Was sind personenbezogene Daten (Personal Identifiable Information, PII) und wie klassifizieren und sichern Sie sie?
Persönlich identifizierbare Informationen (PII) werden allgemein als „alle Daten definiert, die potenziell eine bestimmte Person identifizieren könnten“ und können entweder sensibel oder nicht sensibel sein. Bei sensiblen PII handelt es sich um Informationen, deren Weitergabe an eine unbefugte Stelle zu einem Schaden für die betroffene Person führen könnte. Die Offenlegung nicht sensibler personenbezogener Daten hingegen wird der betroffenen Person kaum oder gar keinen Schaden zufügen.
Was gilt als PII?
PII umfassen Namen, Adressen, E-Mails, Geburtsdaten, Krankenakten, Kreditkartennummern, Finanzberichte, Reisepassnummern, Sozialversicherungsnummern, Führerscheine und Fahrzeugkennzeichen. Dazu gehören auch biometrische Daten wie Handschrift, Fingerabdrücke und Fotos der betroffenen Person.
Während es möglicherweise nicht möglich ist, jemanden allein anhand seines Geburtsdatums zu identifizieren, können PII mit anderen Arten von Informationen kombiniert werden, um eine „Pseudo“- oder „Quasi“-Identifizierung zu erstellen. Laut der folgenden Studie werden beispielsweise „87 % der US-Bevölkerung eindeutig durch {Geburtsdatum, Geschlecht, Postleitzahl} identifiziert“. Obwohl dies keine zwingende Anforderung ist, wird die Pseudonymisierung solcher Informationen von der DSGVO dringend empfohlen.
Welches Klassifizierungsschema sollte für PII verwendet werden?
Wie bereits erwähnt, können PII sensibel oder nicht sensibel sein. Für Unternehmen, die große Datenmengen speichern, ist es jedoch möglicherweise nicht detailliert genug, nur zwei Kategorien zu haben. Die meisten großen Organisationen würden mindestens drei Kategorien benötigen, darunter: Öffentlich, Privat und Eingeschränkt. Nachfolgend finden Sie eine kurze Zusammenfassung jeder Kategorie.
1. Öffentliche Daten: Hierbei handelt es sich um Daten, die sich im „öffentlichen Bereich“ befinden und Daten aus Zeitungen, öffentlichen Aufzeichnungen, Telefonverzeichnissen, Branchenverzeichnissen, Social-Media-Plattformen und Websites umfassen können. Während jeder auf diese Daten zugreifen kann, möchte ein Unternehmen, das über diese Daten verfügt, möglicherweise Zugriffskontrollen anwenden, um eine unbefugte Änderung oder Zerstörung dieser Daten zu verhindern.
2. Private Daten: Dabei handelt es sich um Daten, die die betroffene Person möglicherweise nicht preisgeben möchte, wie z. B. ihr Geburtsdatum, ihre Wohnadresse und ihre Telefonnummer. Wenn ein Hacker diese Art von Informationen wirklich finden wollte, könnte er dies wahrscheinlich tun, ohne auf Cyberkriminalität zurückzugreifen. Daher sollten private Daten einem moderaten Schutzniveau unterliegen.
3. Eingeschränkte Daten: Hierbei handelt es sich um streng vertrauliche Daten, die Hacker zwar haben wollen, aber nicht mit legitimen Mitteln erlangen können. Zu den geschützten Daten gehören Sozialversicherungsnummern, Kreditkartendaten, medizinische Informationen usw. Wie zu erwarten ist, sollten eingeschränkte Daten den höchsten Sicherheitskontrollen unterliegen.
Datensammlungen sollten entsprechend den sensibelsten Daten im Satz klassifiziert werden. Ein Datensatz kann beispielsweise einen Namen, eine Adresse und eine Sozialversicherungsnummer enthalten. Da Sozialversicherungsnummern häufig für Identitätsbetrug verwendet werden, sollte der Satz als eingeschränkt eingestuft werden.
Tipps zur Klassifizierung und zum Schutz personenbezogener Daten
Erstens bieten Datenschutzbestimmungen wie PCI DSS, ISO 27000 und DSGVO umfassende Rahmenbedingungen für den Schutz personenbezogener Daten. Es gibt auch eine Vielzahl von Technologien wie Lepide Data Classification, die personenbezogene Daten automatisch klassifizieren, verhindern können, dass unverschlüsselte personenbezogene Daten das Netzwerk verlassen, und Benutzerverhalten analysieren, das sich auf personenbezogene Daten auswirkt. Im Gegensatz zu nicht sensiblen Daten müssen sensible Daten sowohl im Ruhezustand als auch während der Übertragung verschlüsselt werden. Wie oben bereits erwähnt, ist auch eine Pseudonymisierung dringend zu empfehlen. Glücklicherweise gibt es Tools, die PII entweder zum Zeitpunkt der Erstellung oder nach einem Scan erkennen, verschlüsseln und/oder schwärzen können.
Der Schutz personenbezogener Daten unterscheidet sich nicht vom Schutz anderer Arten sensibler Daten. Organisationen sollten jederzeit das „Prinzip der geringsten Privilegien“ einhalten, um sicherzustellen, dass Stakeholder nur Zugriff auf die Daten haben, die sie zur Erfüllung ihrer Rolle benötigen, und sie sollten eine Echtzeit-Änderungsprüfungslösung einführen, um sicherzustellen, dass sie vollständige Transparenz haben darüber, wie auf ihre personenbezogenen Daten zugegriffen und diese verwendet werden.