Die 10 wichtigsten Tipps zum Schutz Ihrer Daten bei der Remote-Arbeit
Die von Regierungen auf der ganzen Welt eingeführten sozialen Distanzierungsmaßnahmen, um die Ausbreitung von COVID-19 zu verhindern, haben dazu geführt, dass deutlich mehr Menschen von zu Hause aus arbeiten. Dies hat unbeabsichtigt ein großes Risiko eingegangen, da die meisten Unternehmen völlig unvorbereitet darauf vorbereitet sind, mobile Arbeitskräfte zu gewinnen.
Remote-Mitarbeiter gefährden nicht nur mit größerer Wahrscheinlichkeit ihre eigene Privatsphäre, sondern geben auch sensiblere Unternehmensdaten preis, was unweigerlich zu einer Datenschutzverletzung führt.
Einem Remote-Mitarbeiter fehlt in der Regel das technische Wissen und die Infrastruktur, um die ihm anvertrauten Daten angemessen zu schützen. Viele Mitarbeiter greifen beispielsweise von ungesicherten Standorten, etwa öffentlichen WLAN-Hotspots, auf das Unternehmensnetzwerk zu.
Sie verwenden persönliche Geräte, auf denen viele potenziell anfällige oder schädliche Anwendungen installiert sind. Sie werden wahrscheinlich nicht die neueste und beste Antivirensoftware installiert haben. Sie verfügen möglicherweise über eine falsch konfigurierte oder deaktivierte Firewall und führen keine regelmäßigen Backups durch.
Unternehmen, die den BYOD-Trend (Bring Your Own Device) bereits übernommen haben, werden während der aktuellen Pandemie viel besser in der Lage sein, ihre Daten zu schützen, während diejenigen, die dies nicht getan haben, möglicherweise einen Schock erleben werden. Im Folgenden finden Sie einige Tipps, die Administratoren helfen sollen, ihre sensiblen Daten während der Sperrung unter Verschluss zu halten.
1. Erstellen Sie einen Incident Response Plan (IRP)
Die Frage ist nicht, sondern wann es zu einem Datenverstoß kommt. Sicherheitsteams müssen sicherstellen, dass sie über formelle Richtlinien verfügen, die die sechs Phasen der Reaktion auf Vorfälle abdecken, nämlich: Vorbereitung, Identifizierung, Eindämmung, Beseitigung, Wiederherstellung und gewonnene Erkenntnisse.
Der Plan muss gründlich getestet und regelmäßig überprüft werden, und alle relevanten Interessengruppen müssen über die Einzelheiten des Plans gut informiert sein. Ein Incident Response Plan (IRP) ist unerlässlich, um Ausfallzeiten zu minimieren, kostspielige Bußgelder und Reputationsschäden zu vermeiden und zukünftige Vorfälle abzumildern.
2. Verwenden Sie Software zur Erkennung und Verwaltung von Netzwerkgeräten
Es stehen viele Lösungen zur Verfügung, die die Erkennung und Verwaltung von Netzwerkgeräten ermöglichen. Einige davon sind nativ in Ihrem Betriebssystem enthalten, andere werden von Drittanbietern bereitgestellt. Sie benötigen eine Bestandsaufnahme aller mit Ihrem Netzwerk verbundenen Geräte, die alle relevanten Informationen zu diesen Geräten und ihrem Standort enthält. Sie müssen in der Lage sein, Geräte problemlos zur Liste hinzuzufügen und daraus zu entfernen.
3. Verwenden Sie die Mobile Device Management (MDM)-Software
Zusätzlich zur Steuerung, welche Geräte sich mit Ihrem Netzwerk verbinden dürfen, sollten Sie idealerweise über eine Möglichkeit verfügen, die Geräte selbst zu steuern. Dies wird häufig mithilfe von Mobile Device Management (MDM) erreicht.
