Datenschutz und Datensicherheit: Ein ausgewogener Ansatz im Umgang mit Cybersicherheitsrisiken

Von Eric Schmitt – Chief Global Information Security Officer – und Brenda G. Corey – Senior Vice President für Compliance und Regulierungsangelegenheiten

In einer Welt, in der Datenschutz und Sicherheit immer mehr an Bedeutung gewinnen, müssen Unternehmen angesichts sich rasch ändernder Vorschriften ein Gleichgewicht zwischen ihrem Risikobewusstsein und der Einhaltung gesetzlicher Vorschriften finden.

Aus datenschutzrechtlicher Sicht wurde in den letzten 24 Monaten verstärkt darauf geachtet, dass Daten nur so lange aufbewahrt werden, wie sie benötigt werden oder wie es gesetzlich vorgeschrieben ist. Da Gesetze zur Transparenz und zu Datenrechten mittlerweile in zwei US-Bundesstaaten (Kalifornien – CPRA,Virginia) in Kraft sind und im Laufe des Jahres 2023 in drei weiteren US-Bundesstaaten (Colorado,Connecticut,Utah) in Kraft treten werden, ist es nun an der Zeit, dass Unternehmen ihre Infrastruktur überprüfen, Bereiche identifizieren, die von böswilligen Akteuren ausgenutzt werden könnten, und ihre Mitarbeiter über bewährte Verfahren zum Schutz sensibler Daten schulen.

Aufbewahrungsfristen für Unterlagen

Ein wichtiger Schwerpunkt ist die vollständige Einhaltung eines Aufbewahrungsplans. Der Aufbewahrungsplan ist von entscheidender Bedeutung, um sicherzustellen, dass wir Daten nur so lange aufbewahren, wie es erforderlich ist, um Risiken durch die Reduzierung der gespeicherten Daten zu minimieren und um neue gesetzliche Vorschriften einzuhalten. Unternehmen auf der ganzen Welt befinden sich derzeit auf diesem Weg und überprüfen ihre bestehenden Richtlinien, um die Einhaltung der Vorschriften zu gewährleisten. Es ist wichtig, sicherzustellen, dass die Aufbewahrungspflichten gegenüber verschiedenen Interessengruppen – Behörden, Kunden und Versicherern – sowie in bestimmten Rechtsordnungen und auf globaler Ebene erfüllt werden.

Cyber-Resilienz

Auf der technischen Seite des Unternehmens ist es wichtig, dass die Teams für Cybersicherheit, Datensicherung und Notfallwiederherstellung zusammenarbeiten und unter dem Stichwort „Cyber-Resilienz“ ein einheitlicheres Programm anbieten. Diese Form der Zusammenarbeit trägt dazu bei, dass Kontinuitätspläne – sowohl in geschäftlicher als auch in technischer Hinsicht – berücksichtigen, wie Schutzmaßnahmen im Falle einer Cyberbedrohung umgesetzt werden können, sodass ein Unternehmen schnell auf aufkommende Bedrohungen reagieren kann. Unternehmen sollten sicherstellen, dass ihr Kontinuitätsprogramm auch cyberbezogene Aspekte umfasst.

Bedrohungssuche

Mit dem Leitgedanken „Brich dich selbst, bevor es jemand anderes tut“ versuchen Cybersicherheitsteams, die eigenen Cyberumgebungen eines Unternehmens auf dieselbe Weise anzugreifen, wie es ein Angreifer tun würde – ein Prozess, der als „Threat Hunting“ bezeichnet wird. Dies schafft Transparenz, um nicht nur Schwachstellen zu erkennen, an denen Angriffe stattfinden könnten, sondern auch eine schnellere Reaktion zu ermöglichen, damit Backup-Daten geschützt werden können und im Falle einer Bedrohung nicht alles verloren geht. Threat Hunting sollte ein robustes Programm für Schwachstellen- und Penetrationstests ergänzen, nicht ersetzen. Die „Threat Hunting“-Maßnahmen bieten zwei wesentliche „ benefits “: Zum einen lernen die Sicherheitsmitarbeiter durch die Zusammenarbeit mit den „Threat Hunters“, Angriffe zu erkennen, und zum anderen kann das Unternehmen Bereiche identifizieren, in denen möglicherweise zusätzliche Sicherheitsmaßnahmen erforderlich sind.

Eine Verteidigungslinie aufbauen

Man muss wissen, was man hat, bevor man es schützen kann. Durch die Datenerfassung aller Geschäftsbereiche und der darin fließenden Datentypen – einschließlich der Informationen, die von Anbietern weitergegeben werden – erhält man ein klares Bild davon, wie und wo Daten gesichert sind. Mithilfe der „Crown Jewel Exercises“ von MITRE lassen sich Schwachstellen im Zusammenhang mit den zu schützenden Daten aufzeigen, sodass entsprechende mehrschichtige Abwehrmaßnahmen ergriffen werden können.

Die Schulung der Mitarbeiter ist eine weitere Ebene optimaler Datenschutz- und Sicherheitsmaßnahmen. Wenn es um Cybersicherheitsrisiken geht, sind Ihre Mitarbeiter Ihre erste und letzte Verteidigungslinie. Die Frage, wie Mitarbeiter besser geschult werden können, um eingehende Bedrohungen wie Phishing-E-Mails und andere böswillige Aktivitäten zu erkennen – und wie dieses Verhalten positiv verstärkt werden kann –, sollte stets im Vordergrund stehen. Schulungen zum Thema Phishing-E-Mails sollten regelmäßig für das gesamte Unternehmen durchgeführt werden. Mitarbeiter in Teams, die ständig mit sensiblen Daten umgehen, benötigen möglicherweise häufigere Schulungen zur Prävention von Datenverstößen.

In der Schadenversicherungsbranche sorgen Datenschutzbeauftragte dafür, dass Anträge auf Ausübung von Datenschutzrechten für einzelne Anspruchsteller schnell und effizient bearbeitet werden. Im Einklang mit den Datenschutzgesetzen kann künstliche Intelligenz genutzt werden, um Einzelpersonen bessere Dienstleistungen zu bieten, beispielsweise bei der automatisierten Prüfung von Schadenfällen.

Datenschutz durch Technikgestaltung

Datenschutz und -sicherheit können für ein Unternehmen und seine Kunden ein entscheidendes Unterscheidungsmerkmal sein, wenn sie fest in die Investitions- und Betriebsstrategie „integriert“ sind. Wenn ein Unternehmen seine neuen Prozesse und Programme aufbaut – einschließlich des Informationsflusses innerhalb des Systems –, ist es unerlässlich, dass die Teams an vorderster Front wissen, wie sie „Privacy by Design“ umsetzen können. Die Aufsichtsbehörden drängen zunehmend darauf, den Datenumfang zu reduzieren; Unternehmen müssen ihrer Sorgfaltspflicht nachkommen, indem sie ihre Datensicherheitsprogramme gründlich hinterfragen und ihre Investitionen in Bedrohungsinformationen abwägen.