Sensible Daten in Elastic-Clustern und Logfiles gesetzeskonform bearbeiten Daten in Elasticsearch-Clustern DSGVO-konform speichern

Anbieter zum Thema

Dell GmbH

PoINT Software & Systems GmbH

Fujitsu Technology Solutions GmbH

Eines der meistgenutzten Tools zur zentralen Speicherung und Analyse von Big Data sind Elasticsearch-Datencluster. Die Verantwortung für die Sicherheit der Daten liegt bei dem Unternehmen, das die Informationen erhebt und speichert. Bisher wissen viele IT-Entscheider nicht, wie sie der DSGVO sowie den Ansprüchen ihrer Kunden im Umgang mit Elasticsearch gerecht werden sollen, was immer wieder zu Datenlecks führt.

Die Masse sensibler Daten in unterschiedlichen Systemen und ein fehlendes Risikomanagement stellen CIOs in der Umsetzung der DSGVO in Bezug auf Big Data immer noch vor enorme Herausforderungen. Die Folgen daraus sind, dass Unternehmen oft gar nicht wissen, wo genau personenbezogene Daten gespeichert sind und wer darauf Zugriff hat.

Diese Vorgehensweise wird wider besseres Wissen in Kauf genommen, obwohl sie zwei zentralen Bestandteilen der Grundverordnung widerspricht. Dazu gehören, den Zugriff auf personenbezogene Daten nachverfolgen zu können und zu reglementieren, und das „Recht auf Vergessenwerden“, also als Kunde von einem Unternehmen die Löschung eigener Daten verlangen zu können. Das Risiko, die Anforderungen der DSGVO nicht erfüllen zu können, ist damit sehr hoch, und Verstöße dagegen sind leider an der Tagesordnung.

Eines der meistgenutzten Tools zur zentralen Speicherung und Analyse großer Datenmengen sind Elasticsearch-Datencluster. Die Verantwortung für die DSGVO-konforme Speicherung und Bearbeitung der Daten liegt jedoch beim Unternehmen, das die Daten erhebt und bearbeitet. Dass viele IT-Entscheider nicht wissen, welche Maßnahmen dafür ergriffen werden müssen, zeigt sich an den Dutzenden Fällen großer Datenlecks durch ungesicherte Elasticsearch-Datenbanken wie zum Beispiel bei Conrad Electronic.

Die wichtigsten im Tipps zur sicheren Speicherung im Überblick:

1. Das „Need-to-Know“-Prinzip oder das „Prinzip des geringsten Privilegs“

Zugriffskontrollen sollten es autorisierten Benutzern ermöglichen, nur auf die minimal notwendigen Informationen zuzugreifen, die für die Ausführung von Arbeitsaufgaben erforderlich sind. Rollenbasierte Zugriffskontrollen definieren, auf welche Elasticsearch-Indizes ein Benutzer zugreifen kann und was der Benutzer mit den Daten tun kann.

2. Zugriffskontrolle auf PII-Dokumente und -Felder

Je nach zugewiesener Rolle werden Felder mit Persönlich identifizierenden Informationen (PII) oder sensiblen Daten wie Klarnamen, E-Mail-Adressen und Kreditkartendetails unberechtigten Benutzern nicht angezeigt, wenn Dokumente, die diese Informationen enthalten, aufgerufen werden. Die Felder können entweder komplett entfernt oder deren Inhalt anonymisiert werden.

3. Nachverfolgung des Zugriffs auf PII-Daten

Gemäß DSGVO hat ein Benutzer das Recht zu erfahren, wer auf seine PII-Daten zugegriffen hat, wann das geschah und zu welchem Zweck. Ein User kann auch Informationen darüber verlangen, welche PII-Daten gespeichert werden oder wurden. Dazu gehört auch zu wissen, wie sich diese Daten im Laufe der Zeit verändert haben.

IT-Sicherheitsteams sollten in der Lage sein, den Zugriff bis auf die Feldebene eines Dokuments nachzuverfolgen. Dafür wird ein Audit-Trail aller Zugriffsaktivitäten erstellt. Der Audit-Trail enthält das Datum des Zugriffs, den Benutzernamen, die Dokument-ID und eine Liste der personenbezogenen Felder, die im Ergebnis enthalten waren.

Eine Funktion wie Write History Audit Trail dokumentiert die Lebensdauer von sensiblen und PII-Daten. Wenn zum Beispiel die E-Mail-Adresse eines Kunden aktualisiert wird, kann festgestellt werden, wann und von wem die Änderung vorgenommen wurde und wie die Änderung aussieht.

4. Löschen von PII-Daten: „Right to be forgotten“

Werden PII-Daten nicht mehr für unternehmenskritische Prozesse wie etwa Abrechnungsvorgänge benötigt, so müssen sie gelöscht werden. Kunden können die Löschung ihrer persönlichen Daten laut GDPR auch explizit von Unternehmen verlangen. Das Unternehmen ist in der Pflicht, die Löschung der Daten nachzuweisen. Zur Protokollierung der Datenlöschung können ebenfalls Funktionen wie ein Write History Audit Trail verwendet werden.

5. Zeitnahe Meldung von Verstößen

Unberechtigte Zugriffe oder gar der Verlust von PII-Daten müssen innerhalb von 72 Stunden sowohl den zuständigen Aufsichtsbehörden als auch den Benutzern selbst mitgeteilt werden. Hierzu ist neben der oben genannten kontinuierlichen Überwachung der Zugriffe auch eine Prüfung auf Anomalien in den Zugriffsmustern notwendig. Tritt eine Anomalie auf, muss diese detektiert und gemeldet werden.

Fazit

Unternehmen müssen neben der DSGVO viele weitere Compliance-Vorschriften umsetzen, wie Health Insurance Portability and Accountability Act (HIPAA), Payment Card Industry Data Security Standard (PCI) oder Sarbanes-Oxley Act (SOX).

Voraussetzung, um Daten, die in einem Elasticsearch-Cluster oder in Logfiles gespeichert sind, gemäß der gesetzlichen Vorschriften zu verwalten und zu bearbeiten, sind:

• Rollenbasierte Zugriffskontrolle (RBAC) für jeden Index,

• Zugriffskontrolle auf PII-Dokumente und PII-Felder,

• Verschlüsselung für Daten,

• Anonymisierung von Daten,

• Verfolgung des Datenzugriffs,

• Verfolgung von Datenänderungen,

• Protokollierung von Datenlöschungen,

• Überwachen der Datenzugriffe auf Anomalien,

• zeitnahe Meldung von Anomalien.

*Der Autor: Jochen Kressin ist Geschäftsführer der floragunn GmbH, Hersteller des Security-Plug-ins Search Guard für Elasticsearch.

(ID:47059774)