Eine kurze Einführung in IRM

Eine IRM – Lösung schützt nicht nur vertrauliche Informationen vor unautorisiertem Zugriff, sondern gewährt darüber hinaus permanenten Schutz der Objekte, egal wo diese befinden und auf welchem Wege sie dort hin gelangen.
IRM – Lösungen werden verwendet, um sensible Dokumente wie Finanzdaten, geistiges Eigentum, Geschäftspläne, Kundenlisten oder persönliche Informationen zu schützen. Der Schutz wirkt auf viele unstrukturierte Formate wie Office – Dokumente, E-Mails, Webseiten, Zeichnungen und Bilder.

Generelle Überlegungen
Jede erfolgreiche Einführung einer Technologie sollte immer mit dem Hauptaugenmerk auf die Lösung einer Aufgabenstellung starten, ohne sich von Beginn an auf die Technologie zu fokussieren. Dies gilt sicherlich auch für IRM – Lösungen.
Vor der technischen Implementierung sollten fünf wichtige Punkte geklärt werden:

1.Gibt es Data Governance und Klassifizierungsrichtlinien?
Eine IRM – Lösung unterstützt Organisation bei der Durchsetzung ihrer Sicherheits- und Klassifizierungsrichtlinien. Verfügt das Unternehmen nicht über solche Richtlinien ergibt der  Einsatz von Lösungen dieser Art keinen Sinn? Die Definition entsprechender Regeln ist unumgänglich. Es muss geklärt werden, was geheim, was vertraulich ist und was öffentlich ist. Auch die Festlegungen was erlaubt und was nicht erlaubt ist, sind im Vorfeld festzulegen und zu dokumentieren.

2.Was sind kritische Daten und wo befinden sie sich im Unternehmen?
Nach der Festlegung welche Daten sensibel sind, sollte im nächsten Schritt analysiert werden, wer diese erstellt, wer sie benutzt und wo sie sich befinden bzw. gespeichert sind. Viele Organisationen haben nur unzureichende Kenntnisse über den Datenfluss innerhalb und / oder außerhalb des Unternehmens. Eine Datenfluss-Analyse gibt Aufschluss darüber und was noch wichtiger ist, sie bezieht die Abteilungen bei der Festlegung, was kritisch ist und was nicht, mit ein.

3. Welche Authentifizierungsverfahren werden angewandt?
Die Authentifizierung ist eine der wichtigsten Voraussetzungen für alle Sicherheitssysteme. Ist diese anfällig für Angriffe, wird das gesamte System gefährdet und führt letztendlich zum Verlust von Informationen. Welche Verfahren gewählt werden, ist für IRM-System von entscheidender Bedeutung. Ob Single Sign On mit vorhandenen Identity Management (IM) Infrastrukturen, ein eigenständiges System innerhalb der IRM Lösung selbst oder eine Kombination aus beiden, ohne Authentifizierung scheitert die Einführung von IRM Technologien. Für besonders kritische Daten sollte eine Multi-Faktor-Authentifizierung in Betracht gezogen werden.

4.Und nach dem Roll Out?
Die meisten Technologie-Projekte konzentrieren sich auf die Auswahl und Implementierung von Produkten. Aber was passiert nach der erfolgreichen Abschluss der Installation? Ist das Projekt damit abgeschlossen? Wurden alle gesteckten Ziele erreicht?
In Sicherheitsprojekten, beginnt die kritische Phase nach der Implementierung der Technologie. Es ist unabdingbar, die Wirksamkeit der installierten Anwendung zu überwachen. Setzen die Benutzer die Lösung ein oder nicht? Wenn nein, warum nicht? Worin besteht der eigentliche Nutzen? Werden die Beobachtungen dokumentiert, Probleme eskaliert? Werden neue Erkenntnisse erfasst? Neue Anwendungsbereiche identifiziert? Fragen auf die nur ein gelebter Optimierungs- und Verbesserungsprozess Antwort geben kann. Der Schlüssel ist die effiziente Gestaltung des IRM Lebenszyklus.

