Was ist Schutz vor Datenverlust (DLP)?

DLP steht für Data Loss Prevention – Schutz vor Datenverlust. DLP ist ein Ansatz oder eine Reihe von Strategien bestehend aus Tools oder Prozessen, die bei der Nutzung durch einen Netzwerkadministrator sicherstellen können, dass sensible Daten nicht von unbefugten Benutzern eingesehen, missbraucht oder verloren werden. Mit DLP senden Benutzer keine sensiblen oder kritischen Informationen außerhalb des Unternehmensnetzwerks. Netzwerknutzer können versehentlich oder böswillig Daten weitergeben, die der Organisation, der das Netzwerk gehört, schaden könnten. Dies bezieht sich beispielsweise auf das Weiterleiten von geschäftlichen E-Mails aus der Unternehmensdomäne heraus oder das Hochladen sensibler Dateien auf einen kommerziellen Cloud-Speicherdienst, z. B. Dropbox. DLP-Software kategorisiert und schützt sensible Daten, unabhängig davon, ob es sich um geschäftskritische, vertrauliche oder regulierte Daten handelt.

Gründe für die Einführung von DLP

Die Umstände waren noch nie so günstig für eine breite Einführung von DLP-Software. Das durch Datenschutzverletzungen offengelegte Datenvolumen nimmt von Jahr zu Jahr zu. Zwischen 60 und 70 % aller Datenschutzverletzungen werden öffentlich bekannt, was erhebliche Auswirkungen auf den Ruf und oft auch auf die finanzielle Situation des Unternehmens hat. 84 % der IT-Führungskräfte sind der Meinung, dass DLP eine größere Herausforderung darstellt, wenn Mitarbeiter an verschiedenen Standorten arbeiten. Alle 11 Sekunden wird ein weiteres Unternehmen Opfer eines Cyberangriffs. In den USA belaufen sich die Kosten einer durchschnittlichen Datenschutzverletzung auf 9,44 Mio. Dollar. DLP befasst sich mit drei häufigen Problemen bei der IT-Sicherheit von Unternehmen: Schutz persönlicher Daten und Einhaltung von Vorschriften, Schutz des geistigen Eigentums und Datentransparenz.

• Schutz personenbezogener Daten/Compliance: Alle Unternehmen, die PII, PHI oder PCI sammeln und speichern, unterliegen wahrscheinlich den Compliance-Vorschriften, wie HIPAA oder DSGVO. Das bedeutet, dass sie die sensiblen Daten ihrer Kunden schützen müssen.
• Schutz des geistigen Eigentums: Wenn Ihr Unternehmen über wertvolle geistige Eigentumsrechte, Geschäftsgeheimnisse oder sogar Staatsgeheimnisse verfügt, kann deren Verlust oder Diebstahl das Unternehmen in Gefahr bringen. DLP-Lösungen, die kontextbasierte Klassifizierung verwenden, können geistiges Eigentum, IP, sowohl in strukturierter als auch in unstrukturierter Form klassifizieren. Durch Richtlinien und Kontrollen kann der Verlust Ihrer Daten verhindert werden.
• Datentransparenz: Eine umfassende DLP-Lösung für Unternehmen kann Ihre Daten für Endgeräte, Netzwerke und die Cloud sichtbar machen und verfolgen. Sie können dann direkt sehen, wie die Benutzer in Ihrem Unternehmen mit den Daten interagieren.

DLP ist auch bei der Überwachung von Insider-Bedrohungen, der Office 365-Datensicherheit, der Verhaltensanalyse von Benutzern/Einheiten und fortgeschrittenen Bedrohungen von Vorteil.

Beste Praktiken gegen Datenverlust

Bei der Beurteilung, wie DLP am besten in Ihr Unternehmen implementiert werden kann, sollte immer bedacht werden, dass nicht alle Daten kritisch sind. Verschiedene Organisationen setzen unterschiedliche Prioritäten bei den Daten. Welche Daten würden bei einem Diebstahl den größten Schaden anrichten? Konzentrieren Sie Ihre anfängliche DLP-Strategie auf diesen Schutz.

