Zeit für Datensicherheit Das bringt die Neufassung der ISO 27001

Anbieter zum Thema

Forcepoint Deutschland GmbH

G DATA CyberDefense AG

WatchGuard Technologies GmbH

Impossible Cloud GmbH

Wer sich nach ISO 27001 zertifizieren oder rezertifizieren lassen möchte, kann dies ab Mai 2024 nur noch nach der neugefassten Norm tun. Unternehmen sollten sich deshalb bereits jetzt Gedanken darüber machen, wie sie die gestiegenen Anforderungen an den Schutz und die Sicherheit von Daten erfüllen können.

Laut Statista waren im Jahr 2022 in Deutschland knapp 16.000 Unternehmen nach ISO 27001 zertifiziert und ließen sich damit das Sicherheitsniveau ihres Informationssicherheits-Managementsystems (ISMS) objektiv bestätigen. Im selben Jahr wurde dieser weltweit anerkannte Standard aber auch neu aufgelegt. Um sich selbst und ihren Kunden die Gewissheit zu verschaffen, dass ihre Daten geschützt und ihre IT-Systeme integer sind, müssen Unternehmen künftig neue Anforderungen erfüllen. Die Neufassung der ISO 27001 rückt die Sicherheit und den Schutz von Daten noch stärker in den Vordergrund, was sich schon am neuen Titel „Information Security, Cybersecurity and Privacy Protection“ zeigt.

Neben einigen Präzisierungen, etwa, dass Unternehmen Änderungen an ihrem ISMS geplant und nachvollziehbar umsetzen müssen, wurden vor allem die Sicherheitsmaßnahmen im Anhang A überarbeitet. Einige davon fielen zwar weg, dafür kamen aber insgesamt elf neue hinzu. Dazu zählen die Klassifizierung von Informationen, die Informationssicherheit bei der Nutzung von Cloud-Diensten, das Löschen von Informationen und das Verhindern von Datenabflüssen. Diesen Neuerungen gerecht zu werden, dürfte vielen Unternehmen erfahrungsgemäß schwerfallen. Oft fehlt ihnen der Überblick, welche Daten sie besitzen und was damit geschieht. Für bestehende Zertifikate gibt es noch eine Übergangsfrist bis zum Oktober 2025. Wer eine Rezertifizierung oder Erstzertifizierung anstrebt, kann diese ab Mai 2024 aber nur noch nach der neuen Norm durchführen – und sollte sich bereits jetzt Gedanken darüber machen, wie er die neuen Anforderungen erfüllen kann.

Sensible Daten identifizieren und mit Richtlinien schützen

Die beste Möglichkeit bieten dazu Data-Security-Lösungen. Sie helfen Unternehmen dabei, ihre Daten zu klassifizieren und so schützenswerte Informationen zu identifizieren. Anschließend können sie ermitteln, wo diese Daten liegen und kontinuierlich überwachen, was mit ihnen geschieht: Wer greift auf sie zu, wohin werden sie kopiert und mit wem geteilt? Auf diese Weise lassen sich schnell Risiken wie etwa der Datenaustausch sensibler Informationen über unsichere Cloud-Services erkennen. Oft hilft es dann schon, in Schulungen das Bewusstsein der Mitarbeiter für einen sicheren Umgang mit Daten zu schärfen. Darüber hinaus können Unternehmen mit einer Data-Security-Lösung Sicherheitsverletzungen durch Richtlinien verhindern. In der Regel genügt es dafür, eine Warnmeldung aufpoppen zu lassen oder eine Freigabe durch einen Vorgesetzten anzufordern. Auch das Blockieren von Aktivitäten ist möglich, sollte aber der letzte Ausweg sein und nur bei ganz klaren Verstößen eingesetzt werden.

