Datenrisikomanagement: Was es bedeutet und warum es für datenfokussierte Unternehmen wichtig ist

Neuigkeiten kamen ans Licht, dass Johnson & Johnson zusammen mit Plattform-Manager IBM mit einer möglichen Sammelklage wegen einer Datenschutzverletzung im Patientenhilfsprogramm von J&J, Janssen CarePath, konfrontiert ist. In einer Beschwerde, die beim Bundesgericht im Southern District von New York eingereicht wurde, erhebt ein Bewohner Floridas den Vorwurf, dass die Pharma- und Tech-Giganten es versäumt haben, persönliche Identitäts- und Gesundheitsinformationen angemessen zu schützen, was einen Verstoß gegen Branchenstandards und das Health Insurance Portability and Accountability Act (HIPAA) darstellt. Die Klage, die eine Einstufung als Sammelklage und einen Schwurgerichtsprozess anstrebt, zielt darauf ab, Schadensersatz zu sichern, und verlangt von J&J und IBM, sofortige Maßnahmen zur Verbesserung ihrer Datensicherheitsmaßnahmen zu ergreifen.

Unternehmen, unabhängig von ihrer Größe und Branche, sollten dem folgen, bevor ein Gericht es ihnen anordnet.

Im Wettlauf, in der digitalen Erlebniswirtschaft relevant zu bleiben, speichern und analysieren Unternehmen mehr Daten als je zuvor. „Über das Nachverfolgen Ihrer Sehgewohnheiten, Einkäufe und sogar Ihres Standorts hinaus sammeln Unternehmen alle Daten, die sie gesetzlich sammeln können, bis hin zu Ihrer Größe, Ihrem Gewicht, Ihren Hobbys und Haustieren“, schlussfolgert PCMag unter Berufung auf umfangreiche Forschung dazu, welche persönlichen Informationen soziale Netzwerke, Online-Händler, Streaming-Dienste, Sharing-Apps und ähnliche rechtmäßig über Benutzer bei der Anmeldung oder im Laufe der Zeit erfassen. Der Vorteil? Reibungslosere, maßgeschneiderte Dienstleistungen, bessere organisatorische Effizienz und unerschlossene Einnahmequellen. Der Nachteil ist eine Flut neuer Cybersicherheitsrisiken, die oft ignoriert werden.

In diesem Artikel werden wir einen genaueren Blick auf die Risiken des Datenmanagements werfen, die Auswirkungen, die sie in operativer, finanzieller, rechtlicher und reputationsbezogener Hinsicht auf Unternehmen haben, sowie die Lösungen für das Management von Datenrisiken und bewährte Praktiken, die Unternehmen dabei helfen können, diese effizient zu mindern.

Was ist Datenrisikomanagement? Definition und Schlüsselkonzepte

Ein aufkommender Bereich im Risikomanagement ist das Datenrisikomanagement (DRM), ein strukturierter Ansatz zur Erkennung und Bewältigung von Bedrohungen und Schwachstellen im Umgang mit Daten in einem Unternehmen. Als integraler Bestandteil der Unternehmensrisikomanagementstrategie zielt das Datenrisikomanagement darauf ab, die Angriffsfläche von Unternehmen im Zusammenhang mit der Sammlung, Speicherung und Nutzung von Daten zu minimieren und gleichzeitig ihren Geschäftswert zu maximieren.

Der Kern des Datenrisikomanagements liegt in der Identifizierung, Bewertung und Minderung von datenbezogenen Risiken. Der erste Schritt dieses Prozesses besteht darin, vorhandene und mögliche Bedrohungen für die Datenvermögenswerte einer Organisation festzustellen, gefolgt von einer umfassenden Bewertung des potenziellen Einflusses jeder Bedrohung. Dies reicht von finanziellen Verlusten bis hin zu Schäden im Zusammenhang mit dem Ruf, dem Kundenvertrauen, der rechtlichen und regulatorischen Compliance und den betrieblichen Abläufen.