MDM bietet Unternehmen Transparenz und Kontrolle über die auf dem Gerät gespeicherten Daten und die installierten Anwendungen. Sie bieten Tools zur Verwaltung der Betriebssystemkonfiguration und sogar eine Fernlöschfunktion, falls ein Gerät verloren gehen oder gestohlen werden könnte. Administratoren müssen außerdem sicherstellen, dass alle Geräte passwortgeschützt sind und dass Mitarbeiter ein VPN verwenden, um eine Verbindung zum Unternehmensnetzwerk herzustellen (siehe unten).
4. Verwenden Sie ein virtuelles privates Netzwerk (VPN)
Der Zweck eines Virtual Private Network (VPN)-Dienstes besteht darin, sicherzustellen, dass alle Datenübertragungen zwischen dem Remote-Mitarbeiter und dem Unternehmensnetzwerk verschlüsselt sind. Die Verwendung eines VPN stellt sicher, dass niemand Ihre Verbindung abhören kann und ist besonders nützlich, wenn Sie ein unsicheres Wi-Fi-Netzwerk verwenden.
5. Verwenden Sie eine Datenerkennungs- und -klassifizierungslösung
Zu wissen, welche Daten Sie haben, wo sie gespeichert sind und wie sensibel die Daten sind, ist ein entscheidender Teil der Datensicherheit, unabhängig davon, ob Ihre Mitarbeiter remote arbeiten oder nicht.
Glücklicherweise gibt es eine Reihe von Lösungen, die eine Vielzahl von Datentypen automatisch erkennen und klassifizieren können, wie z. B. Sozialversicherungsnummern, Zahlungskarteninformationen, geschützte Gesundheitsinformationen und alle Informationen, die unter die geltenden Datenschutzgesetze fallen.
Sobald Sie wissen, wo sich Ihre sensiblen Daten befinden, ist es viel einfacher, den Daten Zugriffskontrollen zuzuweisen und zu verfolgen, wie auf sie zugegriffen wird.
6. Verschlüsseln Sie sensible Daten im Ruhezustand und während der Übertragung
Die Verschlüsselung unstrukturierter Daten im Ruhezustand ist relativ einfach. Es ist üblich, einen „Container“ oder eine Festplattenpartition einzurichten, die die darin gespeicherten Daten automatisch verschlüsselt und nur der Benutzer, der über den Entschlüsselungsschlüssel verfügt, die gespeicherten Daten lesen kann.
Es gibt verschiedene Tools, mit denen Sie einen verschlüsselten Container einrichten können. Einige davon sind möglicherweise in Ihr Betriebssystem integriert, z. B. BitLocker für MS Windows, oder Sie können eine Lösung eines Drittanbieters wie VeraCrypt verwenden. Für die Verschlüsselung „strukturierter“ Daten, beispielsweise in einer Datenbank gespeicherter Daten, ist Transparent Data Encryption (TDE) der am häufigsten verwendete Ansatz - vorausgesetzt, die Anwendung, die mit den Daten interagiert, übernimmt dies nicht für Sie.
Im Hinblick auf die Verschlüsselung von Daten während der Übertragung stellt die Verwendung eines VPN, wie bereits erwähnt, sicher, dass Remote-Mitarbeiter sicher mit dem Unternehmensserver kommunizieren können. Ein VPN hat jedoch keinen Einfluss darauf, wie mit Ihren E-Mails umgegangen wird.
Während die meisten großen E-Mail-Dienste TLS-Verschlüsselung unterstützen, werden Nachrichten nur verschlüsselt, wenn sowohl der Absender als auch der Empfänger denselben Dienst verwenden. Sie müssen entweder einen Dienstanbieter nutzen, der Ende-zu-Ende-Verschlüsselung anbietet, eine Browsererweiterung zum Verschlüsseln/Entschlüsseln der E-Mails verwenden oder Sie müssen die Daten selbst verschlüsseln, was bedeutet, dass Sie dem Empfänger den Entschlüsselungsschlüssel zur Verfügung stellen.
