Thought Leadership
Die Rechtslage ist angesichts von DSGVO & Co. eindeutig: Unternehmen müssen unbefugte Zugriffe auf ihre Daten wirksam unterbinden. Dies gelingt jedoch nur, wenn die Steuerung des jeweiligen Filesystems und die Verwaltung der Nutzer sinnvoll verknüpft und analysiert werden.
Egal ob es um Produkt-, Kunden-, Personal- oder Finanzdaten geht, fast immer finden sich sensible Informationen im Sinne des Datenschutzes in den Verzeichnissen eines Unternehmens. Und weil es diese zu schützen gilt, sind verlässliche Zugriffsbeschränkungen erforderlich. Zudem interessieren sich interne wie externe Instanzen für verlässliche Dokumentationen dieser Zugriffe. Regelmäßig kommen entsprechende Anfragen beispielsweise von Datenschutz, Revision, Wirtschaftsprüfung oder Vorstand. Meist stehen dann die IT-Abteilungen in der Pflicht, die relevanten Informationen mühsam aus Zugriffsmasken, NTFS, ACLs, Gruppen- und Einzelberechtigungen zusammenzutragen. Derart manuell erstellte Reports enthalten in der Regel jedoch zahlreiche Fehler. Kein Wunder, denn zum Beispiel heterogen gewachsene Systemlandschaften und unterschiedliche Quellen lassen sich kaum konsolidieren. Ebenso leiden die Ergebnisse unter einer mangelnden Kommunikation zur Personalabteilung, wodurch Wechsel von Beschäftigten den Administratoren oftmals verborgen bleiben.
Unternehmen in der Pflicht
Die DSVGO zum Beispiel enthält jedoch eindeutige Vorgaben: Wer keine „geeigneten technischen und organisatorischen Maßnahmen“ trifft, um personenbezogene Daten vor unbefugten Zugriffen zu schützen, sieht sich mit einer Bußgelddrohung von bis zu vier Prozent des weltweiten Gesamtumsatzes konfrontiert. Betroffen sind fast alle Unternehmen, schließlich lässt sich die Regelung sehr weit fassen. Viele Juristen gehen beispielsweise davon aus, dass ausscheidende Mitarbeiter die Zugriffsrechte ihres früheren Jobs verlieren müssen und diese Regel sogar bei Abteilungswechseln gilt. Demnach muss jedes Unternehmen gewährleisten, dass die entsprechenden Änderungen bei den Nutzerkonten unmittelbar mit Austritt oder Wechsel der Person wirksam werden. Mehr noch, die Verantwortlichen müssen diesen Zustand auch nachweisen. Fehlt ein derartiger Überblick, wird der schwarze Peter oftmals den IT-Abteilungen zugeschoben. Viel sinnvoller ist es jedoch, die Grundlagen für das Reporting zu verbessern.
Informationen kombinieren
Um belastbare Auskünfte über bestehende Rechte und erfolgte Zugriffe erteilen zu können, braucht es eine Verknüpfung der Informationen zu Nutzern und Daten. Damit lässt sich auf einen Blick erkennen, warum welcher Mitarbeiter welche Rechte auf welche Daten besitzt. Dank dieser Informationen lassen sich die existierenden Zugriffsrechte genau analysieren und damit auch der Datenschutz wirklich garantieren. Eine Möglichkeit dafür bietet ERAM des Identity-Management-Spezialisten Tools4ever (www.tools4ever.de). Unternehmen verfügen damit über eine effektive und bezahlbare Lösung, mit deren Hilfe sie einen sofortigen Überblick aller Berechtigungen der Nutzer im Filesystem gewinnen. Auf dieser Basis lassen sich detaillierte Reports erstellen sowie die Systeme überwachen und das Risiko einer Datenschutzverletzung schwindet. Es ist zudem möglich, Self-Service-Workflows zu etablieren. Damit verschaffen sich die IT-Abteilungen Entlastung und verlagern die Verantwortung zu den Dateneigentümern.
Weitere Informationen:
www.martinschwer.de
www.tools4ever.de
