3 Ebenen, um die Sicherheit Ihrer Daten zu gewährleisten

Organisationen sehen sich zunehmend mit der Notwendigkeit konfrontiert, vertrauliche und/oder datenschutzrechtlich sensible Informationen zu schützen. Es ist entscheidend, dass diese Informationen nicht „öffentlich zugänglich“ werden. Hugo Gerritse (Berater für Informationssicherheit und Qualität) stellt fest, dass es Organisationen oft schwerfällt, den praktischen Bezug zu den täglichen Handlungen herzustellen. 

„Für Organisationen ist es eine große Herausforderung, herauszufinden, wo personenbezogene Daten verarbeitet werden, wer Zugriff auf sensible Informationen hat und ob die Systeme ausreichend sicher sind. Die Erfüllung dieser Anforderungen hängt wesentlich vom Bewusstsein der Mitarbeiter und der externen Partner ab, mit denen eine Organisation zusammenarbeitet. Verfügen diese über das richtige Fachwissen und sind externe Partner zum Beispiel zertifiziert? Das sind nur einige Fragen, die in diesem Zusammenhang geklärt werden müssen“, erklärt Hugo. 

Aber wie stellen Sie sicher, dass Sie die richtigen Kontrollmaßnahmen ergreifen? Und was erwarten Sie von Kunden, Lieferanten und anderen externen Parteien, um diesen Anforderungen gerecht zu werden? In diesem Blog erläutern wir, auf welchen drei Ebenen Sie die Sicherheit und Qualität von Daten innerhalb Ihrer Organisation verbessern können: 

Physische Sicherheitsmaßnahmen 

Unsere physischen und digitalen Umgebungen verändern sich ständig. Entwicklungen folgen schnell aufeinander, und auch die sich ändernde Gesetzgebung (wie die DSGVO) stellt eine Herausforderung dar. Wie ist Ihre Zutrittsregelung organisiert? Passt Ihr Sicherheitsmanagementsystem noch dazu? Funktionieren Hardware-Komponenten wie Kameras, Einbruchsysteme oder Schlösser einwandfrei? 

Die richtige Mischung aus Personaleinsatz, baulichen und elektronischen Maßnahmen sind Formen physischer Sicherheitsmaßnahmen und haben Einfluss auf die Sicherheit Ihrer Daten. Einige unterstützende Beispiele für Ihre Standorte sind: 

• Autorisierung von Besuchern und Mitarbeitern durch ein Zutrittskontrollsystem. 
• Installation eines Anti-Einbruch-Systems, das alle Zugangspunkte abdeckt. 
• Einsatz von 24/7-Videoüberwachung an den Zugangspunkten Ihrer Standorte. 
• Überlegung, ob eine 24/7-Überwachung erforderlich ist. 

Organisatorische Sicherheitsmaßnahmen, Bewusstsein ist entscheidend 

Diese physischen Sicherheitsmaßnahmen hängen von den organisatorischen Vereinbarungen ab, die mit Mitarbeitern sowie mit Kunden oder Lieferanten getroffen werden. Daher ist es wichtig, dass auch diese Partner in der Lage sind, Ihre Sicherheits– und Qualitätsanforderungen zu erfüllen, klare Vereinbarungen getroffen und dokumentiert werden. Externe Partner, die beispielsweise über verschiedene (ISO) Zertifizierungen verfügen, können dies sicherstellen. Beispiele für organisatorische Maßnahmen, die zum Schutz Ihrer Daten getroffen werden können, sind: 

• Ein Führungszeugnis. 
• Schulungen zur Sensibilisierung für Datenschutz und Informationssicherheit, unter anderem in Form von Social Engineering-Tests, Phishing-Simulationen und Workshops. 
• Ein formelles Genehmigungsverfahren für den Zugang zu Räumen oder beispielsweise Kundendatenbanken. 
• Anwendung von Projektmanagementmethoden, bei denen Risikobewertungen nach ISO 27001 durchgeführt werden. 

Zertifizierung für Informationssicherheit: ISO 27001 

ISO 27001 ist der internationale Standard für Informationssicherheit. Das Zertifikat bestätigt, dass eine Organisation die notwendigen Maßnahmen ergriffen hat, um sensible Informationen vor unbefugtem Zugriff und Bearbeitung zu schützen. Der Standard bezieht sich nicht nur auf die Gestaltung von Prozessen und Verfahren, sondern auch auf deren Einhaltung, Überprüfung, Kontrolle und kontinuierliche Verbesserung. Es handelt sich nicht um eine Momentaufnahme, sondern um einen kontinuierlichen Prozess zur Überwachung und Qualitätsverbesserung. Der ISO 27001 Standard zeichnet sich unter anderem dadurch aus, dass: 

• Es wird nachgewiesen, dass Informationssicherheit auf allen Ebenen wichtig ist. 
• Kunden, Mitarbeiter, Handelspartner und Stakeholder überzeugt werden, dass in Ihrer Organisation sorgsam mit Informationen und Informationssystemen umgegangen wird. 
• Es dazu beiträgt, dass die betreffende Partei die geltenden Gesetze und Vorschriften, wie die DSGVO, einhält, die verlangt, dass personenbezogene Daten sicher geschützt sind. 
• Ein gut eingerichteter und ausgeführter Prozess zur Datensicherheit zu weniger Risiken und damit weniger Vorfällen führt. 

Technische Sicherheitsmaßnahmen zur Sicherstellung der Kontinuität Ihrer Prozesse 

Auch im IT-Bereich müssen Sie Maßnahmen ergreifen, um die Kontinuität Ihrer Prozesse sicherzustellen und Ihre Daten zu schützen. Solche Upgrades sind sogar notwendig, um sicherzustellen, dass die Geschäftsprozesse reibungslos und sicher bleiben. Dies dient dazu, die Verfügbarkeit, Kontinuität und Sicherheit an und um Ihre Standorte in der Zukunft zu gewährleisten. Zudem ist es wichtig, Maßnahmen für die Verwaltung und Aufbewahrung Ihrer Daten zu treffen. Wo speichern Sie Daten? Entspricht dies den Gesetzen und Vorschriften und deckt es Ihre Sicherheitsbedürfnisse ab? Beispiele für technische Sicherheitsmaßnahmen sind unter anderem: 

• Zugang zu Servern erfolgt über Zwei-Faktor-Authentifizierung, über gesicherte Datenverbindungen. 
• Datenbankserver befinden sich in gesicherten, ISO 27001-zertifizierten Rechenzentren. 
• Datenbanken werden regelmäßig gesichert und sowohl intern als auch extern aufbewahrt. 
• Systeme und Server werden kontinuierlich überwacht und nach einem festen monatlichen Plan aktualisiert. 

Das richtige Gleichgewicht zwischen Bewusstsein und Maßnahmen 

Die Sicherstellung der Sicherheit von Unternehmensdaten hängt also entscheidend von der Sensibilisierung in Verbindung mit „härteren“ Maßnahmen ab, wie etwa Systemen, die Ihre Geschäftsprozesse unterstützen oder zertifiziert sind.