Wenn Ihre Unternehmenswebsite außerdem nach Anmeldeinformationen oder anderen personenbezogenen Daten fragt, müssen Sie ein SSL-Zertifikat erwerben, um sicherzustellen, dass die Daten bei der Übertragung verschlüsselt werden.
7. Verwenden Sie die Multi-Faktor-Authentifizierung (MFA)
Wenn Sie Mitarbeitern erlauben, sich von einem entfernten Standort aus bei Ihrem Unternehmensserver anzumelden, müssen Sie natürlich sicherstellen, dass Ihre Authentifizierungsprotokolle robust sind. Die meisten Authentifizierungsprotokolle basieren auf etwas, das Sie kennen, beispielsweise einem Benutzernamen und einem Passwort.
MFA geht noch einen Schritt weiter und führt zusätzliche Faktoren ein, z. B. etwas, das Sie haben (eine Art Token) oder etwas, das Sie sind (biometrische Daten). Obwohl MFA deutlich sicherer ist als herkömmliche Authentifizierungsprotokolle, sollte es nur beim Zugriff auf sensible Daten verwendet werden.
8. Erzwingen Sie den „Least Privilege“-Zugriff
Natürlich müssen Administratoren Zugriffskontrollen einrichten, um festzulegen, wer Zugriff auf welche Daten haben soll, und die Gründe dafür müssen dokumentiert werden. Sie sollten sich so weit wie möglich an das „Prinzip der geringsten Privilegien“ halten, um einer „Privilegieneskalation“ vorzubeugen.
9. Verwenden Sie eine UBA-Lösung (User Behavior Analytics).
Wenn es Mitarbeitern ermöglicht wird, aus der Ferne auf sensible Daten zuzugreifen, ist es von entscheidender Bedeutung, dass Administratoren größtmögliche Transparenz haben, um ungewöhnliche Benutzeraktivitäten erkennen zu können.
Eine UBA-Lösung nutzt maschinelles Lernen (ML), um die Verhaltensmuster jedes Benutzers zu lernen. Sobald es diese Muster gelernt hat (normalerweise im Laufe einiger Wochen), wird eine Warnung ausgelöst, wenn die Benutzeraktivität zu stark von diesen Mustern abweicht.
>Eine UBA-Lösung aggregiert und korreliert Ereignisdaten aus mehreren Quellen, einschließlich aller von Ihnen verwendeten Cloud-Plattformen, und zeigt alle relevanten Daten über eine intuitive Konsole an. Dadurch erhalten Administratoren in Echtzeit Informationen darüber, wer wann von welchem Standort aus auf welche Daten zugreift.
10. Schulung zum Sicherheitsbewusstsein
Da die Mitarbeiter unsere erste Verteidigungslinie sind, ist die Schulung des Sicherheitsbewusstseins ein entscheidender Teil unserer Verteidigungsstrategie. Um Schulungen zu Unternehmenssicherheitsrichtlinien durchführen zu können, müssen wir natürlich sicherstellen, dass alle Sicherheitsrichtlinien des Unternehmens sorgfältig ausgearbeitet wurden.
Die Mitarbeiter müssen gut geschult sein, um Phishing-E-Mails zu erkennen, und über die Wichtigkeit der Einhaltung bewährter Passwortpraktiken informiert werden (d. h. schreiben Sie sie nicht auf Haftnotizen!). Mitarbeiter sind dazu verpflichtet, Unternehmensdaten an die falschen Empfänger zu senden. Daher müssen sie darin geschult werden, den Empfänger beim Versenden von E-Mails noch einmal zu überprüfen.
Wenn Sie sehen möchten, wie Lepide Ihnen beim Schutz Ihrer Daten bei der Arbeit mit Remote-Mitarbeitern helfen kann, vereinbaren Sie noch heute eine Demo der Lepide Data Security Platform.