Unternehmen sorgen am besten schon bei Beginn der Reise sensibler Daten für deren Sicherheit. Das ist genauso wichtig wie oftmals heiß diskutierte Datenschutz am Endpunkt – mindestens.
Denn eine Selbstbeschränkung auf Endpoint-Security reicht nicht aus. Sie ist zwar besser als nichts, kommt aber oft zu spät, wenn der Schutz der Daten nicht über ihren gesamten Lebenszyklus m Snne eines „Data Life-Cycle Management“ (DLCM) gewährleistet wird.
Gerade der Datenschutz am Startpunkt ist eine wichtige Ergänzung zur Endpunktsicherheit: Die Sicherung sensiblen Daten direkt an den Startpunkten anstelle von (oder zumindest zusätzlich zu) ihren Endpunkten mit verschiedenen Techniken hat mehrere Vorteile! Denn wie sieht es mit der Sicherung von Daten an ihren Ausgangspunkten aus, d. h. bei der Erstellung von Daten durch Benutzer und durch Anwendungen, die Spalten in Datenbanken (oder Werte in Dateien) einspeisen? Dies ist der einzige Ort, an dem tatsächlich sensible Daten erstellt, gespeichert/abgefragt, verarbeitet und über die Endpunkte bewegt werden.
Bei Endpunktsicherheit handelt es sich nur um eine Technologien zum Schutz sensibler Daten an ganz bestimmten Punkten in einem Netzwerk: auf mobilen Geräten, Laptops und Desktop-PCs sowie auf den Servern – aber auch in den Netzwerkkomponenten, über die all diese Endpunkte verbunden sind.
Endpunktsicherheit lässt sich auch auf Speichersystemen wie USB-Sticks und Festplattenlaufwerken sicherstellen – und das sogar gezielt auf ganz spezielle Punkte auf diesen Geräten, etwa in Ordnern, Dateien oder ganzen Datenbanken, die verschlüsselt werden können.
Wichtig ist dieser Schutz vor allem für personenbezogene Daten („Personally Identifiable Information“, PII), die wie etwa Sozialversicherungsnummern, vollständige Namen und Telefonnummern verwendet werden können, um die Identität einer bestimmten Person aufzudecken. Hier setzt IRI mit Fieldshield an, einer Software zur Datenerkennung und -maskierung von PII in strukturierten und semistrukturierten Quellen, egal ob groß oder klein, lokal oder in der Cloud. Das Tool klassifiziert, durchsucht und schützt Feldwerte in Datenbanken und Flat-Files durch Datenmaskierung und Anonymisierung – und erstellt Audit-Protokolle zur Überprüfung der Compliance.
Jenseits der Endpunkt-Sicherheit, die durchbrochen werden kann, sorgt die Verschlüsselung auf Elementebene für den Schutz sensibler Informationen in Datenbanken und Dateien. Aus drei Gründen ist eine gezielte Verschlüsselung die entscheidende Datenschutztaktik:
Dieser Ansatz hilft sowohl Unternehmen als auch Behörden, ihre sensiblen Daten in Produktions- und Testdatenbanken vor internen und externen Bedrohungen zu schützen. PII lassen sich ergonomisch zentral klassifizieren, um dann global danach zu suchen und sie automatisch zu maskieren. Fieldshield lässt in Datenbanken, DevOps oder automatisierten Workflows verwenden, um sensible Daten so zu schützen, dass die Realität (inklusive referenzieller Integrität) gewahrt wird und/oder Umkehrbarkeit mithilfe von Verschlüsselung, Pseudonymisierung, Schwärzung und anderen gemeinsam nutzbaren Datenmaskierungsregeln sichergestellt ist.
Die Datenmaskierung basiert auf dem Konzept des atomaren Schutzes von PII-Daten direkt an der Datenquelle. Der Schutz direkt an diesen Startpunkten anstelle von (oder zumindest zusätzlich zu) ihren Endpunkten mit verschiedenen Techniken hat mehrere Vorteile, darunter:
1. Effizienz: Es ist viel schneller (und weniger ressourcenintensiv), diskrete Werte zu verschlüsseln oder andere De-Identifizierungsfunktionen auf sie anzuwenden als auf alles andere um sie herum
2. Benutzerfreundlichkeit: Da nur die sensiblen Daten maskiert werden, sind die Daten um sie herum weiterhin zugänglich
3. Ausschluss von Verstößen: Alle möglicherweise zweckentfremdeten Daten sind bereits de-identifiziert
4. Rechenschaftspflicht: Datenverfolgung und Prüfprotokolle, die auf den Schutz bestimmter Elemente verweisen, sind eine bessere Möglichkeit, die Einhaltung der Datenschutzgesetze zu überprüfen, die für sensible Daten (Identifikatoren) gelten
5. Sicherheit: Mehrere Datenmaskierungstechniken sind schwerer umkehrbar als eine einzelne Endpunkt-Schutztechnik. Wird beispielsweise derselbe Verschlüsselungsalgorithmus, der zur Sicherung eines Netzes oder einer Festplatte verwendet wurde, auch zur Maskierung nur eines Feldes verwendet (während andere Felder mit anderen Funktionen geschützt werden), ist der Unterschied in der Gefährdung zu bedenken.
6. Testen: Maskierte Produktionsdaten können auch für Prototyping und Benchmarking verwendet werden
7. Unabhängigkeit: Daten, die an ihrer Quelle geschützt sind, können sicher zwischen Datenbanken, Anwendungen und Plattformen (ob vor Ort oder in der Cloud) ausgetauscht werden.
Für all diejenigen, die in der Data-Governance-Branche tätig sind, mag es den Anschein haben, Startpoint-Security sei nur ein neues Schlagwort für Datenmaskierung. Doch damit ist es nicht gleichzusetzen, denn Startpunktsicherheit bringt auch Folgendes:
1. Datenermittlung: Die Fähigkeit, mit Hilfe von Mustern, Fuzzy Logic und anderen Suchvorgängen die PII zu finden
2. Datenklassifizierung: Gruppierung der gefundenen Daten in logische Kategorien zur globalen Maskierung
3. Datenherkunft: Verfolgung von Änderungen des PII-Wertes und/oder -Standorts im Laufe der Zeit zur Gewährleistung der Sicherheit usw.
4. Datenlatenz: Optional kann die Maskierung auf Daten im Ruhezustand oder bei der Übertragung angewendet werden
5. Herkunft der Metadaten: Aufzeichnung und Analyse von Änderungen an Layouts und Auftragsdefinitionen
6. Autorisierung: Verwaltung der Personen, die die Daten maskieren und/oder darauf zugreifen (wiederherstellen) können
7. Risikobewertung: Bestimmung der statistischen Wahrscheinlichkeit einer erneuten Identifizierung (siehe HIPAA)
8. Audit-Protokolle: Abfrage, wer was maskiert hat und wer was, wann und wo gesehen hat.
Viele dieser zusätzlichen Ergebnisse verbessern nicht nur die Sicherheit von Startpunkten, aber Klassifizierung, Herkunft und Latenz im datenzentrischen Bereich sind hier deutlich relevanter als für die Endpunktsicherheit.