Daten – wertvolles Kapital oder Geschäftsrisiko?

Handel baut auf dem Konzept einer Wertschöpfungskette auf. Die Idee, dass Unternehmen ein Produkt von relativ geringem Wert nehmen und es durch verschiedene Prozesse veredeln, ist ein Pfeiler einer nachhaltigen globalen Wirtschaft. Im frühen 21. Jahrhundert sind Daten eines der Elemente, auf denen die derzeit wichtigste Wertschöpfungskette basiert.

Neu ist das Sammeln von Daten nicht: Die Babylonier führten vor knapp 6.000 Jahren die erste Volkszählung durch und generierten so eine Vielzahl von Daten. Was macht die heute gesammelten Daten also so attraktiv? Es gibt vier Schlüsselfaktoren, die dafür ausschlaggebend sind:

1. Die schiere Menge an Daten, die gesammelt wird.
2. Die Frequenz, mit der Daten gesammelt werden.
3. Der Zugriff auf die Daten.
4. Die Fähigkeit, die Daten zu verarbeiten.

Heute kann alles ein Gerät oder ein „Ding“ sein – ein Auto, ein Aquarium – und alle sammeln Daten. Das Internet der Dinge (Internet of Things, IoT) entwickelt sich ebenso weiter wie die gesammelten Informationen. Da diese Geräte vernetzt sind, generieren sie einen kontinuierlichen Datenstrom, egal, ob es sich um einen Standort, Browsing-Gewohnheiten von Nutzern oder wie Verbraucher ihr Geld ausgeben handelt. Aber auch wenn die Daten gesammelt werden, heißt dies nicht, dass sie wertvoller werden.

Das Informationsvolumen wächst exponentiell, allerdings werden Daten bereits seit Jahren gesammelt. Bislang waren viele dieser aber häufig nicht zugänglich: Papierdokumente lagern in Warenhäusern und Speicherbänder in entsprechenden Bibliotheken. Heutzutage sind Daten elektronisch, auf sie lässt sich von jedem Ort aus zugreifen, sie können geteilt und zwischen Organisationen ausgetauscht werden. Das letzte Glied in der Wertschöpfungskette ist die Fähigkeit, diese Daten zu verarbeiten. Mit anderen Worten: Das Rohmaterial wird umdefiniert, es wird in Informationen und Erkenntnisse umgewandelt. Dies ist die Daten-Wertschöpfungskette – und Unternehmen, die deren Bedeutung erkennen, werden erfolgreich sein. Darum sind diese Informationen auch für Cyber-Kriminelle von Interesse.

Aber wie sieht die Wertschöpfungskette aus, nachdem wir über das Rohmaterial verfügen? Die Rohdaten sind eine Ansammlung von losen Fakten, Log-Files und Aufzeichnungen. Sie sind sozusagen das Fundament der Pyramide. Wie Rohöl müssen sie gefiltert und veredelt werden, damit Unternehmen daraus Erkenntnisse ziehen können. Der nächste Schritt ist daher, relevante Datenelemente miteinander zu verknüpfen – zum Beispiel eine Kontonummer mit einem Namen und einer Serie an Kaufdatensätzen zu kombinieren. So erhalten Firmen Informationen, mit denen sie arbeiten können und die für sie einen größeren Wert haben. Diese Ebene ist primär reaktiv, da die zusammengestellten Daten zeigen, was passiert ist, aber nicht unbedingt, warum dies geschah.

In der nächsten Phase werden Informationen interpretiert, Ereignisse verstanden und können prognostiziert werden – vor allem, wenn sie in regelmäßigen Abständen geschehen. Am Ende dieser Kette steht die Weisheit. Das gesammelte Wissen nutzen Unternehmen dazu, Entscheidungen zu treffen und Aktionen festzulegen. Auf Basis von Informationen verstehen sie, warum bestimmte Dinge geschehen und wie sie diese proaktiv beeinflussen können. 

Wichtige Schlussfolgerungen:

• Daten lassen sich schneller als jemals zuvor aus verschiedenen Quellen und Orten zusammenstellen.

• Der Wert der Daten wächst entlang einer Datenpyramide, daraus entstehen Wissen und Expertise

• Der Wert der Daten erhöht sich auch für Unternehmen und wird damit auch attraktiver für Cyber-Kriminelle

Datenabhängigkeit

Während ihrer „Reise“ durch die Pyramide verändern sich die Datenelemente selbst nicht. Ihr Wert erhöht sich durch die Kombination mit anderen Elementen. Darüber hinaus ist es auch wichtig, wie Unternehmen von ihrer passiven Haltung hinsichtlich der Daten in eine aktive wechseln. Eine größere Vielfalt an Erkenntnissen über einen Kunden ermöglicht eine höhere Personalisierung. Dies wiederum resultiert in einer besseren Kundenbetreuung und mehr Umsatz.

Daten sind somit das Fundament jeder erfolgreichen Organisation. Schifffahrtsunternehmen sind verloren ohne die Information, wo sie Container abholen und ausladen sollen. Banken funktionieren ohne Echtzeit-Zugriff auf Handelsdaten nicht und Einzelhändler stehen vor leeren Regalen, wenn sie keine Information erhalten, dass nachbestellt werden muss. Egal, ob es sich um Unternehmen, Behörden, Regierungen, Forschung oder Medizin handelt: Die Abhängigkeit von Daten wird weiterhin wachsen – ebenso wie die Konsequenzen, wenn diese korrumpiert sind oder der Zugriff verweigert wird.