Natürlich gibt es immer wieder Mitarbeiter, die bewusst Daten weiterleiten oder mitnehmen, beispielsweise bei einem Jobwechsel. Viel größer ist allerdings ein ganz anderes Risiko, und das wird von den meisten Unternehmen unterschätzt: Datenabflüsse durch Unachtsamkeit, weil Mitarbeiter beispielsweise Daten unverschlüsselt auf einen USB-Stick kopieren, sich beim Mail-Empfänger vertippen oder ein Dokument mit sensiblen Informationen in KI-Tools wie ChatGPT hochladen. Im Homeoffice und beim mobilen Arbeiten ist das Risiko für derartige Nachlässigkeiten sogar noch einmal deutlich höher als im Büro. Zuhause oder im Cafe nutzen Mitarbeiter ihre private IT für Geschäftszwecke und durch die Vermischung von Arbeits- und Privatleben fehlt ihnen vielleicht manchmal die nötige Aufmerksamkeit. Da ist es schnell passiert, dass sie sensible Dokumente in eine außereuropäische Cloud hochladen, über ihren privaten E-Mail-Account verschicken oder ausdrucken und offen herumliegen lassen.

Gute Lösungen klassifizieren Daten weitgehend automatisch

Die Einführung einer Data-Security-Lösung ist einfacher, als viele Unternehmen vielleicht denken. So müssen sie beispielsweise keine ausufernden Projekte für die Klassifizierung ihrer Daten befürchten. Die Fachbereiche wissen ganz genau, welche Daten sie schützen müssen und können Kundenlisten, Konstruktionszeichnungen, Code-Stücke, Präsentationen und vieles mehr als Beispiel liefern. Gute Lösungen sind dann in der Lage, diese Beispiele mit Hilfe von KI und Machine Learning zu analysieren und ähnliche Daten weitgehend automatisch aufzuspüren, und zwar unabhängig davon, ob sie auf firmeneigenen Servern, in Clouds oder auf den PCs der Mitarbeiter liegen. Außerdem müssen Unternehmen auch nicht ihren gesamten Datenbestand klassifizieren. Es genügt, wenn sie sich auf Daten konzentrieren, die ihnen wichtig sind, die Missbrauchspotenzial bergen oder deren besonderer Schutz gesetzlich vorgeschrieben ist.

Geeignete Data-Security-Lösungen bringen zudem einen umfangreichen Satz an vordefinierten Richtlinien für den Umgang mit schützenswerten Daten mit. Dadurch ermöglichen sie Unternehmen einen schnellen Grundschutz, der sich immer weiter verfeinern lässt. Idealerweise ist die Lösung auch in der Lage, Datenklassifizierungen und Regeln, die schon in anderen Sicherheitstools vorhanden sind, zu übernehmen. Wenn diese Voraussetzungen gegeben sind, haben Unternehmen mit etwa 1.000 Mitarbeitern erfahrungsgemäß schon nach zwei Wochen die Data Discovery und die Datenklassifizierung abgeschlossen, können nachvollziehen, was mit den Daten geschieht, und sind in der Lage, zehn bis 15 firmenspezifische Richtlinien durchzusetzen.

Mitarbeiter müssen sich nicht vor Überwachung fürchten

Die Mitarbeiter müssen keine Überwachung befürchten. Gute Data-Security-Lösungen müssen Daten nicht zentral sammeln, um wirkungsvoll vor Datenlecks zu schützen. Es genügt, wenn sie lokal auf den Endgeräten über die Einhaltung der Richtlinien wachen, um drohende Datenschutzverletzungen zu erkennen und sie zu verhindern – je nach Art der Verletzung beispielsweise durch einen Warnhinweis, die Verschlüsselung von Dokumenten oder das Blockieren des Vorgangs. Natürlich helfen unternehmensweite Auswertungen festzustellen, wo Richtlinien angepasst werden müssen oder Schulungsbedarf besteht. Diese Auswertungen können Unternehmen aber anonymisiert erstellen, denn am Ende spielt es keine Rolle, welcher Mitarbeiter versehentlich vertrauliche Daten an den falschen Empfänger geschickt oder unverschlüsselt auf einen Speicherstick kopiert hat. Es kommt lediglich darauf an, dass Unternehmen solche Aktionen künftig verhindern können.

Unternehmen profitieren mit oder ohne Zertifizierung

Die ISO 27001:2022 ist für Unternehmen eine gute Gelegenheit, das Thema Datensicherheit endlich richtig anzugehen. Mit geeigneten Data-Security-Lösungen erhalten sie mit überschaubarem Aufwand mehr Sichtbarkeit und können vertrauliche Daten zuverlässig schützen. Davon profitieren sie immer – völlig unabhängig von einer angestrebten ISO-Zertifizierung.

Über den Autor: Fabian Glöser ist Team Leader Sales Engineering bei Forcepoint in Deutschland.

(ID:49885058)