IT-Sicherheit
Unsere Daten sind sicher! Sicher?
Ein wichtiger Aspekt des Datenschutzes ist auch die Datensicherheit. Dabei wird auch die Gefahr "von Innen" immer noch unterschätzt. Zwar will nun eine Studie herausgefunden haben, dass der Großteil der Angriffe auf Unternehmensdaten doch nicht von innen kommt. Allerdings ist es für eine Entwarnung sicher zu früh, wenn man bedenkt, dass unerlaubte Dateneinsicht oder -mitnahme oft nicht als Angriff erkannt wird.
Ohne Sicherheit der bei der automatisierten Datenverarbveitung verwendeten Rechner und Netze ist ein Datenschutz schlechthin unmöglich. Dabei gehen die technischen Veränderungen rasend schnell voran, der Sicherheitsmarkt muss daher ständig beobachtet werden, neue Konzepte müssen eventuell erarbeitet werden.
Wichtig ist hierbei, dass die nachträgliche Änderung eines Sicherheitskonzeptes wesentlich teurer ist, als die frühzeitige Analyse und Umsetzung der Sicherheitsanforderung.
Risiken erkennen!
Systemprüfung
Entweder über Fernzugriff oder bei einem Termin vor Ort können unsere Techniker die vorhandene IT-Anlage überprüfen und einschätzen, ob diese noch dem Stand der Technik in Fragen der Sicherheit entspricht.
Je nach vorhandener Risikolage wird der Augenmerk auf Eingabekontrolle (vorhandene Softwaresysteme), Zutrittskontrolle, Zugriffskontrolle, Zugangskontrolle, Datentrennungskontrolle, Weitergabekontrolle
Befragung und Beratung der Verantwortlichen, der Auftragsverarbeiter und der Beschäftigten, Überprüfung der Einhaltung der DSGVO und nationalen Sonderregelungen, Sensibilisierung und Schulung, Beratung und Überwachung im Zusammenhang mit der Datenschutz-Folgenabschätzung nach DSGVO.
Zu einer umfassenden Systemprüfung gehört auch die gründliche Erstprüfung der vorhandenen Datenverarbeitung mit Prüfung der Arbeitsprozesse mit personenbezogenen Daten und Datenverarbeitungsanlagen sowie bestehender Sicherheitsvorkehrungen, Erstellung eines internen und externen Verfahrensverzeichnisses
Wichtig ist dabei, dass eine Systemprüfung auch als fortlaufender Prozess verstanden werden muss. Die technischen Neuerungen verschieben den Stand der Technik ständig und schon nach kurzer Zeit eine eine kritische Komponente sicherheitstechnisch überholt sein. Wir bieten modulare Beratung auch in Zukunft an.
Hardwareanalyse
Auch hier entscheidet die Verantwortliche Stelle selbst, ob die Hardwarekontrolle anhand einer selbst erstellten Liste der vorhandenen Systemkomponenten oder durch unsere Techniker vor Ort stattfindet.
Die Analyse der Hardware umfasst dabei die Überprüfung der Belastbarkeit als auch z.B. eine Verfügbarkeitskontrolle in vorhandenen Sicherungen.
Wir analysieren, ob es etwa eine Absicherung durch Löschanlage,Aufschaltung BMZ, Wartung BMA, Redundante Klimatisierung, Absicherung über USV, Temperatur Monitoring oder etwa einen Brandschutztresor im Haus gibt.
Ein wichtiger Punkt auch für die Erteilung von Auskünften ist die Frage der Backups. Sind diese etwa inkrementell? Weekly? Full? Offsite, Einlagerung Backups? Backups in private Cloud? Cloud-Services in einem Drittland? Serversysteme redundant? Netzwerke Absicherung?
Was das Hosting bzw. dedicated Server anbelangt ist zu prüfen, wie diese an das Firmennetzwerk eingebunden sind, etwa durch Anbindung über VPN, SSL Kommunikation. Wir können dabei grundsätzlich alle Übertragungswege personenbezogener Daten einbeziehen.
Arbeitsplatzanalyse
Aus Medienberichten kennt man mittlerweile wohl die "Gefahr von Innen". Dabei muss es sich nicht einmalö um böswillige Schädigungen handeln. Oftmals fehlt es einfach an der hinreichenden schulung und Bereitstellen von Datensicherheitsroutinen.
Aus eigener Erfahrung wissen wir z.B. dass es zahlreiche Formalien bei der Einstellung von Mitarbeitern gibt. Es werden Geheimhaltungsverträge geschlossen, Schließanlagen vorgestellt, PINs für Kopierer und Faxgeräte ausgegeben. Erstaunlicherweise gibt es nur in wenigen Betrieben auch vergleichbaren Routinen für ausscheidende Mitarbeiter.
Wir erarbeiten mit Ihnen Handlungsanweisungen für die Mitarbeiter, welche diese am Arbeitsplatz vorliegen haben. Ein Checkliste in jedem Firmenwagen gibt den Außendienstzlern eine Handlungsanweisung bei Verlust des Laptops. Die Vorgaben müssen rechtlich bindend sein und gleichzeitig einfach umsetzbar und leicht verständlich.
Die Mitarbeiter müssen wissen, dass schon die IP-Adresse, erst recht aber die Anschrift einer Person ein personenbezogenes Datum ist. Sie müssen wissen, dass es grundsätzlich verboten ist, personenbezogene Daten zu sammeln, außer es liegt eine Erlaubnis durch Gesetz oder eine Einwilligung vor.