Das massive Sammeln von Daten, speziell über Kunden und potenzielle Neukunden, wird für viele Unternehmen zusehends unübersichtlich. Neue Regularien wie die EU-Datenschutzgrundverordnung (EU-DSGVO) erfordern, dass Firmen über die entsprechenden Speichermechanismen, Security und Prozesse verfügen, um das wichtige Gut zu schützen. Denn nicht nur die Regulierungsbehörden verlangen, dass Organisationen ein wachsames Auge auf die Daten haben, sondern auch ihre Kunden. Der Wert der Informationen bleibt nur erhalten, wenn sie auch geschützt sind. Sobald es ein Datenleck gibt, können Kunden das Vertrauen in ein Unternehmen verlieren. Basierend auf den EU-DSGVO Vorgaben können sie verlangen, dass ihre Informationen direkt aus allen Systemen gelöscht werden. Das Ergebnis: Sie kaufen vielleicht nie wieder bei diesem Händler ein und empfehlen ihn auch nicht weiter.

Die Herausforderung für Chief Security Information Officers (CISO): Dank größerer Datenmengen sind Unternehmen in der Lage, bessere Geschäftsentscheidungen zu treffen. Diese Informationen zu schützen, ist jedoch kostenintensiver und mit höheren Risiken behaftet als jemals zuvor. Die Daten sind nicht in einem zentralen System gespeichert, sondern in CRM-Systemen und E-Mail-Eingangsboxen ebenso wie in Netzwerken, Datenbanken oder Clouds von Drittanbietern. Security muss an allen diesen Punkten ansetzen und kann nicht nur eine Endpoint-Lösung sein.

Wichtige Schlussfolgerungen:

• Die Art und Weise, wie Daten gesammelt, verknüpft und genutzt werden und wie darauf zugegriffen wird, entwickelt sich durch Technologie kontinuierlich weiter.

• Neue Regularien wie die EU-DSGVO setzen strikte Richtlinien für Security, Prozesse und Zugriff durch – und zwar bei allen Unternehmen, die Kundeninformationen sammeln.

• Daten haben einen höheren Wert als jemals zuvor. Die Kosten für ein Unternehmen, das sie nicht schützt, steigen ebenso signifikant.

Neue Daten, neue Regeln

Daten innerhalb eines bestimmten Perimeters abzusichern, ist eine relativ einfach Aufgabe. Aber wer arbeitet nur innerhalb dieses begrenzten Bereichs? Rechenzentren, Public Cloud, Private Cloud, Business Application Hosts – sie alle beherbergen Daten. In der heutigen Welt gibt es keine Grenzen mehr. CISOs müssen sich daher fragen, warum viele Unternehmen noch nach traditionellen Sicherheitsregeln spielen, wenn die Voraussetzungen nicht mehr die Alten sind. Das Netzwerk ist der gemeinsame Faktor, der alles vernetzt. Warum also nicht das Netzwerk zu einer Schlüsselkomponente der Security innerhalb einer Organisation machen?

Firmen besitzen ihre Daten – und nach den Regularien der EU-DSGVO müssen Unternehmen jederzeit wissen, wo ihre Informationen gespeichert sind und welche Anwendungen sie nutzen. Das Ergebnis einer kürzlich veröffentlichten Studie von Juniper sieht allerdings ganz anders aus: 43 Prozent der Befragten gaben an, dass sie nicht wissen, wo die Daten gespeichert sind. Aber wie viele Drittanbieter nutzt eine Organisation, um Daten zu speichern, zu übertragen und wiederherzustellen? Nur so lassen sich die Grenzen eines Netzwerks definieren. Unternehmen benötigen darüber hinaus Zugriff auf diese Informationen in Echtzeit, damit sie die notwendige Flexibilität und eine schnellere Entscheidungsfindung gewährleisten können. Auch wenn Firmen instinktiv ihre Systeme wir Fort Knox absperren möchten: Dies ist nicht nur unmöglich, sondern konterkariert das Ziel des Datensammelns.

Allerdings sind nicht alle Daten gleich wichtig, daher sollten Firmen eine kaskadierte Security-Strategie implementieren. Ansonsten wären die Sicherheitsmaßnahmen nicht kosteneffektiv oder besonders sinnvoll. Indem die Intelligenz im Netzwerk verankert ist, wissen CISOs genau, wo die unternehmenskritischen Daten gespeichert und wie sie geschützt sind. Investitionen in Echtzeit-Sicherheit ermöglichen einen besseren Überblick über alle Vorgänge und beschleunigen die Reaktionen, etwa auf besondere Ereignisse. So lassen sich auch die Investitionen dem Wert der jeweiligen Daten anpassen.

Schlussfolgerungen:

• Perimeter-Sicherheit ist keine realistische Option mehr, der Schwerpunkt sollte auf Netzwerk-Security liegen.

• Systeme zu sperren, sollte vermieden werden. So lassen sich keine Daten sammeln, was aber enorm wichtig für ein flexibel agierendes Unternehmen ist.

• Es ist wichtig, die Balance zwischen den Security-Investitionen und den zu schützenden Daten herzustellen.

Lesen Sie Teil 2: Daten – wertvolles Kapital oder Geschäftsrisiko? am Dienstag 06.02.2018

Autor: Laurence Pitt, Director, Security Strategy – EMEA, Juniper Networks