Unternehmen sollten sich bewusst bemühen, Datenrisiken innerhalb und außerhalb des Bereichs der Cybersicherheit zu berücksichtigen, betont die ISACA. Eine schlechte Daten-Governance und -verwaltung über den Lebenszyklus der Daten kann für Unternehmen und ihre Kunden genauso verheerend sein wie ein schlechtes Daten-Sicherheitsmanagement, mit Konsequenzen von Kompromittierung der Infrastruktur bis hin zu Kosten für die Wiederherstellung des Personals und einem Dämpfer im Markenwert und Ruf.

Effektives Datenrisikomanagement umfasst auch die Erstellung eines Risikomanagementplans, der auf die Bedürfnisse der Organisation zugeschnitten ist, regelmäßige Aktualisierung und Prüfung des Plans sowie die Förderung einer Kultur der Datenprivatsphäre und -sicherheit innerhalb der Organisation. In einem weiteren Sinne sollte es, so bietet die ISACA an, auch die Bemühungen einer Organisation unterstützen, Datenresilienz zu erreichen, d.h. „die Zuverlässigkeit, Sicherheit, Benutzerfreundlichkeit und Kapazität zur schnellen Erholung von Widrigkeiten“.

Warum ist Datenrisikomanagement wichtig? 5 Schlüsselgründe

1. Gewährleistung regulatorischer Compliance

Robuste datenfokussierte Risikomanagementstrategien und -programme stellen sicher, dass Organisationen relevante Datenschutzgesetze und -standards einhalten, wie die Datenschutz-Grundverordnung (DSGVO) und den Payment Card Industry Data Security Standard (PCI DSS). Nichteinhaltung solcher Datenschutz- und Datensicherheitsauflagen kann schnell zu saftigen Bußgeldern, rechtlichen Problemen und einem angeschlagenen Ruf führen.

2. Verhinderung von Datenschutzverletzungen

Verfahren des Datenrisikomanagements helfen, Datenschutzverletzungen zu verhindern, die zu erheblichen finanziellen Verlusten führen können, sowohl als unmittelbare Folge des Datenlecks als auch in Form potenzieller Bußgelder für die Nichteinhaltung von Datenschutzgesetzen. Die mit solchen Vorfällen verbundene Rufschädigung führt oft zu Beeinträchtigungen des Kundenvertrauens und der Kundenbindung, was sich negativ auf die Marktposition und das potenzielle Wachstum eines Unternehmens auswirkt.

3. Sicherung sensibler Informationen

DRM spielt eine entscheidende Rolle beim Schutz sensibler Informationen vor unbefugtem Zugriff, Änderungen oder Zerstörung. Dies gewährleistet die Vertraulichkeit, Integrität und Verfügbarkeit der Daten. Die Offenlegung sensibler Daten kann zu erheblichen finanziellen Verlusten, rechtlichen Konsequenzen und irreversibler Rufschädigung führen, ganz zu schweigen von der Gefahr eines Wettbewerbsnachteils, wenn die Informationen in die Hände von Konkurrenten oder böswilligen Dritten gelangen.

4. Gewinn eines Wettbewerbsvorteils

Eine starke DRM-Strategie hat nicht nur das Potenzial, das Kundenvertrauen und die Kundenbindung zu stärken, sondern ermöglicht es Unternehmen auch, die digitale Kraft und wertvolle Analysen zu nutzen, um das Wachstum zu fördern. In einer datengesteuerten Welt kann dies von unschätzbarem Wert sein. Risikomanager stellen sich dieser Herausforderung: Laut einer Umfrage von PwC gaben 72% von ihnen nachdrücklich an, dass der Schlüssel zum Wachstum ihres Unternehmens in der Nutzung von Initiativen zur digitalen Transformation liegt.

5. Anpassung an eine sich schnell entwickelnde Bedrohungslandschaft

Schwachstellen bei Internet of Things (IoT), mit der Sicherheit von Remote-Arbeit verbundene Risiken, Vishing, Phishing und andere Pretexting-Angriffe, Cryptojacking: Die Bedrohungslandschaft der Cybersicherheit verändert sich ständig, und laut Schätzungen verursachen Cyberkriminalität der Weltwirtschaft jedes Jahr über 1 Billion US-Dollar an Schäden - das entspricht 1% des globalen BIP. Datenrisikomanagementprogramme sind für Unternehmen unerlässlich, um ihre Datenschutzstrategien an neue Bedrohungen anzupassen und ihre Widerstandsfähigkeit zu stärken.

