Data Classification

Mehr Sicherheit durch Datenklassifizierung

26.03.2024 von Florian Disson  IDG ExpertenNetzwerk
Wer sich mit Datenverwaltung und Cybersecurity-Risikomanagement beschäftigt, kommt nicht umhin, seinen Datenbestand in Kategorien einzuteilen.

Ein einfacher menschlicher Fehler, ein kleines Versehen - schon können Compliance-Richtlinien des Unternehmens verletzt und vertrauenswürdige Daten unerwünschtem Zugriff ausgesetzt sein. Um dies zu vermeiden, können neben Gesichtspunkten der Governance, ordnungsgemäße Datenklassifizierungsrichtlinien und kohärente Datenlebenszyklen für mehr Sicherheit sorgen. Sie sind auch ein guter Weg, um zu beweisen, dass ein Unternehmen Compliance-Standards wie GDPR einhält, um Vertrauen und Integrität zu fördern.

Daten sinnvoll verwalten, den Zugriff darauf steuern und damit die Unternehmenssicherheit als Ganzes zu erhöhen funktioniert besser in Unternehmen, die ihren Datenbestand in unterschiedliche Sicherheits-/Risikolevel eingeteilt haben.
Foto: Naeblys - shutterstock.com

Kategorien und Risikogattungen

Der erste Schritt einer Klassifizierung ist das Einteilen der Daten anhand von Typ, Inhalt und anderen Metainformationen in Kategorien. Diese Kategorien dienen anschließend dazu, das richtige Maß an Kontrollen für die Vertraulichkeit, Integrität und Verfügbarkeit zu bestimmen. Maßgebend dabei sind die wahrscheinlichen Folgen einer Datenkompromittierung für die Organisation. Oder mit anderen Worten: Wie wirken sich Verlust oder der Missbrauch der Daten auf das Vertrauen von Kunden, Partnern und Mitarbeitern oder allgemein den Ruf des Unternehmens aus?

Lesetipp: Die meisten Anwender wollen Daten nicht teilen

Der Einfachheit halber können Unternehmen für die Klassifizierung von Unternehmensdaten drei Stufen verwenden: hohes, mittleres und geringes/kein Risiko.

Ein hohes Risiko lässt sich zudem weiter in die Level "persönlich" „vertraulich“ und „firmenvertraulich“ unterteilen und Daten mit mittlerem Risiko sollten mit der Kategorie "intern" versehen werden.

ISO, NIST und AWS als Rahmenwerke

Da ein dreistufiges Konzept nicht für jedes Unternehmen geeignet ist, sollte das Hauptziel der Datenklassifizierung darin bestehen, die sensitiven Daten zu identifizieren und Prozesse, Labels und Berechtigungen so anzupassen, wie es der konkrete Anwendungsfall verlangt. Behörden oder öffentliche Einrichtungen mit sensiblen Daten können beispielsweise mehrere Datenklassifizierungsstufen verwenden, während für kleinere Unternehmen zwei oder drei Stufen ausreichen dürften.

Richtlinien und Empfehlungen für die Datenklassifizierung findet man bei Normungsorganisationen wie der International Standards Organization (ISO 27001) und dem National Institute of Standards and Technology (NIST SP 800-53).

Neben Standards und Empfehlungen sollte auch der Prozess der Datenklassifizierung selbst greifbar sein. Amazon Web Services beispielsweise bietet einen fünfstufigen Rahmen für die Entwicklung von Richtlinien und folgt damit einem bewährten Verfahren zur Datenklassifizierung:

  1. Erstellung eines Datenkatalogs für verschiedene Datentypen,

  2. Bewertung der geschäftskritischen Funktionen und Durchführung einer Folgenabschätzung,

  3. Kennzeichnung von Informationen,

  4. Umgang mit Assets und

  5. Kontinuierliche Überwachung.

Die Datentypen des Katalogs sind auf Grundlage der unternehmenseigenen Klassifizierungsstufen zunächst zu gruppieren, wobei sich die Sicherheitsstufen nach ihrer Kritikalität für das Unternehmen bemessen. Jeder Datentyp sollte nach seinen Auswirkungen bewertet werden.

Eine Kennzeichnung der Daten empfiehlt sich hinsichtlich der Qualitätssicherung. AWS verwendet für die Datenkennzeichnung Dienste wie

Nach ihrer Kennzeichnung werden die Datensätze entsprechend ihrer Sicherheitsstufe behandelt. An dieser Stelle sollten mithilfe von Identity Access Management spezifische Sicherheits- und Zugriffskontrollen eingerichtet werden, die regeln, wer welche Daten sehen und bearbeiten darf.

Automatisch klassifizieren

In der weiteren Folge sollten eine kontinuierliche Überwachung, die Identifizierung externer Bedrohungen und das Aufrechterhalten normaler Funktionen und Prozesse, die auf Daten beruhen, automatisiert ablaufen. Denn die Datenklassifizierung ist komplex und erfordert viel Aufwand.

Die Automatisierung hilft, den Prozess zu kontrollieren und das Risiko menschlicher Fehler und Verletzung risikobehafteter Daten zu verringern. AWS verwendet dazu das mit Machine Learning arbeitende Tool Amazon Macie. Es erkennt, klassifiziert und schützt vertrauliche und sensible Daten in AWS. Über Dashboards lassen sich Daten visuell darstellen, Zugriff darauf erlangen und Warnmeldungen anzeigen.

Nach der Auswahl der S3-Buckets, die für Macie aktivieren werden sollen, lassen sich verschiedene Optionen aktivieren. Neben der Häufigkeit der Objektprüfungen und dem Filtern von Objekten nach Tags steht auch eine benutzerdefinierte Datenkennung zur Verfügung. Dabei handelt es sich um eine Reihe von Kriterien zur Erkennung sensibler Daten. Um Daten für Analysezwecke auszuwählen, lassen sich reguläre Ausdrücke, Schlüsselwörter und eine maximale Übereinstimmungsdistanz definieren.

Gleichwohl ist Macie nur eines von vielen Tools, um Datenklassifizierung zu automatisieren. Eine einfache Google-Suche ergibt Dutzende von alternativen Angeboten für Unternehmen aller Größenordnungen. Das zeigt: Datenklassifizierung wird fast überall benötigt und ihr geschäftlicher Nutzen ist allgemein anerkannt. (bw)