Einrichten einer Datensicherheitsdisziplin

Dieser Artikel hilft Sicherheits- und Technologieteams beim Einrichten und Modernisieren einer Datensicherheitsdisziplin, die Organisationen dabei hilft, Daten überall dort zu schützen, wo sie erstellt, verarbeitet, freigegeben oder verwendet wird, und gleichzeitig zusammenarbeiten, Analysen, Clouddienste und KI-Einführung ermöglichen.

Sicherheitsdisziplinen sind Gruppierungen verwandter Sicherheitsaufgaben, die Organisationen dabei helfen, sicherheitsrelevante Ergebnisse konsistent in der gesamten Technologieumgebung zu erzielen. Im Rahmen des Modells der Sicherheitsakzeptanz helfen Disziplinen dabei, eine Brücke zwischen Geschäftsszenarien und technischer Implementierung zu bieten und sicherzustellen, dass Sicherheitsinvestitionen im Rahmen des Sicherheitsakzeptanzmodells zu echten messbaren Ergebnissen führen.

Warum diese Disziplin

Daten sind das Lebensblood moderner Organisationen. Es unterstützt Geschäftsvorgänge, Entscheidungsfindung und Innovation, aber es ist auch eines der wertvollsten Ressourcen, die von Angreifern bestimmt werden.

Herkömmliche, netzwerkorientierte Datenschutzansätze reichen nicht mehr in Umgebungen aus, in denen Clouddienste, Verschlüsselung, mobile Geräte und verteilte Zusammenarbeit verwendet werden. Eine moderne Disziplin der Datensicherheit geht über Perimeterkontrollen hinaus hin zu identitätsbezogenem, lebenszyklusbasiertem Schutz, der an Geschäftswert und Risiko ausgerichtet ist. Ohne effektive Datensicherheit stehen Organisationen vor materiellem Geschäftsrisiko, einschließlich:

• Unbeabsichtigte Datenexposition durch Mitarbeiter, die Clouddienst, persönliche Geräte und KI verwenden.
• Böswillige Insider-Aktivitäten, die auf vertrauliche Informationen abzielen.
• Bedrohungsakteure umgehen umkreisbasierte Steuerelemente in verteilten Umgebungen.
• Ransomware und Erpressungsangriffe stören Vorgänge.
• Behördliche Sanktionen, Reputationsschäden und – in einigen Branchen – Auswirkungen auf die Lebenssicherheit.

Eine dedizierte Datensicherheitsdisziplin bietet die Struktur, die erforderlich ist, um diese Risiken zu reduzieren und gleichzeitig die sichere und produktive Verwendung von Daten in der gesamten Organisation zu ermöglichen.

Mission und Ergebnisse

Die Aufgabe der Disziplin Datensicherheit besteht darin, die Vertraulichkeit, Integrität und Verfügbarkeit von Datenressourcen während des gesamten Lebenszyklus zu schützen, um sichere Geschäftsvorgänge und fundierte Entscheidungsfindung zu ermöglichen.

Eine ausgereifte Datensicherheitsdisziplin liefert die folgenden Kernergebnisse:

• Vertraulichkeit der Daten: Stellen Sie sicher, dass nur autorisierte Benutzer und Systeme auf Daten zugreifen können.
• Datenintegrität: Verhindern nicht autorisierter Änderungen oder Beschädigungen von Daten.
• Datenverfügbarkeit: Stellen Sie sicher, dass auf autorisierte Benutzer bei Bedarf auf Daten zugegriffen werden kann.

Fehler in diesen Ergebnissen können zu Datendiebstahl und Missbrauch führen, Geschäftsvorgänge stören, Betrug ermöglichen, regulierte Daten verfügbar machen oder sogar physische Schäden an Personen verursachen.

Wenn Sie klare Besitz-, Klassifizierungs- und Schutzstrategien einrichten, wird die Datensicherheit zu einem Enabler von Geschäftsergebnissen und nicht zu einer Einschränkung.

Um die Datensicherheitsdisziplin effektiv anzuwenden, konzentrieren Sie sich auf die Festlegung eines konsistenten Ansatzes zum Schutz von Daten basierend auf ihrer Vertraulichkeit und geschäftlichen Auswirkungen:

