Data Security Posture Management Beim DSPM ist Datenmobilität unverzichtbar

Anbieter zum Thema

DataCore Software GmbH

FAST LTA GmbH

Impossible Cloud GmbH

Viele Unternehmen haben in den vergangenen Jahren erheblich in Tools für das Data Security Posture Management (DSPM) investiert. Diese sollen helfen, Schwachstellen in der Datensicherheit und bei der Governance zu identifizieren. Doch die Praxis offenbart eine entscheidende Lücke: DSPM-Lösungen liefern zwar Erkenntnisse, haben aber keine operativen Möglichkeiten, um diese in konkrete Maßnahmen zu überführen.

Eine grundlegende Doppelfrage im Datenschutz ist: Wo befinden sich unsere sensiblen Unternehmensdaten, und wer hat Zugriff darauf? Die Antwort darauf zu finden, ist meist schwieriger als gedacht. Denn jahrelanges exponentielles Datenwachstum, Veränderungen in der IT-Infrastruktur, die rasante Einführung von Cloud-Lösungen und eine Vielzahl weiterer Faktoren machen diese Fragestellung hochkomplex. Ein Großteil der Unternehmensdaten liegt heute außerdem in unstrukturierter Form vor, etwa in E-Mails oder Dokumenten. Diese Dateien unterliegen oft mehrstufigen Zugriffsberechtigungen und uneinheitlichen Richtlinien.

Viele Unternehmen haben diese Probleme bereits erkannt und Millionen für DSPM-Lösungen ausgegeben, nur um dann festzustellen, dass diese Einblicke in mögliche Risiken geben, aber kein direktes Handeln erlauben. Zwar decken sie auf, wo potenzielle Probleme bestehen und was sich ändern muss. Doch Nutzer können aus diesen Erkenntnissen keine Aktionen ableiten.

Erkenntnisse ohne Maßnahmen

Die Situation entsteht dadurch, dass viele Firmen Datensicherheit und Governance viel zu lange vernachlässigt haben, weil die Modernisierung der Kerninfrastruktur und Initiativen zur digitalen Transformation im Vordergrund standen.

Als Reaktion darauf hat sich jetzt DSPM als Lösungskategorie etabliert. Die Technologie eröffnet strukturierte Einblicke zur Datengefährdung, sodass Sicherheits- und Governance-Teams Risiken bewerten und Lücken in der Zugriffskontrolle identifizieren können. Tatsächlich lassen sich mithilfe von DSPM in vielen Unternehmen potenziell schwerwiegende Probleme erkennen, die sonst in großen Dateibeständen unentdeckt blieben. Diese reichen von verwaisten Daten über zu weit gefasste Zugriffsberechtigungen bis hin zur Nutzung ungeeigneter Speicherorte.

Genau an diesem Punkt stoßen die DSPM-Prozesse allerdings häufig an ihre Grenzen. Die Lösungen zeigen zwar, wo Richtlinien und Realität auseinanderliegen. Doch daraus folgt nicht automatisch, dass Unternehmen diese Erkenntnisse in konkrete Verbesserungen umsetzen können. Diese Diskrepanz zwischen Wissen und Handeln führt im Endeffekt dazu, dass Unternehmen zwar ihre Risikosituation besser verstehen, sich die zugrunde liegende Gefährdung jedoch kein bisschen geändert hat.

Herausforderung im großen Maßstab

Die übermäßige Vergabe von Berechtigungen etwa ist in vielen Unternehmen ein Missstand. Ihn aufzuspüren, ist eine Sache, ihn in Hunderttausenden von Verzeichnissen zu beheben, jedoch eine ganz andere Herausforderung.

Ein weiteres Beispiel sind große NAS-Umgebungen, in denen eine einzige administrative Änderung Millionen von Dateien betreffen kann oder in denen Berechtigungen oft tief in komplexen Vererbungsstrukturen eingebettet sind. Ebenso gibt es vielleicht Sicherheitsrichtlinien, doch häufig ist kein automatisierter Mechanismus vorhanden, mit dem sich überprüfen lässt, ob die Live-Umgebung diesen auch entspricht.

Oft sind erhebliche Änderungen erforderlich, um solche datenbezogenen Risiken zu beseitigen. Und das möglichst, ohne die Geschäftsabläufe zu stören. Es gibt aber selten eine klare Methodik, um DSPM-Ergebnisse in Form von konformen, wiederholbaren Abhilfemaßnahmen umzusetzen. Hinzu kommt, dass mit zunehmendem Erkenntnisgewinn der Druck von operativer Seite wächst.

Die Funktionslücke schließen

Die fehlende Komponente im DSPM-Ansatz ist Datenmobilität. Um die Handlungslücke zu schließen, müssen beide Funktionen miteinander verzahnt sein. Nur so können Unternehmen eine Feedbackschleife aus Erkennung, Klassifizierung, Behebung, Verifizierung und kontinuierlicher Überwachung etablieren – und die Daten-Governance durch praktische Maßnahmen unterstützen.

