A Practical Guide to Cloud Data Protection (Part 1)

Das Folgende ist ein Auszug aus dem aktuellen Whitepaper von Netskope „So entwerfen Sie eine Cloud-Datenschutzstrategie“ von James Christiansen und David Fairman.

Schritt 1: Wissen, wo die Daten gespeichert sind und sich befinden (auch bekannt als Datenermittlung)

Dabei handelt es sich um den Prozess des Entdeckens/Erkennens/Lokalisierens aller strukturierten und unstrukturierten Daten, die eine Organisation besitzt. Diese Daten können auf Unternehmenshardware (Endpunkte, Datenbanken), im BYOD-System der Mitarbeiter oder in der Cloud gespeichert werden.

Es stehen zahlreiche Tools zur Verfügung, die bei der Datenermittlung (sowohl während der Übertragung als auch bei der Speicherung) helfen. Dabei handelt es sich um lokale und Cloud-bezogene Daten. Durch diesen Vorgang soll sichergestellt werden, dass keine Daten unbekannt und ungeschützt bleiben. Dies ist der Kern der Schaffung eines datenzentrierten Ansatzes für den Datenschutz, da ein Unternehmen ein Inventar aller seiner Daten erstellt. Dieses Inventar ist ein wichtiger Input für eine umfassendere Datenverwaltungsstrategie und -praxis.

Informationsbestände ändern sich ständig, und es werden neue Bestände hinzugefügt, wodurch jede statische Liste fast sofort veraltet und unwirksam wird. Achten Sie beim Einrichten des Prozesses zur Datenermittlung darauf, Automatisierung zu verwenden. Nur so behalten Sie den Überblick über Ihre Informationsressourcen und können die Risiken wirksam managen.

Schritt 2: Kennen Sie die Sensibilität der Daten (auch bekannt als Datenklassifizierung)

Sobald die Daten entdeckt wurden, müssen sie klassifiziert werden. Bei der Datenklassifizierung handelt es sich um den Prozess der Analyse des Dateninhalts, der Suche nach PII, PHI und anderen sensiblen Daten und deren entsprechender Klassifizierung. Ein üblicher Ansatz besteht in der Verwendung von drei oder vier Klassifizierungsebenen, typischerweise:

Sobald eine Richtlinie erstellt wurde, müssen die Daten selbst in den Metadaten markiert werden (dies ist die Implementierung der Datenklassifizierungsrichtlinie). Traditionell war dies ein komplexer und oft ungenauer Prozess. Beispiele für traditionelle Ansätze waren:

• Regelbasiert
• RegEx, Keyword Match, Wörterbücher
• Fingerabdruck und IP-Schutz
• Genaue Datenübereinstimmung
• Optische Zeichenerkennung
• Compliance-Abdeckung
• Ausnahmenmanagement

Die Ansätze zur Datenklassifizierung haben sich weiterentwickelt und Unternehmen müssen neue Möglichkeiten nutzen, wenn sie die großen Datenmengen, die sie erstellen und besitzen, wirklich klassifizieren möchten. Einige Beispiele sind:

• Auf maschinellem Lernen (ML) basierende Dokumentenklassifizierung und -analyse, einschließlich der Möglichkeit, Modelle und Klassifikatoren anhand eigener Datensätze unter Verwendung vordefinierter ML-Klassifikatoren zu trainieren (wodurch Organisationen ganz einfach Klassifikatoren erstellen können, ohne dass hierfür komplexe Datenwissenschaftskenntnisse erforderlich sind). (Siehe diese Analyse von Netskope.)
• Verarbeitung natürlicher Sprache (NLP)
• Kontextanalyse
• Bildanalyse und -klassifizierung
• Redaktion und Datenschutz

Diese Ansätze müssen in der Lage sein, API-basierte, Cloud-native Dienste für die automatische Klassifizierung und Prozessintegration zu unterstützen. Auf diese Weise kann das Unternehmen eine grundlegende Fähigkeit aufbauen, Prozesse und Technologien (einschließlich Modelle) gemeinsam zu nutzen, um Daten zu klassifizieren, die dann bei Bedarf zu einem Datenpunkt für zusätzliche Prüfungen werden. Das Ergebnis ist die Bereitstellung einer automatisierten Klassifizierungsfunktion in Echtzeit.