1. Definieren einer Datenschutzstrategie, die an Geschäftsprioritäten und Risiken ausgerichtet ist
   Legen Sie einen klaren Ansatz für die Identifizierung, Klassifizierung und den Schutz von Daten auf der Grundlage ihres Werts und der Risiken fest, die mit ihrer Exposition oder ihrem Missbrauch verbunden sind.
2. Einheitliches Anwenden des Schutzes über den gesamten Datenlebenszyklus
   Stellen Sie sicher, dass Daten überall dort geschützt sind, wo sie gespeichert, verschoben oder verwendet werden, einschließlich geräte-, anwendungs- und cloudübergreifender Umgebungen.
3. Einrichten standardisierter Datenschutzrichtlinien und -kontrollen
   Stellen Sie klare Anleitungen bereit, um sicherzustellen, dass vertrauliche Daten in der gesamten Organisation einheitlich und sicher verarbeitet, darauf zugegriffen und freigegeben werden.
4. Ausrichten des Datenschutzes an kritische Geschäftsressourcen und Szenarien
   Priorisieren Sie Steuerelemente, die hochwertige und regulierte Daten schützen, insbesondere in Szenarien wie dem Schutz kritischer Ressourcen und der Aktivierung einer sicheren Zusammenarbeit.
5. Kontinuierliche Überwachung und Verbesserung des Datenschutzes
   Verwenden Sie Erkenntnisse aus Datennutzung, Risikosignalen und Sicherheitsereignissen, um Schutzmaßnahmen zu verfeinern und das Risiko von Datenexposition oder Datenverlust im Laufe der Zeit zu verringern.

Verwalten von Änderungen

Herkömmliche Ansätze zur Datensicherheit basieren häufig auf einem einzigen Kontrollpunkt, z. B. der netzwerkbasierten Verhinderung von Datenverlust (Data Loss Prevention, DLP). Dieses Modell ist in modernen Umgebungen ineffektiv, da es:

• Wird nur an begrenzten Punkten im Datenlebenszyklus betrieben.
• Muss den Schutz und die Produktivität in einem einzigen Moment perfekt ausgleichen,
• Schlägt fehl, wenn Daten verschlüsselt, über Clouddienste freigegeben oder auf persönliche Geräte zugegriffen werden.

Dieses Diagramm fasst die Herausforderungen zusammen, die mit einem modernen Ansatz zur Datensicherheit zu bewältigen sind.

Eine moderne Datensicherheitsdisziplin konzentriert sich auf kontinuierliche Sichtbarkeit und Kontrolle über den gesamten Datenlebenszyklus.

Hauptfokusbereiche

Moderne Strategien zur Datensicherheit betonen:

Fokus	Details
Priorisieren kritischer Daten	Schützen Sie zuerst die unternehmenskritischen Daten.
Zusammenarbeit, Abdeckung, Sichtbarkeit	Arbeiten Sie im gesamten Unternehmen zusammen, um die vollständige Sichtbarkeit strukturierter und unstrukturierter Daten über Geräte, Apps und Clouds hinweg zu erhalten, um Datensilos zu verhindern.
Ermitteln von Daten	Wissen Sie, wo Daten vorhanden sind und welchen Wert oder welche Vertraulichkeit sie hat.
Klassifizieren von Daten	Anwenden konsistenter Bezeichnungen, damit Sicherheitssteuerelemente automatisch angewendet werden können.
Lebenszyklusschutz	Sichern Sie Daten unabhängig vom Standort, der technischen Plattform, dem Gerät oder der Umgebung. Wenden Sie diese Strategie während des gesamten Lebenszyklus der Daten an: Erstellen, Nutzen, Speichern, Freigeben und Verwerfen. Schützen Sie Daten bei der Erstellung und Generierung, bei der Speicherung im Ruhezustand, beim Zugriff, bei der Freigabe und bei der Nutzung sowie während der Übertragung, ebenso wie Daten, die nicht mehr aktiv sind und archiviert oder gelöscht wurden.
Überwachung und Durchsetzung	Implementieren Sie die Sichtbarkeit in Echtzeit und die automatisierte Erzwingung, um nicht autorisierten Zugriff oder Exfiltrationen in Echtzeit zu erkennen und darauf zu reagieren.
Lernen und Verbessern	Verbessern Sie kontinuierlich die Datensicherheit. Passen Sie Strategie- und Datensteuerelemente an, wenn Datenformate, Plattformen und Anwendungsfälle sich entwickeln, einschließlich KI.

Dieser Ansatz ermöglicht den Schutz, der mit geschäftlichen und technologischen Veränderungen skaliert wird.

Dieses Diagramm veranschaulicht eine allgemeine Datensicherheitsstrategie, die sowohl Sicherheit als auch Produktivität ermöglicht.

In der Abbildung:

• Die Zero Trust Foundation, dargestellt durch eine gepunktete Linie, richtet eine moderne Identitätsgrenze und Verhinderung von Datenverlust zwischen internen Funktionen und der externen Umgebung ein. Diese Stiftung verhindert nicht autorisierten Datenverlust, ermöglicht aber die Zusammenarbeit mit autorisierten externen Parteien.
• Die Unternehmensumgebung für die Zusammenarbeit ist in hellem Grün dargestellt; in ihr werden die meisten Ihrer Unternehmensdaten erstellt, verarbeitet und gespeichert. Beschränken Sie den Zugriff nur auf interne Benutzer, und wenden Sie standardmäßig die geringsten Berechtigungen an.
• Kritische Apps und Daten stellen in dunkler grün die vertraulichsten Daten in der Organisation dar, die auf einen begrenzten Satz autorisierter Benutzer und Anwendungen beschränkt sein müssen. Sie können diese Daten innerhalb der Unternehmenszusammenarbeitsumgebung und mit einigen autorisierten externen Parteien teilen, müssen jedoch immer geschützt und überwacht werden.

