implementieren strengere Datensicherheitsmaßnahmen, um kritische Daten vor neuartigen Cyberangriffen zu schützen. Dieser Trend ist nicht nur auf neue Sicherheitsbedrohungen zurückzuführen, sondern auch auf die exponentielle Zunahme der von Unternehmen verarbeiteten und generierten Datenmenge. Besonders besorgniserregend sind die großen Mengen an personenbezogenen Daten (z. B. geschützte Gesundheitsdaten [PHI] und persönlich identifizierbare Informationen [PII]), die in stark regulierten Branchen wie dem Gesundheitswesen, dem Finanzwesen und dem öffentlichen Sektor verwendet werden.

Datenschutzbestimmungen

Branchen und Behörden auf der ganzen Welt legen Rahmenbedingungen für die Einhaltung gesetzlicher Vorschriften fest, die sich auf Datensicherheitsanforderungen, den Umgang mit bestimmten Datentypen, den Aufbewahrungsort bestimmter Daten usw. beziehen. Zu den wichtigsten Compliance-Frameworks gehören:

• Der California Consumer Privacy Act (CCPA) gewährt den Einwohnern Kaliforniens das Recht zu erfahren, welche personenbezogenen Daten Unternehmen erheben, weitergeben oder verkaufen, sowie das Recht, diesen Maßnahmen zu widersprechen.
• Das Federal Risk and Authorization Management Program (FedRAMP) standardisiert einen Ansatz zur Bewertung und Autorisierung von Cloud-Dienstanbietern, die mit US-Bundesbehörden zusammenarbeiten.
• Die Datenschutz-Grundverordnung (DSGVO) verpflichtet Unternehmen dazu, Datenschutzverletzungen unverzüglich zu melden und die Zustimmung zur Verarbeitung personenbezogener Daten von EU-Bürgern einzuholen. EU-Bürger haben das Recht auf Zugriff, Änderung und Löschung dieser Daten.
• Der Health Insurance Portability and Accountability Act (HIPAA) legt Datenschutz- und Sicherheitsanforderungen für US-Gesundheitsdienstleister und Unternehmen fest, die PHI verarbeiten.
• ISO/IEC27001 legt einen Ansatz für Organisationen fest, um ein Informationssicherheitsmanagement aufzubauen, aufrechtzuerhalten und zu verbessern, wobei der Schwerpunkt auf Risikobewertung, Sicherheitskontrollen und kontinuierlicher Überwachung liegt.
• Das Cybersecurity Framework des National Institute of Standards and Technology (NIST) stellt Organisationen einen umfassenden Satz von Richtlinien zur Reduzierung von Sicherheitsrisiken und Verbesserung der Cybersicherheitsresilienz bereit.
• Der Payment Card Industry Data Security Standard (PCI DSS) verpflichtet Organisationen, die Kreditkartentransaktionen abwickeln, Verschlüsselung, Zugriffskontrollen und weitere Maßnahmen zu implementieren, um die Daten der Karteninhaber zu schützen.

Diese und andere Rahmenbedingungen werden regelmäßig überprüft und geändert, um das Datenrisiko der Organisation so weit wie möglich zu reduzieren. Weitere Informationen zu verschiedenen Risiken finden Sie im nächsten Abschnitt.

Die größten Risiken für die Datensicherheit

Man kann davon ausgehen, dass Daten in jedem Fall gefährdet sind. Daher ist es wichtig zu wissen, worauf man beim Umgang mit ihnen achten muss. Zu den größten Datenrisiken zählen:

• Unbefugter Zugriff und Insider-Bedrohungen: Schwache oder kompromittierte Authentifizierungsmechanismen können es unbefugten Usern innerhalb oder außerhalb einer Organisation ermöglichen, auf vertrauliche Daten und geistiges Eigentum zuzugreifen.
• Schwachstellen und Fehlkonfigurationen: Ungepatchte Software kann bekannte Schwachstellen enthalten, die Hackern Zugriff ermöglichen. Unsichere Konfigurationen können sogar in ansonsten sicheren Systemen ähnliche Lücken erzeugen.
• Ransomware und andere Malware: Ransomware kann Daten verschlüsseln, exfiltrieren, zerstören und potenziell zu katastrophalen Datenverlusten führen. Risiken durch andere Formen von Malware reichen vom Ausspionieren der User-Aktivitäten bis hin zur Ermöglichung der Kontrolle über das System durch Angreifer.
• Phishing und Social Engineering: Bei Phishing-Angriffen, die häufig per E-Mail erfolgen, werden manipulative Social-Engineering-Techniken eingesetzt, um User dazu zu verleiten, Anmeldedaten oder vertrauliche Informationen preiszugeben.
• Unzureichende Datenverschlüsselung: Wenn Unternehmensdaten im Klartext – also ohne Verschlüsselung – übertragen oder gespeichert werden, besteht ein höheres Risiko, dass sie von Unbefugten abgefangen werden.
• Sicherheitsrisiken durch Drittanbieter und die Cloud: Das Outsourcing der Datenverarbeitung oder -speicherung an Drittanbieter kann Risiken mit sich bringen, wenn deren Sicherheit mangelhaft ist, geteilte Sicherheitsverantwortlichkeiten unklar sind, Konfigurationsfehler auftreten usw.

