Wie sich das Daten­sicherheits­management im Jahr 2023 verändert

Die Entwicklung der Datensicherheit

Ein guter Freund von mir, der zudem früher CISO bei einem Fortune-50-Unternehmen war, sagte einmal zu mir: „Ich bin für zwei Dinge verantwortlich: die Sicherstellung der Bereitstellung von Dienstleistungen für unsere Kunden und den Schutz der Daten, die diese Dienstleistungen nutzen.“ In diese beiden Verantwortungsbereiche fließt eine Menge Arbeit ein.

Es ist keine leichte Aufgabe, die Servicebereitstellung für Kunden sicherzustellen, wenn man sich mit hybriden Infrastrukturen, dem Internet, globaler Verteilung, regionalen Vorschriften und immer raffinierteren Angreifern auseinandersetzen muss. Mein Freund wusste das – genauso wie er wusste, dass die Fähigkeit, seine wichtigsten Ziele zu identifizieren, entscheidend dafür ist, dass seine Organisation ihre Prioritäten erfolgreich aufeinander abstimmen kann.

Traditionell haben Sicherheitsteams versucht, das „Datenproblem“ zu umgehen. Die Logik dahinter war, dass ein Sicherheitsteam durch das Patchen der Infrastruktur und das Überwachen des Netzwerks auf Bedrohungen die Übersicht und Sicherheit aufrechterhalten kann. Dieser Ansatz erfordert kein Verständnis der von einem Unternehmen verwalteten Daten, sondern konzentriert sich vielmehr auf die Infrastrukturkomponenten wie Hardware, Netzwerke, Anwendungen und Identitäten.

In der heutigen Realität sind Datenpannen an der Tagesordnung. Die Aufsichtsbehörden reagieren mit immer strengeren Kontrollen und höheren Strafen, während die Nutzer sowohl mit Serviceunterbrechungen als auch mit Datenschutzverletzungen konfrontiert werden. Das beweist nur weiterhin, dass ein datenblinder Ansatz keine Option mehr ist.

Warum unser Ansatz sich ändern muss

Daten unterliegen enormen Veränderungen. Noch vor gar nicht allzu langer Zeit – als Google in den späten 90er Jahren gegründet wurde – wurden Daten per Hand übertragen, mit Disketten, die 1,44 MB Speicherplatz boten. Heute überqueren Terabytes an Daten routinemäßig ganze Kontinente mit einer Fingerbewegung. "Big Data" bedeutete früher ein Gigabyte, während heute täglich Petabytes von großen Unternehmen erzeugt und genutzt werden.

Mikroservice-Architekturen und Datenanalysen haben das Unternehmen grundlegend verändert: Statt sich auf eigene Rechenzentren mit Data Warehouses zu verlassen, werden Daten heute über Hunderte verschiedener Datenspeicher in einer Vielzahl von IaaS-, PaaS- und SaaS-Clouds verwaltet. Wie wir unsere Daten schützen, muss sich ändern, denn auch die Art und Weise, wie wir sie nutzen, hat sich verändert.

Die moderne, verteilte Belegschaft ist auf Kollaborationstools angewiesen, um ihre Arbeit zu erledigen. Unternehmen stellen Mitarbeitende ein, die Zugang zu sensiblen Informationen erhalten, auf die sie von überall aus online zugreifen – mit verschiedenen Geräten, wann immer sie die Möglichkeit haben zu arbeiten. Deshalb ist es entscheidend, Sicherheitskontrollen unter Berücksichtigung des Kontexts Ihrer Daten anzuwenden.

Zum Beispiel ist es ein Unterschied, ob Sie die passenden Kontrollen auf eine Tabelle mit den Geburtstagen Ihrer Mitarbeitenden anwenden oder auf eine mit deren Gehältern. Die Festlegung der richtigen Zugriffsrechte, Berechtigungen, Verschlüsselung, Hashing und mehr erfordert den Kontext der jeweiligen Daten in der Tabelle, anstatt einen allgemeinen Ansatz für alle Tabellen zu wählen. Beide Tabellen enthalten Mitarbeiterdaten. Das Teilen der Datei mit den Geburtstagen ist jedoch harmlos, während das Teilen von Gehaltsinformationen der Mitarbeitenden Chaos in Ihrer Organisation anrichten würde.

Wie sich das Daten­sicherheits­management im Jahr 2023 verändert

Konsistente Transparenz und ein tiefes Verständnis von Daten sind grundlegende Voraussetzungen für das Sicherheitsprogramm jedes zukunftsorientierten Unternehmens.

Sicherheitsteams müssen in der Lage sein, diese Fragen zu beantworten:

• Wie können wir einen risikobasierten Ansatz umsetzen und bestimmen, wo wir unsere Ressourcen konzentrieren sollten?
• Wie können wir die Behebungsmaßnahmen für Schwachstellen priorisieren, die bei Ausnutzung direkte Auswirkungen auf unser Unternehmen haben könnten?

Die Beantwortung beider Fragen beginnt damit, ein klares Inventar Ihres wertvollsten Guts zu erstellen: Daten.

Im Grunde genommen erfordert Sicherheit im Cloud-Zeitalter, dass man immer weiß:

• wo sich Ihre Daten befinden, sowohl der Wert als auch das Risiko, das sie darstellen
• wer darauf Zugriff hat
• wie es externen und internen Risiken ausgesetzt ist

Das heutige Geschäftsklima und die heutige Belegschaft akzeptieren keine veralteten Sicherheitsbeschränkungen; die heutigen Sicherheitskontrollen müssen so transparent wie möglich sein.

Sicherheitsteams müssen sich darüber im Klaren sein, dass Daten den Tresor verlassen haben und überall sind. Und das ist eine großartige Sache! Die Nutzung von Daten zur Zusammenarbeit und zur Entwicklung neuer Geschäftsmöglichkeiten schafft enormen Mehrwert für Unternehmen. Damit diese Wertschöpfung jedoch ermöglicht werden kann, ohne das Unternehmen Risiken auszusetzen, die diese Wertschöpfung gefährden, müssen sich Sicherheitsprogramme weiterentwickeln und den Fokus auf Daten legen.

Automatisierung, Geschwindigkeit und Skalierbarkeit sind entscheidend, um mit dem Tempo der Datenerstellung und -nutzung Schritt zu halten. Eine effektive Klassifizierungs- und Kontextualisierungsfähigkeit, um die passenden und wirksamen Kontrollen umzusetzen, ist unerlässlich. Die Nutzung von Cloud-First-Prinzipien sowie die Fortschritte im Bereich des maschinellen Lernens haben dies möglich – und sogar einfach – gemacht. Was bleibt, ist, dass Sicherheitsteams die Gegenwart annehmen und sich auf die Zukunft einstellen, indem sie Daten in den Mittelpunkt unserer Sicherheitsprogramme stellen.