Die Eskalation und Deeskalation der Klassifizierung ist eine Methode, die häufig zum Klassifizieren aller entdeckten Daten verwendet wird. Für jedes Datenobjekt, das nicht klassifiziert wurde, sollte eine Standardklassifizierung angewendet werden, indem die Standardklassifizierungsstufe in die Metadaten eingefügt wird (wenn es beispielsweise nicht klassifiziert ist, standardmäßig „vertraulich“ oder „streng vertraulich“). Anhand verschiedener Tests bzw. Kriterien kann die Klassifizierung des Objekts langsam auf das entsprechende Level eskaliert oder deeskaliert werden. Dies deckt sich mit vielen Prinzipien von Zero Trust, das sich schnell zu einer grundlegenden Fähigkeit jeder Datenschutzstrategie entwickelt und auch in Zukunft bleiben wird.

(Weitere Informationen zu Zero Trust finden Sie im Netskope-Artikel Was ist Zero Trust-Sicherheit?)

Ein Hinweis zur Bestimmung der „Kronjuwelen“ und zur Priorisierung

Die Datenklassifizierung trägt wesentlich dazu bei, dass ein Unternehmen seine Kronjuwelen erkennt. Für die Zwecke dieser Erläuterung werden „Kronjuwelen“ als die Vermögenswerte definiert, die auf die wichtigsten, für die Organisation relevanten Daten zugreifen, diese speichern, übertragen oder löschen. Bei einem datenzentrierten Ansatz ist es zwingend erforderlich, die wichtigsten Daten zu verstehen und sowohl ihre Sensibilität als auch ihre Kritikalität zu bewerten. Diese Bestimmung basiert nicht allein auf der Datenklassifizierung.

Ein praktisches Modell zur Bestimmung der Wichtigkeit der Daten besteht darin, die drei Säulen der Sicherheit – Klassifizierung, Integrität und Verfügbarkeit – zu berücksichtigen, wobei jeder Säule eine Gewichtung (1-4) zugewiesen wird, die sich an den entsprechenden Richtlinien oder Standards orientiert. Ein Gesamtwert von 12 (4+4+4) für ein beliebiges Datenobjekt weist darauf hin, dass die Daten streng vertraulich sind, hohe Integritätsanforderungen haben und hochverfügbar sein müssen.

Hier sehen Sie ein Beispiel für typische Systeme im Einsatz in einem Unternehmen und typische Gewichtungen.

Eine Organisation kann auf der Grundlage ihrer Risikobereitschaft für jedes Datenobjekt einen Gesamtwert von 12 festlegen. Dies bedeutet, dass die Daten streng vertraulich sind, hohe Integritätsanforderungen haben und hoch verfügbar sein müssen. Eine Organisation kann auf Grundlage ihrer Risikobereitschaft festlegen, welcher Score für die Bewertung als Kronjuwel ausschlaggebend ist. Darüber hinaus kann das Unternehmen dadurch Kontrollen und, falls erforderlich, Abhilfemaßnahmen auf sehr logische und detaillierte Weise priorisieren. Die Bewertung kann dann auf die Anwendungen, Systeme und Drittparteien angewendet werden, die diese Daten verwenden. Dadurch entsteht eine Gruppierung von Assets (Anwendungen, Systeme und/oder Drittparteien), die den Kronjuwelen-Status angibt (oder nicht).

Halten Sie Ausschau nach Teil 2. Darin werden wir uns eingehender mit dem Fluss Ihrer Daten befassen, Einblicke darüber erhalten, wer auf Ihre Daten zugreifen kann und wie gut Ihre Daten geschützt sind. Wenn Sie mehr über die Entwicklung einer Cloud-Datenschutzstrategie erfahren möchten Sie können hier ein kostenloses Exemplar des Whitepapers lesen.!