Um diese Risiken zu mindern, ist eine ganzheitliche Cybersicherheitsstrategie von entscheidender Bedeutung, die robuste Zugriffskontrollen, Schwachstellenmanagement, starke Verschlüsselung, kontinuierliche Echtzeitüberwachung, Auditing und mehr umfasst.

Verschiedene Datensicherheitslösungen

Für einen wirksamen Schutz von Daten sind mehrere zusammenarbeitende Sicherheitskontrollen erforderlich, die einen umfassenden Schutz der Daten im Ruhezustand und während der Übertragung gewährleisten.

Hier sind einige der grundlegenden und gängigsten Mittel zum Schutz Ihrer Daten:

• Bei der Datenverschlüsselung handelt es sich um einen Vorgang, bei dem Klartextdaten mithilfe eines Verschlüsselungsalgorithmus und eines Verschlüsselungscodes in verschlüsselten Geheimtext umgewandelt werden, der anschließend mit einem Entschlüsselungscode wieder in Klartext umgewandelt werden kann.
• Durch die Tokenisierung werden Datenwerte verschleiert, sodass sie für Bedrohungsakteure als nicht vertrauliche Werte erscheinen. Bei der Tokenisierung, auch Datenmaskierung genannt, werden diese Platzhalter oder Token wieder mit ihren vertraulichen Gegenstücken verknüpft.
• Firewalls sichern im herkömmlichen Sinne Daten, indem sie den Netzwerkverkehr zwischen Hosts und Endsystemen verwalten, um eine vollständige Datenübertragung zu gewährleisten. Sie erlauben oder blockieren Traffic basierend auf Port und Protokoll und treffen Entscheidungen auf der Basis vordefinierter Sicherheitsrichtlinien.

Darüber hinaus sind weitere Lösungen zur Abwehr heutiger Bedrohungen verfügbar:

• Technologien zur Verhinderung von Datenverlust (Data Loss Prevention, DLP) überwachen und prüfen Daten im Ruhezustand, während der Übertragung und bei der Verwendung, um Verstöße sowie Versuche der Datenlöschung oder -exfiltration zu erkennen. Komplexe DLP-Lösungen werden im Rahmen einer umfassenderen Data Protection-Pattform bereitgestellt, die zum standortunabhängigen Schutz von Usern, Apps und Geräten entwickelt wurde.
• Identity and Access Management (IAM) sichert Daten durch die unternehmensweite Durchsetzung von Zugriffskontrollrichtlinien. IAM gewährt Usern normalerweise Zugriff auf Ressourcen über eine Multifaktor-Authentifizierung (MFA), die Single Sign-On (SSO), biometrische Authentifizierung und mehr umfassen kann.
• Zero Trust Network Access (ZTNA) ermöglicht Usern unabhängig von ihrem Standort sicheren Zugriff auf interne Anwendungen und gewährt Zugriff auf Basis granularer Richtlinien gemäß dem Erforderlichkeitsprinzip sowie dem Grundsatz der minimalen Rechtevergabe. ZTNA verbindet autorisierte User sicher mit privaten Unternehmensanwendungen, ohne ihnen Zugang zum Unternehmensnetzwerk zu geben oder die Anwendungen im Internet zu exponieren.