5.Audit Listen und Compliance?
Es ist sehr wichtig Listen über die Nutzung vertraulicher Dokumente zu erzeugen. Diese sollen  Details darüber enthalten, wer, wie, wann und wo auf die Informationen zugegriffen hat. Die Aufzeichnungen weisen nach, dass die Sicherheitsmaßnahmen wirksam sind und verhindern, dass Informationen abfließen. Zudem helfen sie den Organisationen gesetzliche Vorschriften wie SOX, HIPAA und Gramm-Leach-Bliley einzuhalten, die von Unternehmen verlangen, dass sensible Informationen vor unerlaubten Zugriffen zu schützen sind.

Zusammenfassung

Wie bei anderen Technologien auch sollte das „Pferd nicht vom Schwanz aufgezäumt“ werden und Prozesse zur Überwachung der Zielerreichung vor dem Start eines IRM Projekts initiiert werden.

IRM – Lösungen sind ein wichtige Bausteine von Sicherheitslösungen in den Unternehmens. Es ermöglicht Unternehmen und Anwender, sensible Informationen nicht nur innerhalb, sondern auch außerhalb der Organisationsgrenzen zu schützen. Daher ist es entscheidend, eine ganzheitliche Sicht auf IRM Einsatz anzustreben. Nicht nur die erfolgreiche Einführung, sondern darüber hinaus die effiziente und konsequente Nutzung der Lösung ist für den Erfolg bzw. Misserfolg von entscheidender Bedeutung.

Ein dynamisches Enterprise Content Management System, in dem Dokumente hochgeladen / heruntergeladen werden und via verschiedener Arten und Vorgaben genutzt werden, muss oft mit Sicherheitsrisiken und Bedrohungen kämpfen, insbesondere nachdem vertrauliche Informationen aus SharePoint heruntergeladen wurden.

Daher ist es wichtig, eine geeignete Sicherheitstechnologie einzusetzen, die Informationen schützt nachdem diese aus dem SharePoint Repository heruntergeladen wurden. Wenn Seclore FileSecure in einen Microsoft SharePoint Server (MOSS) integriert wird, steigert es die vorhandenen Sicherheits-Features und bietet einen hervorragenden Datenschutz um vertrauliche Informationen zu kontrollieren, insbesondere im Management und Austausch von Informationen über SharePoint.

Seclore FileSecure schützt den Inhalt der Informationen, nachdem diese durch SharePoint heruntergeladen wurden und beschränkt die Nutzung auf bestimmte Nutzer oder Gruppen (WER). Es kann den Informationsaustausch auf bestimmte Computer und Netzwerk-IP-Adressen beschränken (WO) und dadurch eine zusätzliche Kontrollebene beim Zugang zum System außerhalb des Unternehmens schaffen. Es kann auch die Nutzung beschränken (WAS), wie z.B. das Anzeigen von Inhalten, Bearbeiten, Drucken oder Weiterverteilen. Darüber hinaus kann mit Seclore FileSecure eine zeitlich gebunden Einschränkungen (WANN) auf Informationen, wie “bis 19. August 2011″ oder “2 Tage”, einfach realisiert werden.

Zusätzlich bietet Seclore FileSecure auch eine umfassende Protokollierung der heruntergeladenen Inhalte, darunter eine umfassende Verfolgung der Nutzung der Informationen, sobald diese das SharePoint-System verlassen haben. Autorisierte Aktionen sowie auch unautorisierte Zugriffsversuche werden für alle Dokumente, innerhalb und außerhalb von SharePoint, gespeichert. Dies hilft den Unternehmen, Regulierungs-und Compliance-Frameworks wie ISO, Sarbanes-Oxley und HIPAA zu erfüllen.

Seclore FileSecure WebConnect ermöglicht einen komplett browserbasierten Zugriff auf geschützte Informationen. Das Herunterladen und Installieren von Desktop Clients entfällt. Administratorrechte sind nicht weiter erforderlich. Die neue Version wird im erheblichen Umfang dazu beitragen, dass IRM geschützte Dokumente mit externen Partnern ausgetauscht und auf mobilen Endgeräten angezeigt werden können.

Mumbai, Indien 20. September 2011: Seclore kündigt heute die Freigabe des weltweit ersten vollständig browserbasierten IRM – Systems an. Seclore FileSecure, “das integrationsfreundlichste IRM – System der Welt” erhält mit Seclore FileSecure WebConnect eine Erweiterung, die den Zugriff auf IRM geschützte Inhalte im Browser ermöglicht.

