Zunehmende DSGVO-Geldbußen rücken „Privacy by Design“ ins Interesse

Wichtige Fragen müssen geklärt werden

Um sicherzustellen, dass „Privacy by Design“ in die Geschäftsprozesse eingebettet ist, müssen die Vorstände der Unternehmen regelmäßige Aktualisierungen von den Mitarbeitern anfordern, die für die Umsetzung der DSGVO verantwortlich sind. Dies kann der Datenschutzbeauftragte, der Chief Data Officer, der Chief Risk Officer oder der Chief Information Security Officer sein.

Zu den Fragen, die geklärt werden müssen, gehören nach Meinung von Palo Alto Networks:

• Wer ist für den Datenschutz in unserem Unternehmen verantwortlich?
• Wie ist der Stand der Einhaltung des Datenschutzes bei uns?
• Haben wir die richtigen Prozesse eingeführt?
• Wie sieht unsere Politik zur Datenverarbeitung aus? Wie gut ist sie entwickelt?
• Ist bekannt, wo sich alle persönlichen Daten in unseren Systemen befinden?
• Sind die Daten sicher, auch was die Anbieter betrifft?
• Wie stellen wir sicher, dass die Datenverarbeitung mit DSGVO und anderen anwendbaren Gesetzen übereinstimmt?
• Wie hoch ist die Wahrscheinlichkeit einer Datenschutzverletzung?
• Wie schwerwiegend könnte sie sein?
• Sind wir bereit zu reagieren, wenn der Ernstfall eintritt?
• Was sind die konkreten Schritte, die wir unternehmen können, um diese Risiken zu mindern?

Wie bei jeder Risikofrage müssen die Vorstände die Kosten für die Einhaltung der DSGVO gegen die möglichen Verluste durch Bußgelder und den Betriebs- und Reputationsschaden, der durch eine Datenverletzung verursacht wird, abwägen.

Compliance ist nicht billig. Dazu gehört die Bezahlung von Fachpersonal für die Überwachung des Datenschutzes, vielleicht auch die Investition in Technologie, die alle Daten des Unternehmens abbildet und anzeigt. Der Datenschutzbeauftragte kann dann zentral einsehen, wo sich welche Daten befinden, und Risiken und Schutzmaßnahmen für wichtige persönliche Daten identifizieren.

Was wird das alles kosten?

Wie viel sollte ein Unternehmen in den Datenschutz investieren? Das hängt davon ab, wie das Unternehmen persönliche Daten verwendet und welchen Risiken sie ausgesetzt sind. CISOs sollten in der Lage sein, die Risiken einer Datenschutzverletzung und die voraussichtlichen Kosten zu beurteilen. Sie können dies tun, indem sie eine Risikobeurteilung durchführen und Bewertungen vergeben, zum Beispiel zwischen eins und fünf.

Besteht beispielsweise ein hohes Risiko einer Verletzung, weil die Daten weit verbreitet sind und die Aufmerksamkeit von Hackern auf sich ziehen oder von Mitarbeitern missbraucht werden können, kann die Risikobewertung eine Fünf sein. Dann sollte dem potenziellen Schaden, den eine Verletzung verursachen könnte, eine andere Bewertung zugewiesen werden.

Im Falle eines Unternehmens, das mit den Kreditkartendaten seiner Kunden umgeht, könnte er hoch sein – zum Beispiel eine Vier. Durch Multiplikation dieser beiden Zahlen würde der Risiko-Score 20 betragen. Dies ist ein hohes Risiko, so dass das Unternehmen stark in das Personal, die Instrumente und die Folgenabschätzungen investieren sollte, die zum Schutz dieser persönlichen Daten erforderlich sind.

Ein großer Vorteil einer solchen Investition besteht darin, dass sie sich nahtlos in einen effektiven Ansatz für die Cybersicherheit einfügt. Unternehmen, die die Cybersicherheit ernst nehmen und Strategien für „Security by Design“ entwickeln, werden auch bei der Einhaltung der DSGVO erfolgreich sein.

Die Datenschutzbehörden haben ihre Muskeln spielen lassen und gezeigt, dass sie bereit sind, Unternehmen, die es versäumen, die modernsten Datenschutzrichtlinien umzusetzen, mit Strafen zu belegen. Jedes Unternehmen muss darauf achten und sicherstellen, dass seine Systeme und Prozesse der Aufgabe gewachsen sind.

Die DSGVO ist generell zu begrüßen, weil sie die Unternehmen zwingt, mit Daten sorgsam umzugehen. Die Best Practices zur Einhaltung der DSGVO sind auch die Bausteine einer glaubwürdigen Cybersicherheitsstrategie. Der Schutz der Privatsphäre und „Security by Design“ sind nach Meinung von Palo Alto Networks die Grundvoraussetzungen für die Geschäftstätigkeit im Datenzeitalter.

www.paloaltonetworks.com