Wenn der Datenzugriff zur Governance-Schwachstelle wird

Daten sind das Rückgrat moderner Unternehmen. Im digitalen Zeitalter dienen sie längst nicht mehr nur als Informationsquelle, sondern sind inzwischen unerlässlich für nahezu alle wichtigen Geschäftsprozesse.

Je mehr Daten Unternehmen jedoch erfassen und speichern, desto größer werden die damit einhergehenden Herausforderungen, insbesondere da viele Informationen in unstrukturierter Form vorliegen. E-Mails, Dokumente und Screenshots können die unterschiedlichsten Inhalte bergen – von unbedeutenden Details, die nur für den jeweiligen Mitarbeitenden von Interesse sind, bis hin zu hochsensiblen oder personenbezogen Daten, die auf keinen Fall in die Hände unbefugter Dritte gelangen sollen.

Festzustellen, wo sich solche sensiblen Unternehmensdaten in großen, verteilten Speichersystemen befinden und wer auf sie zugreifen kann, ist enorm aufwendig. Data Security Posture Management (DSPM) soll Unternehmen dabei helfen, sich einen Überblick über ihre Datensicherheitslage zu verschaffen. DSPM-Lösungen eröffnen strukturierte Einblicke zur Datengefährdung, sodass Sicherheits- und Governance-Teams Risiken bewerten und Lücken in der Zugriffskontrolle identifizieren können.

Ein unvollständiges Bild

Viele solcher Lösungen geben jedoch nur ein unvollständiges Bild wieder. Die Herausforderung ist, dass Unternehmen mit DSPM zwar ihre datenbezogenen Risiken besser verstehen können, aber keine direkte Möglichkeit haben, diese anschließend einzudämmen. Dies gilt insbesondere für große Datenumgebungen, in denen die Problembehebung über komplexe und weitreichende Genehmigungsstrukturen hinweg erfolgen muss.

An dieser Stelle sehen sich Sicherheitsteams mit schwerwiegenden Problemen konfrontiert. Zugriffsberechtigungen etwa werden im Lauf der Zeit oft äußerst komplex und unübersichtlich, weil Mitarbeitende kommen und gehen und Benutzerkonten selten korrekt gelöscht werden. In fast jedem Unternehmen gibt es in irgendeiner Form unnötig erteilte Benutzerrechte, verwaiste Laufwerke oder veraltete Daten, die weiter allgemein zugänglich sind, was so nicht sein sollte. Auch Nutzerberechtigungen, die nicht mehr den aktuellen Verantwortlichkeiten oder Geschäftsanforderungen entsprechen, stellen ein anhaltendes Risiko dar.

Die Folge davon ist, dass Unternehmen häufig nur ein lückenhaftes Verständnis ihrer Datenlandschaft haben. Das heißt: Sie können zwar nachvollziehen, welche Informationen im Unternehmensnetzwerk gespeichert sind. Aber sie können nicht zuverlässig ermitteln, ob der Zugriff darauf gerechtfertigt ist.

Unter Sicherheits- und Governance-Gesichtspunkten sind die damit verbundenen Risiken potenziell ebenso gravierend wie Schwachstellen durch ungepatchte Software, kompromittierte Anmeldedaten und andere Herausforderungen, die Unternehmen für Cyberangriffe und Datenlecks anfällig machen.

Die Rolle von Data Access Governance

Als Lösung für dieses Problem bietet sich Data Access Governance (DAG) an, eine Technologie, mit der sich Zugriffsberechtigungen aktiv und fortlaufend managen und korrigieren lassen. Anstatt den Dateizugriff per statischer Konfiguration zu verwalten oder zunehmend undurchsichtige Berechtigungsstrukturen hinzunehmen, liegt der Schwerpunkt hier auf einer kontinuierlichen Überprüfung und Aktualisierung aller Berechtigungen. Die Privilegien werden dabei stets auf Grundlage der aktuellen Mitarbeiterrollen und Richtlinien gewährt und entzogen. Denn nur so haben Unternehmen Gewissheit, dass die erteilten Berechtigungen jederzeit angemessen sind.