Disziplinierungsrollen und Mitarbeiter

Die Datensicherheit erfordert eine enge Zusammenarbeit in Geschäfts-, Sicherheits- und Technologieteams. In größeren Organisationen werden Rollen häufig verteilt und formalisiert; in kleineren Organisationen können Zuständigkeiten kombiniert werden.

Primäre Rollen in dieser Disziplin umfassen in der Regel:

• Data Officer / Data Governance-Teams
• Daten- und KI-Architekten
• Daten- und KI-Engineering- und Betriebsteams

Zu den wichtigsten Mitarbeitern gehören:

• Führungskräfte und Datenbesitzer – Definieren sie Datenwert, Nutzung und Klassifizierung.
• Sicherheitsstrategie- und Governanceteams – Definieren von Richtlinien, Standards und Aufsicht.
• Architekturrollen – Integrieren von Datensicherheitssteuerelementen in System- und Plattformdesigns.
• Entwickler – Implementieren der sicheren Datenverarbeitung in Anwendungen.
• Sicherheitsbezogene Disziplinen – Richten Sie die Datensicherheit mit datenschutz-, risiko- und Compliance-Bemühungen aus.

Ausrichtung mit anderen Disziplinen

Die Datensicherheitsdisziplin arbeitet in enger Abstimmung mit anderen Disziplinen:

• Disziplin für Zugriff und Identitäten– Identitäts- und Zugriffsrichtlinien bestimmen, wer auf Daten zugreifen kann.
• Disziplin der Sicherheitsarchitektur – Architektur definiert End-to-End-Muster zum Schutz von Daten.
• Disziplin für Sicherheitsvorgänge (SecOps) – Erkennt und reagiert auf datenbezogene Vorfälle.
• Disziplin des Sicherheitsstatus – Misst und verbessert den Reifegrad der Datensicherheit.

Klare Zuständigkeiten und gemeinsame Verantwortung sind unerlässlich, da die Verantwortlichkeiten im Umgang mit Daten weiter zunehmen.

Ausrichtung auf Technologiepfeiler

Daten werden über Systeme, Benutzer und Umgebungen hinweg übertragen. Daher erstreckt sich die Datensicherheitsdisziplin über alle Technologiepfeiler.

Zu den aufeinander abgestimmten Technologiepfeilern gehören:

• Identitäten: Die Datensicherheit basiert auf Identitätssicherheitskontrollen, um den sicheren Zugriff auf Daten durch starke Identitäts- und Zugriffskontrollen zu erzwingen.
• Endpunkte: Die Datensicherheit basiert auf Endpunktsicherheitskontrollen, um den Diebstahl von Daten vor kompromittierten oder nicht verwalteten Geräten zu verhindern.
• Infrastruktur: Datensicherheit basiert auf Infrastruktursicherheitskontrollen, um auf Servern, Containern und Cloudplattformen gespeicherte oder verarbeitete Daten zu schützen.
• Apps: Datensicherheit basiert auf App-Sicherheitskontrollen, um sicherzustellen, dass Apps sicher auf vertrauliche Daten zugreifen und diese verarbeiten.
• Daten: Datensicherheit basiert auf Datensicherheitskontrollen, um Daten während des gesamten Lebenszyklus zu ermitteln, zu klassifizieren, zu schützen und zu überwachen. - Netzwerk: Datensicherheit basiert auf Datensicherheitskontrollen, um Daten zu ermitteln und zu sichern, während sie zwischen Systemen übertragen werden.
• KI: Datensicherheit basiert auf KI-Sicherheitskontrollen, um Daten zu schützen, die zum Trainieren, Analysieren und Generieren von KI-Ausgaben verwendet werden.

Nächste Schritte

Microsoft Unified bietet expertengeführte Workshops an, um Organisationen dabei zu helfen, die Modernisierung der Strategie für das Security Posture Management, die Architektur und die Technologie zu beschleunigen. Zu diesen Workshops gehören:

• Architektur- und Strategieworkshops – Der Workshop "Security Adoption Framework Data Security" konzentriert sich auf die Modernisierung der Datensicherheit. Dieser Workshop steht als weniger als vierstündige Diskussion zur Verfügung, die sich auf wichtige Erkenntnisse und bewährte Methoden konzentriert.

• Technology Adoption Workshops - Microsoft Unified hat Workshops, die Organisationen dabei unterstützen, mehr über die Nutzung von Datentechnologien zu erfahren, zu planen, zu implementieren und zu optimieren.