7 Arten von Datenrisiken, mit denen jedes Unternehmen vertraut sein sollte

Das Wall Street Journal definiert Datenrisiken als „die Gefahr eines Wert- oder Ansehensverlusts, der durch Probleme oder Einschränkungen bei der Fähigkeit eines Unternehmens, Datenbestände zu erwerben, zu speichern, zu transformieren, zu verschieben und zu nutzen, verursacht wird“. Lassen Sie uns einen Blick auf die Risikoarten werfen, die dieser Kategorie zugeordnet sind.

1. Cyberangriffe: Cyberkriminelle können Datenschwachstellen ausnutzen, um sensible Datenbestände zu stehlen oder zu manipulieren, was finanzielle Verluste für Unternehmen und Unannehmlichkeiten für Kunden verursachen kann.
2. Datenschutzverletzungen: Unbefugte Zugriffe, Offenlegungen oder Diebstähle von Daten, die oft aus unzureichenden Sicherheitsmaßnahmen resultieren, können zu empfindlichen Bußgeldern und erheblichem Schaden für das Ansehen eines Unternehmens führen.
3. Datenverluste: Versehentliche Löschung, Hardwareausfälle oder Naturkatastrophen können zu einem Verlust wichtiger Daten führen, den Betriebsablauf unterbrechen und potenzielle finanzielle Schäden verursachen.
4. Insider-Bedrohungen: Der Missbrauch von Zugriffsprivilegien durch Mitarbeiter, sei es vorsätzlich oder unbeabsichtigt, stellt ein erhebliches Risiko dar, das zu Datenschutzverletzungen oder Datenverlusten führen kann.
5. Verstöße gegen die Compliance: Verstöße gegen Datenschutzverordnungen können zu hohen Geldstrafen und gesetzlichen Strafen sowie einem Vertrauensverlust seitens der Kunden und Stakeholder führen.
6. Risiken durch Dritte: Unternehmen teilen oft Daten mit Partnern, Lieferanten oder Auftragnehmern, was das Risiko von Datenschutzverletzungen erhöht, wenn diese Dritten keine angemessenen Sicherheitsmaßnahmen implementiert haben.
7. Mangelnde Mitarbeiterkenntnisse: Ohne angemessene Schulung könnten Mitarbeiter möglicherweise Datenschutzprotokolle nicht einhalten, was die Datenschutz- und Risikomanagementbemühungen des Unternehmens gefährdet.

Entwicklung eines Rahmenplans fürs Datenrisikomanagement: 10 unverzichtbare Maßnahmen

1. Regelmäßige Updates: Halten Sie alle Systeme, Software und Anwendungen auf dem neuesten Stand, um Sicherheitsschwachstellen zu beheben und den Schutz vor Cyberbedrohungen zu stärken.
2. Datenverschlüsselung: Verschlüsseln Sie sensible Daten sowohl während der Übertragung als auch während der Speicherung, um sicherzustellen, dass sie auch im Falle eines unbefugten Zugriffs unlesbar bleiben.
3. Mehrstufige Authentifizierung (MFA): Implementieren Sie MFA, wenn immer möglich, um sicherzustellen, dass Daten nicht einfach durch Knacken eines Passworts zugänglich sind und missbraucht werden können.
4. Mitarbeiterschulungen: Stellen Sie durch regelmäßige Schulungen sicher, dass Ihre Mitarbeiter die Bedeutung von Datensicherheit verstehen und sich ihrer Rolle bei der Verhinderung von Datenschutzverletzungen bewusst sind - von der Identifizierung bis zur Bewältigung potenzieller Bedrohungen.
5. Strenge Zugriffskontrolle: Gewähren Sie Mitarbeitern gemäß dem Grundsatz „Kenntnis nur, wenn nötig“ nur Zugriff auf Daten, die für ihre Aufgaben erforderlich sind.
6. Regelmäßige Audits: Überprüfen Sie die Effektivität Ihrer DRM-Strategie regelmäßig und stellen Sie sicher, dass sie mit den Geschäftsbedürfnissen übereinstimmt, um gleichzeitig neue Schwachstellen oder blinde Flecken vergangener Datenrisikobewertungen aufzudecken.
7. Sicherer physischer Speicher: Halten Sie physische Speichergeräte an einem sicheren und kontrollierten Ort mit eingeschränktem Zugriff verschlossen, um zu verhindern, dass Daten gestohlen, verlegt oder beschädigt werden.
8. Sicherheitsmaßnahmen Dritter: Stellen Sie sicher, dass Drittanbieter oder Partner, mit denen Sie Daten teilen, robuste Sicherheitsmaßnahmen implementiert haben, um das Risiko von Angriffen auf die Lieferkette zu minimieren.
9. Daten-Backups: Erstellen Sie regelmäßig Backups von Daten und testen Sie Wiederherstellungsverfahren, um verlorene Daten im Falle eines Hackerangriffs, menschlichen Versagens oder eines Strom- oder Hardwareausfalls wiederherzustellen.
10. Vorfallreaktionsplan: Erstellen Sie einen detaillierten Plan mit allen erforderlichen Tools und Protokollen zur Erkennung und Bewältigung von Sicherheitsvorfällen auf eine zeitnahe, effiziente und koordinierte Weise.