Kern dieses Ansatzes ist, dass nicht nur die Unternehmensdaten, sondern auch die gewährten Zugriffsberechtigungen einem Lebenszyklus unterliegen. Ohne Einblicke dazu, wer auf was zugreifen kann – und, ebenso bedeutend, wann dieser Zugriff enden sollte –, bleibt eine grundlegende Anfälligkeit für Datenschutzverletzungen bestehen. Deshalb müssen die erteilten Zugriffsberechtigungen grundsätzlich rollenbasiert sowie zeitlich begrenzt sein.

In den meisten Unternehmen erfolgt das Management dieses Lebenszyklus bisher fast komplett manuell. Berechtigungen werden selten oder mitunter gar nicht überprüft. Oft arbeiten IT- oder Sicherheitsteams dazu Benutzerlisten und Dateiverzeichnisse ab, zu denen sie nur wenig Kontext haben. So zu verfahren ist zeitaufwendig, fehleranfällig und in großem Maßstab kaum machbar. Findet eine Überprüfung zudem nur einmal pro Quartal oder noch seltener statt, dann wird die Diskrepanz zwischen den Zugriffsberechtigungen, die die Mitarbeitenden wirklich benötigen, und denen, über die sie stattdessen verfügen, immer größer.

Skalierbarer Mechanismus

Das Ausmaß des Problems lässt sich am fiktiven Beispiel eines großen Finanzdienstleisters illustrieren, mit Zehntausenden Mitarbeitenden und Hunderten Terabyte unstrukturierter Daten, die auf Dateiservern und Cloud-Speichern verteilt sind. Nach einer Umstrukturierung der Abteilungen wechseln Hunderte von Mitarbeitenden ihre Aufgabenbereiche und es werden ihnen neue Rollen zugeteilt. Ohne automatisierte Data Access Governance bleiben die bisherigen Zugriffsberechtigungen einfach bestehen. Nicht aus Nachlässigkeit, sondern weil es schlichtweg keinen skalierbaren Mechanismus gibt, um sie in Echtzeit zu erfassen und aufzuheben.

DSPM-Tools können zwar darauf hinweisen, dass sensible Daten allgemein zugänglich sind, aber ohne Data Access Governance würden entsprechende Maßnahmen einen enormen manuellen Aufwand erfordern. Die Folge ist eine gravierende Governance-Lücke, die oft monatelang unbemerkt bleibt.

Mit Data Access Governance sieht dasselbe Szenario ganz anders aus. Zugriffsberechtigungen werden kontinuierlich überprüft und mit den aktuellen Rollen und Richtlinien abgeglichen. Wenn sich die Aufgaben von Mitarbeitenden ändern oder diese das Unternehmen verlassen, werden ihnen die Zugriffsberechtigungen umgehend und konsequent entzogen. Das Sicherheitsteam verbringt weniger Zeit mit nachträglichen Bereinigungen und befasst sich stattdessen intensiver mit proaktiver Governance. Und das Unternehmen kann gegenüber Auditoren und Regulierungsstellen gleichermaßen nachweisen, dass der Zugriff auf sensible Daten kontrolliert und überprüft wird und dass er gerechtfertigt ist. Dies geschieht nicht im Rahmen einer einmaligen Maßnahme, sondern wird als operativer Standard fortlaufend umgesetzt.

Egal in welcher Branche, die Abhängigkeit von Daten wird weiterhin wachsen, ebenso wie die Menge unstrukturierter Unternehmensdaten. Jetzt müssen Unternehmen sicherstellen, dass ihre Governance-Strategien mit der damit einhergehenden Komplexität Schritt halten können. Das Thema Data Access Governance wird dabei eine entscheidende Rolle spielen.