Angenommen, ein globaler Konzern übernimmt ein weiteres Unternehmen. Quasi über Nacht landen Millionen von Dateien, Datenbanken und Cloud-Buckets des akquirierten Unternehmens in der vorhandenen IT-Umgebung. Niemand weiß genau, was sie enthalten oder wo sie sind. Hier setzt die Schleife an:

Erkennung: Im ersten Schritt geht es darum, alle Daten aufzufinden. Es heißt, Cloud-Speicher, SaaS-Apps, lokale Server und Datenpipelines zu durchsuchen, um eine umfassende Bestandsaufnahme zu machen. Anstatt bloß zu raten („Vermutlich befinden sich die Kundendaten irgendwo in diesen S3-Buckets“), kann jetzt auf eine klare, visuelle Zuordnung zugegriffen werden. Sie zeigt, welche Daten vorliegen und wo sie sich befinden.

Klassifizierung: Sind die Daten gefunden, geht es im nächsten Schritt darum, sie zu verstehen. Handelt es sich um Tabellen mit internen Budgetangaben oder um Listen mit Sozialversicherungsnummern? Personenbezogene Daten, Zahlungsdaten, Patientenakten oder Betriebsgeheimnisse werden entsprechend als solche gekennzeichnet. Jetzt weiß das verantwortliche Team nicht nur, wo die Daten liegen, sondern auch, welche Art von Informationen sie beinhalten und wie damit umgegangen werden muss.

Behebung: Sobald die Klassifizierung erfolgt ist, treten erste Probleme zu Tage. Möglicherweise befindet sich ein Ordner mit unverschlüsselten Kontonummern von Kunden in einem öffentlichen Speicherbereich, oder sensible Personalakten wurden an unbefugte Personen weitergegeben. Nun geht es darum, konkret zu handeln. Es reicht nicht aus, das Problem nur aufzuzeigen, sondern die Daten müssen verschoben, mit beschränkten Zugriffsrechten versehen, verschlüsselt oder gelöscht werden, um Compliance-Anforderungen zu erfüllen. So kommt die Governance voll zum Tragen.

Verifizierung: Jetzt muss überprüft werden, ob die Problembehebung erfolgreich war. Befinden sich die Dateien nun an der richtigen Stelle? Wurden die Berechtigungen eingeschränkt? Sind sensible Daten ordnungsgemäß maskiert? Es heißt sicherzustellen, dass die einzelnen Maßnahmen wie vorgesehen gegriffen haben.

Überwachung: Daten sind immer in Bewegung. Ständig werden neue Dateien erstellt, geteilt oder verschoben. Das Monitoring offenbart, wenn Daten gegen Vorschriften verstoßen oder neue vertrauliche Informationen hinzukommen. In diesem Fall beginnt die Schleife wieder von vorne, mit der Erkundungsphase.

Fünf Schritte zu mehr Datenkontrolle

In diesem Beispiel ermöglichen Datenmobilität und Zugriffsberechtigungen, dass DSPM-Erkenntnisse nicht nur dokumentiert, sondern auch korrigiert werden. Auch bei Migrationen und Konsolidierungsprojekten bietet dieser schrittweise Prozess den idealen Ansatz, um Berechtigungen zu vereinheitlichen und Richtlinien zuverlässig durchzusetzen: Im Rahmen von Datenverschiebungen lassen sich Zugriffsstrukturen den Governance-Anforderungen anpassen, anstatt sie unverändert zu übernehmen.

Grundsätzlich reicht es für einen effektiven Datenschutz nicht aus, zu wissen, wo regulierte oder sensible Daten gespeichert sind. Unternehmen müssen auch in der Lage sein, diese Daten so zu verschieben und zu verwalten, dass ihre Integrität gewahrt bleibt. In der Praxis bedeutet dies, das Posture Management in die Datenmanagement-Plattformen einzubetten.

Denn wenn Erkennungstools und Datenmobilitäts-Funktionen nur isoliert voneinander eingesetzt werden, erfolgt die Risikoerkennung unter Umständen viel schneller als die Risikobeseitigung. Unternehmen bleiben dann über längere Zeiträume hinweg bekannten Sicherheitsrisiken ausgesetzt. Wenn die beiden Funktionen hingegen zusammenspielen, dann wird die Problembehebung einfach Teil der regulären Betriebsabläufe.

* Der Autor: Sascha Hempe, Regional Sales Manager DACH & Nordics

„Speicherhungrig“ – der Storage-Insider-Podcast, Folge 17

Speichergrößen: Sascha Hempe, Datadobi

(ID:50870647)