Wichtige Elemente einer Datensicherheitsrichtlinie

Eine Datensicherheitsrichtlinie steuert, wie innerhalb einer Organisation auf Daten zugegriffen, sie verwendet, verwaltet und überwacht werden. Sein Hauptzweck besteht darin, alle geschützten Daten sowohl im Ruhezustand als auch während der Übertragung zu schützen und außerdem dazu beizutragen, die Qualität, Integrität und Verfügbarkeit der Daten aufrechtzuerhalten. Obwohl Datensicherheitsrichtlinien oft nicht gesetzlich vorgeschrieben sind, können sie Unternehmen dabei helfen, die für ihre Branche relevanten Datenschutzgesetze einzuhalten. Alle von einer Organisation gespeicherten Daten sollten durch Datensicherheitsrichtlinien abgedeckt sein, einschließlich Daten, die auf Endpunkten wie Laptops oder Mobilgeräten, externen Standorten, Cloud-Diensten und lokalen Speichergeräten gespeichert sind.

Warum brauchen Sie eine Datensicherheitsrichtlinie?

Eine Datensicherheitsrichtlinie ist für Unternehmen von entscheidender Bedeutung, die Vorschriften einhalten, Datenschutzverletzungen verhindern und andere Sicherheitsvorfälle bewältigen müssen. Bestimmte Daten sind in vielen Ländern und Branchen durch Gesetze oder Industriestandards geschützt. Beispielsweise sind geistiges Eigentum (IP), persönlich identifizierbare Informationen (PII), geschützte Gesundheitsinformationen (PHI) und Zahlungskarteninformationen (PCI) einige der wichtigsten Arten von Informationen, die ein zusätzliches Maß an Schutz erfordern. Ein Versäumnis, vertrauliche Daten zu schützen, könnte kostspielige Klagen und Geldstrafen nach sich ziehen sowie den Ruf des Unternehmens schädigen, was zu Geschäftsverlusten oder in einigen Fällen zu einem Rückgang des Aktienkurses des Unternehmens führen kann. Datensicherheitsrichtlinien müssen auch die physischen Vermögenswerte abdecken, die in irgendeiner Weise mit der Datensicherheit zusammenhängen. Beispielsweise müssen Unternehmen über geeignete Maßnahmen verfügen, um den unbefugten Zugriff auf den Serverraum zu verhindern. Dazu kann die Verwendung von Schlössern, Alarmanlagen, Ausweisen, CCTV-Kameras, Sicherheitspersonal usw. gehören.

Schlüsselelemente einer Datensicherheitsrichtlinie

Als Ausgangspunkt empfiehlt es sich, den Umfang und die Ziele der Datensicherheitsrichtlinie zu skizzieren, einschließlich Informationen darüber, warum die Richtlinie erforderlich ist. Fügen Sie möglicherweise einige Beispiele aus der Praxis hinzu, wie/warum die Richtlinie zur Eindämmung eines Sicherheitsvorfalls beigetragen hätte. Darüber hinaus besteht eine wirksame Datensicherheitsrichtlinie aus den folgenden Kernkomponenten:

Eine Bestandsaufnahme aller geschützten Daten, die von der Organisation gespeichert werden. Dazu gehören Informationen, die sowohl in lokalen als auch in cloudbasierten Repositorys gespeichert sind.
Eine Liste aller Interessengruppen, die in irgendeiner Weise von der Richtlinie betroffen sein könnten, z. B. Kunden, Mitarbeiter, Auftragnehmer, Lieferanten, Aktionäre usw.
Eine Liste der Rollen und Verantwortlichkeiten, die für den Schutz geschützter Daten relevant sind.
Informationen darüber, wie die Richtlinie durchgesetzt wird, einschließlich Details zu etwaigen Dienstanbietern, Geräten und verwendeten Sicherheitstechnologien.
Informationen darüber, wem Zugriff auf welche Ressourcen gewährt werden soll.
Informationen darüber, wie Daten klassifiziert werden. Ein typisches Klassifizierungsschema umfasst Kategorien wie „Öffentlich“, „Privat“ und „Eingeschränkt“. Sie können jedoch die Kategorien erstellen, die Ihren Anforderungen am besten entsprechen. Wenn Sie beispielsweise ein Gesundheitsdienstleister sind, möchten Sie möglicherweise eine eigene Kategorie für HIPAA oder eine andere relevante Datenschutzverordnung.
Informationen darüber, wie, wann und von wem Sicherheitsbewusstseinsschulungen durchgeführt werden. Der Schwerpunkt der Schulung sollte auf Phishing- und Ransomware-Angriffen sowie anderen Insider-Bedrohungen liegen.
Informationen darüber, wie die Wirksamkeit der Datensicherheitsrichtlinie gemessen wird und wie sie aktualisiert wird, falls sie hinter den Erwartungen zurückbleibt.

Nachfolgend sind die wichtigsten Elemente (oder Unterrichtlinien) einer Datensicherheitsrichtlinie aufgeführt:

Akzeptable Verwendung

Diese Richtlinie sollte darlegen, wie Benutzer auf Unternehmensressourcen zugreifen und diese nutzen können, insbesondere für nicht arbeitsbezogene Aktivitäten. Die Richtlinie sollte auch Einzelheiten darüber enthalten, wie die Richtlinie zur akzeptablen Nutzung durchgesetzt wird.

Passwortverwaltung

Diese Richtlinie enthält Einzelheiten zur erforderlichen Länge und Komplexität von Passwörtern, einschließlich der Verfahren für den Ablauf und das Zurücksetzen von Passwörtern. Die Richtlinie sollte auch festlegen, wie Passwörter vom Mitarbeiter gespeichert und gespeichert werden sollen und wie sie vom Unternehmen verarbeitet und gespeichert werden sollen.