Handlungsempfehlungen zur Datensicherheit

Wenn Sie die Wirksamkeit dieser Maßnahmen maximieren möchten, müssen Sie über die bloße Bereitstellung von Datensicherheitsmaßnahmen hinaus noch einige Schritte unternehmen. So können Sie Ihre Datensicherheit optimal nutzen:

• Regelmäßige Risikobewertungen: Wenn Sie wissen, wo die Schwachstellen Ihrer Organisation liegen, können Ihr Team und Ihre Führungskräfte erkennen, wo Sie Hackern Tür und Tor schließen können.
• Einhalten gesetzlicher Vorschriften: Wenn Sie innerhalb der vorgegebenen Compliance-Rahmenwerke arbeiten, verringern Sie nicht nur die Risiken, sondern profitieren auch von Ihrem Geschäftsergebnis, da die Strafen für Verstöße hoch sein können.
• Datensicherungen: Gute Datensicherungen sind ein entscheidender Bestandteil moderner Sicherheit, insbesondere angesichts der zunehmenden Verbreitung von Ransomware.
• Legen Sie strenge Sicherheitsrichtlinien fest: Dies scheint zwar offensichtlich, doch viele Verstöße sind auf Richtlinienverstöße zurückzuführen, die dazu führen, dass sich böswillige Akteure Zugang durch eine unverschlossene Tür verschaffen.

So kann Zscaler bei der Datensicherheit helfen

Zscaler Data Protection folgt den Usern und den Anwendungen, auf die sie zugreifen, und schützt sie überall und jederzeit vor Datenverlusten. Die Zero Trust Exchange™ von Zscaler sorgt durch Inline-Überprüfung des gesamten verschlüsselten und unverschlüsselten Traffics dafür, dass Ihre SaaS- und Public-Cloud-Apps sicher sind, während sie gleichzeitig einen deutlich optimierten Ansatz für Schutz und Betrieb gewährleistet – Vorteile, die mit herkömmlichen On-Prem-Lösungen nicht möglich sind.

Zscaler Data Protection schützt vor den vier Hauptquellen des Datenverlusts durch:

• Verhindern von Datenverlusten über das Internet: Unternehmensdaten sind gefährdet, wenn User auf riskante Ziele im Internet zugreifen. Legacy-Appliances sind nicht in der Lage, Usern außerhalb des Netzwerks zu folgen oder ihren Web-Traffic zu schützen. Die cloudnative Zscaler-Plattform ist skalierbar, um den gesamten Datenverkehr überall zu überprüfen. Eine einzige DLP-Richtlinie schützt Daten mithilfe erweiterter Klassifizierungstechniken im Web, per E-Mail, auf Endpunkten, in SaaS und in privaten Unternehmensanwendungen.
• Absicherung von SaaS-Daten mit CASB: Die Absicherung von ruhenden Daten in SaaS-Anwendungen ist entscheidend für die allgemeine Sicherheit — über Anwendungen wie Microsoft OneDrive können Daten mit nur zwei Klicks mit unbefugten Usern geteilt werden. Zscaler bietet einen integrierten, multimodalen CASB, mit dem SaaS-Anwendungen abgesichert werden können – und das ohne die Kosten und Komplexität einer Einzellösung. Mithilfe der Inline-Funktionen lässt sich die gesamte Shadow-IT zuverlässig erkennen und kontrollieren. Out-of-band-DLP und ATP-Funktionen unterstützen die Behebung riskanter Dateifreigaben und Erkennung von ruhender Malware in der Cloud.
• Schutz öffentlicher Cloud-Daten: Die meisten Cloud-Sicherheitsverletzungen werden durch gefährliche Fehlkonfigurationen oder übermäßige Berechtigungen verursacht. Mit CSPMund CIEMvon Zscaler lassen sich Fehlkonfigurationen, Compliance-Verstöße sowie fehlerhafte Zugriffsberechtigungen aufspüren und beheben. Gleichzeitig wird durch kontinuierliche Scans eine risikobasierte Priorisierung gewährleistet. Das integrierte SaaS Security Posture Management erweitert diese Funktionalität auf Apps wie Microsoft 365, Salesforce und Google Workspace.
• Sicherung nicht verwalteter Geräte: Von BYOD und anderen nicht verwalteten Geräten geht eine erhebliche Bedrohung für Daten aus. Zscaler Browser Isolation ermöglicht densicheren Zugriff auf nicht verwaltete Geräte ohne die mit VDIs oder Reverseproxys verbundenen Performance-Abstriche. Die Lösung überträgt Daten als Pixel aus einer isolierten Sitzung in der Zero Trust Exchange und unterstützt so die Nutzung von Privatgeräten, verhindert jedoch Datenverluste durch Herunterladen, Kopieren, Einfügen und Drucken.