Erwägen Sie eine Klassifizierung Ihrer Daten gemäß Kontext. Verknüpfen Sie eine Klassifizierung mit der Quellanwendung, dem Datenspeicher oder dem erstellenden Benutzer. Durchgängige Klassifizierungskennzeichen bedeuten, dass Unternehmen die Verwendung von Daten abwägen können.

Schulungen und Anleitungen können das Risiko eines versehentlichen Datenverlusts durch Insider verringern. Fortschrittliche DLP-Lösungen bieten Benutzerhinweise, die Mitarbeiter darauf aufmerksam machen, dass ihre Datennutzung gegen die Unternehmensrichtlinien verstoßen oder das Risiko erhöhen könnte, und kontrollieren riskante Aktivitäten.

Eine erfolgreiche DLP-Implementierung setzt voraus, dass Sie verstehen, wie Daten in Ihrem Unternehmen verwendet werden und wie riskantes Verhalten erkannt werden kann. Die Übertragung von Daten müssen von Unternehmen als Teil einer Strategie überwacht werden, um zu beobachten, was mit ihren sensiblen Daten geschieht, und um zu verstehen, welche Probleme eine DLP-Strategie angehen sollte.

Der Schweregrad der Risiken hängt natürlich davon ab, wohin Ihre Daten gelangen, z. B. zu Partnern, Kunden, in die Lieferkette usw. Das größte Risiko besteht oft bei der Verwendung auf Endgeräten, z. B. in einer E-Mail oder auf einem Wechseldatenträger. Ein robustes DLP-Programm trägt diesen Risiken mobiler Daten Rechnung.

Was ist Ihr vorrangiges Ziel beim Datenschutz? Vielleicht handelt es sich nicht um einen bestimmten Datentyp. Der Schutz des geistigen Eigentums, die Einhaltung von Vorschriften und die Transparenz von Daten sind alles lohnende Ziele. Wenn Sie ein bestimmtes Ziel haben, können Sie leichter entscheiden, wie Ihre DLP-Lösung effektiv eingesetzt werden soll.

Bei DLP ist es wichtig, dass man nicht rennt, bevor man gehen kann. Setzen Sie sich schnelle, messbare Ziele für Ihren ersten, definierten Ansatz. Sie könnten einen projektbezogenen Ansatz wählen und den anfänglichen Anwendungsbereich des Programms auf einen bestimmten Datentyp beschränken. Zum Beispiel die Erkennung und Automatisierung der Klassifizierung sensibler Daten. Dies ist eine bessere Strategie als eine übermäßig aufwendige und ehrgeizige Einführung gleich zu Anfang.

Legen Sie bei der Einführung Ihres DLP-Programms KPIs fest und überwachen Sie diese, damit Sie Messgrößen für den Erfolg und die Bereiche mit Verbesserungsbedarf an der Hand haben. Teilen Sie diese Kennzahlen den Führungskräften Ihres Unternehmens mit, um den Mehrwert von DLP zu verdeutlichen.

Wenn Sie Ihr erstes DLP-Programm einführen, machen Sie nicht den Fehler, es abteilungsweise zu implementieren. Uneinheitlich angewandte Ad-hoc-DLP-Praktiken werden von den Bereichen des Unternehmens ignoriert, die nicht direkt darin involviert sind, wodurch sie weitgehend eine Verschwendung von Ressourcen darstellen.

In diesem Zusammenhang ist es am besten, die Zustimmung von Führungskräften in Ihrem Unternehmen, wie dem CFO und CEO, einzuholen, um ein genehmigtes Budget für ein DLP-Programm zu erhalten. Zeigen Sie auf, wie DLP die Probleme verschiedener Geschäftsbereiche löst, z. B. profitables Wachstum und effiziente Ressourcennutzung (da DLP den Bedarf an zusätzlichem Personal ausschließt). Auf diese Weise lässt sich die unternehmensweite Einführung des Programms leichter vorantreiben und koordinieren. Wenn Sie gemeinsam mit den Leitern der Geschäftsbereiche DLP-Richtlinien für die Daten Ihres Unternehmens definieren, kennen alle Geschäftsbereiche die Richtlinien, ihre Auswirkungen und die Art und Weise, wie sie in die Richtlinien einfließen.