E-Mail-Management

Dazu gehören Informationen darüber, wie E-Mail-Konten verwendet werden können, welche Techniken zur Abwehr von Phishing-Angriffen und SPAM eingesetzt werden, ob Postfächer verschlüsselt sind und welche Arten von Daten mit wem geteilt werden können.

Netzwerkprüfung

In diesem Abschnitt sollte angegeben werden, wie Ihr Netzwerk auf ungewöhnliche Aktivitäten überwacht wird. Dazu gehört, wie Sie Einblick in Anmeldeversuche, Zugriff und Nutzung vertraulicher Daten, Konfigurationsänderungen, Netzwerkverkehr und mehr gewinnen möchten.

Nutzung sozialer Medien

Da es heutzutage üblich ist, dass Mitarbeiter bei der Arbeit Social-Media-Plattformen nutzen, ist eine Richtlinie erforderlich, die festlegt, ob, wie, wann und wo diese Plattformen genutzt werden dürfen.

Reaktion auf Vorfälle

Sollte es zu einem Sicherheitsvorfall kommen, sind klare Verfahren erforderlich, die beschreiben, wie und von wem mit dem Vorfall umgegangen wird. Der Incident Response Plan (IRP) sollte auch einen Abschnitt enthalten, der beschreibt, wie zukünftige Vorfälle untersucht und abgemildert werden.

Datenklassifizierung

Eine Datenklassifizierungsrichtlinie sollte beschreiben, wie Sie Ihre Daten klassifizieren möchten und welche Technologien dafür verwendet werden. Ein Klassifizierungsschema kann allgemeine Kategorien wie „Öffentlich“, „Privat“ und „Eingeschränkt“ umfassen. Alternativ könnten Ihre Daten gemäß den für Ihr Unternehmen geltenden Datenschutzgesetzen klassifiziert werden.

Zugangskontrolle

Eine Zugriffskontrollrichtlinie beschreibt, wie der Zugriff auf kritische Ressourcen gewährt und widerrufen wird. Dazu sollten auch Informationen über die Arten der verwendeten Authentifizierungsprotokolle (z. B. MFA) und die Arten der verwendeten Zugriffskontrollmethoden (z. B. RBAC) gehören.

Physische Sicherheit

In diesem Abschnitt werden die physischen Sicherheitsmaßnahmen beschrieben, die zum Schutz von Servern, Desktops, Routern, Firewalls und anderen kritischen Netzwerkressourcen vorhanden sind (oder sein sollten). Beispiele für Schutzmaßnahmen könnten Bildschirmsperren, Türschlösser, Bewegungssensoren, CCTV-Kameras, Schlüsselkarten usw. sein.

Mobiles Gerätemanagement (MDM)

Eine MDM-Richtlinie beschreibt, wie mobile Geräte eine Verbindung zu Ihrem Netzwerk herstellen können, einschließlich der Ressourcen, auf die sie zugreifen dürfen.

Datenverschlüsselung

Ihre Datenverschlüsselungsrichtlinie sollte erläutern, wie vertrauliche Daten sowohl im Ruhezustand als auch während der Übertragung verschlüsselt werden. Es sollte die verwendeten Verschlüsselungsmethoden (z. B. RSA) und die zu verschlüsselnden Datentypen erläutern. Ihre Verschlüsselungsrichtlinie sollte mit Ihrer Datenklassifizierungsrichtlinie übereinstimmen.

Sicherung und Wiederherstellung

Sie benötigen eine Richtlinie, die beschreibt, wie und wann Backups erstellt werden, wo sie gespeichert werden und wie sie gesichert werden. Sie müssen auch Informationen darüber angeben, wie die Backups getestet werden und wie sie zeitnah wiederhergestellt werden können.

Verwaltung von Softwarelizenzen

Sie benötigen Verfahren zum Kauf von Software, einschließlich der Erstellung einer Bestandsaufnahme aller verwendeten Software sowie etwaiger Lizenzinformationen. Sie müssen Ihr System außerdem regelmäßig auf nicht autorisierte oder nicht lizenzierte Software scannen.

Patch-Management

Um sicherzustellen, dass wichtige Software-Patches installiert werden, sobald sie verfügbar sind, müssen Sie ein Patch-Management-Verfahren dokumentieren und befolgen. Sie müssen Ihr Netzwerk außerdem regelmäßig auf Software-Schwachstellen scannen.

Einhaltung gesetzlicher Vorschriften

Ein Abschnitt Ihrer Datensicherheitsrichtlinie sollte den Datenschutzbestimmungen gewidmet sein, an die Ihr Unternehmen gebunden ist. Wenn Sie beispielsweise unter die DSGVO fallen, müssen Sie die Rechte der betroffenen Personen, Verfahren zur Meldung von Datenschutzverletzungen, die Art und Weise, wie Sie personenbezogene Daten rechtmäßig erheben, verarbeiten und speichern möchten usw. beschreiben.

Daten sind eine der wertvollsten Ressourcen in einer IT-Organisation. Es wird ständig über das Netzwerk eines Unternehmens erstellt, übertragen und auf verschiedene Weise verfügbar gemacht. Gute Richtlinien sind die Grundlage einer wirksamen Cybersicherheitsstrategie, und die besten Richtlinien berücksichtigen Sicherheitsbedenken im Voraus, bevor sie auftreten können.

Wenn Sie sehen möchten, wie Lepide Sie bei der Entwicklung und Aufrechterhaltung Ihrer Datensicherheitsrichtlinie unterstützen kann, vereinbaren Sie eine Demo mit einem unserer Techniker oder starten Sie noch heute Ihre kostenlose Testversion.