So kann Tresorit Ihnen helfen, Datenrisiken unter Kontrolle zu halten und die Produktivität der Cloudzusammenarbeit aufrechtzuerhalten.

Tresorits Cloudspeicher- und Kollaborationsplattform mit Ende-zu-Ende-Verschlüsselung und dem Zero-Knowledge-Prinzip ermöglicht Ihnen Folgendes:

• Machen Sie die Cloud mit E2E-Verschlüsselung zu einem sichereren Ort: Jede Datei und relevante Metadaten auf den Geräten unserer Nutzer werden mit zufällig generierten Verschlüsselungscodes verschlüsselt. Der Zugriff auf Dateien ist nur mit dem einzigartigen Entschlüsselungscode eines Nutzers möglich, von dem niemand sonst - nicht einmal Tresorit - Kenntnis hat. Das bedeutet, dass selbst im Falle eines Hacks unserer Server niemand die Inhalte lesen könnte.
• Sorgen Sie für sicheren und eingeschränkten Zugriff: Kontrollieren und entscheiden Sie, welche Geräte Zugriff auf welche Dateien haben können, und von wo aus Nutzer auf ihre Geschäftskonten zugreifen können, um geschäftskritische Dokumente zu schützen. Verwalten Sie Dateien und Ordner auf differenzierte Weise, um sicherzustellen, dass sie nur für diejenigen zugänglich sind, die sie für ihre Tätigkeit benötigen. Beschränken Sie Downloads oder sperren Sie den Zugriff nach Bedarf.
• Behalten Sie die Kontrolle darüber, was mit Ihren Daten geschieht: Implementieren Sie Datenschutzmaßnahmen, einschließlich Kontrolle darüber, wer auf welche Daten zugreifen kann, Protokollierung von Dateiaktivitäten und Erstellung interner Sicherheitsrichtlinien für die Datenverwaltung. Dank kryptografischer Authentifizierung, die auf alle verschlüsselten Daten in Form von HMAC oder AEAD angewendet wird, können keine Dateiinhalte ohne Ihr Wissen modifiziert werden.
• Legen Sie Unternehmenssicherheitsrichtlinien fest und setzen Sie sie durch: Stellen Sie sicher, dass alle in Ihrem Unternehmen an einem Strang ziehen, wenn es um die Nutzung wichtiger Datensicherheitstools und -prozesse geht. Wend en Sie Richtlinienprofile an, darunter 2-Stufen-Verifizierung, IP-Filter, Zeitüberschreitungsrichtlinien und Richtlinien für das Teilen. Erstellen Sie verschiedene Richtlinien für jedes Profil und passen Sie sie bei Bedarf über eine einzige Benutzeroberfläche an.
• Verschlüsseln Sie Anhänge und verschicken Sie sichere Links: Schützen Sie sensible Dateien, die über E-Mails geteilt werden, durch die Verschlüsselung von Anhängen und das Teilen von sicheren Links anstelle von unsicheren Dateianhängen. Kontrollieren Sie, wer auf Dateien zugreifen kann, und verfolgen Sie Aktivitäten in Echtzeit, um sicherzustellen, dass sensible Informationen sicher bleiben.