Der Austausch vertraulicher Informationen mit externen Partnern wie Kunden, Lieferanten, Anwälten und Wirtschaftsprüfer sollte durch IRM Technologien geschützt werden. Da auf der Empfängerseite ein Desktop Client installiert werden muss, ist dieses Verfahren oft langwierig und umständlich, zumal nicht selten die IT-Teams vom Absender und vom Empfänger involviert werden müssen.

Ohne einen Client herunterladen und installieren zu müssen, können externe Benutzer mittels Seclore FileSecure WebConnect sich authentifizieren und auf geschützte Inhalte unmittelbar zugreifen. Einzige Voraussetzung ist ein moderner Browser. Das System wurde getestet auf Internet Explorer, Firefox, Chrome, Safari und Opera. Sollte aber mit jedem anderen Browser ebenfalls funktionieren.

„Aus unserer Erfahrung sind die größten Hindernisse bei der unternehmensweiten Einführung von IRM – Systemen, dass

1. für das Herunterladen und Installieren von Desktop Clients Administratorrechte erforderlich sind
   und
2. ein Zugriff auf geschützte Dokumente auf mobilen Endgeräten nicht möglich ist.

Wir glauben, dass wir durch die komplett browserbasierten Schnittstelle von Seclore FileSecure diese Einschränkungen vollständig aufheben konnten und sind sicher, dass dies Seclore FileSecure für externe Partner zum benutzerfreundlichsten IRM – System der Welt machen wird! “Vishal Gupta, CEO von Seclore.

„Da Konzepte wie ‘Bring Your Own Device (BYOD)’ heute stetig an Bedeutung gewinnen, glaube ich, dass WebConnect die Unternehmen einfach und schnell in die Lage versetzt, auch mit nicht kontrollierten Endgeräten innerhalb und außerhalb der Unternehmensgrenzen den sicheren Austausch vertraulicher Daten zu gewährleisten.“ fügt Ahijit Tannu, CTO von Seclore hinzu.

Über Seclore

Seclore ist ein schnell wachsender vom IIT Bombay geförderter Softwarehersteller. Seclore FileSecure und Seclore InfoSource tragen dazu bei, die Risiken zu minimieren, die aus einem Datenverlust und aus dem Verstoß gegen gesetzliche Datenschutzbestimmungen entstehen. Gleichzeitig werden die Möglichkeiten zur sicheren Zusammenarbeit gefördert und erweitert. Erreicht wird dies durch die Bereitstellung einer weit verbreiteten Technologie zum Schutz und zur Steuerung von Informationen. Die Lösung lässt sich

1. nahtlos in vorhandene Infrastrukturen integrieren, ist
2. einfach zu implementieren und anzuwenden und bietet
3. mit der pay-as-you-use Preisgestaltung ein attraktives Lizenzmodell.

Seclore verfügt weltweit über Kunden aus allen Branchen.

Mehr Informationen erhalten Sie unter www.seclore.com

Welche? Lesen Sie selbst:

Tipp1: Sehen Sie den Tatsachen ins Auge, denn

Et es wie et es. („Es ist wie es ist.“) – Artikel 1:
Die Welt ist schlecht und böse Admins, mit uneingeschränkten Rechten ausgestattet, treiben überall ihr Unwesen. Mobile Endgeräte, ein schnelles Internet und die Verfügbarkeit von Daten zu jeder Zeit an nahezu jedem Ort, machen die Lage für die Unternehmen unbeherrschbar.

Tipp2: Unternehmen Sie nichts und fügen Sie sich Ihrem Schicksal, denn

Et kütt wie et kütt. („Es kommt wie es kommt.“) – Artikel 2:

Da Sie eh den Lauf der Dinge nicht ändern können, ist eine gute Portion Fatalismus durchaus angebracht. Nach den Gesetzen der Wahrscheinlichkeit wird zwar auch Ihr Unternehmen früher oder später von einem Datenleck heimgesucht, aber das muss ja nicht gleich morgen sein.

Tipp3: Vertrauen Sie vielmehr auf Ihre langjährige Erfahrung, denn

Et hät noch immer joot jejange („Es ist immer noch gut gegangen.“) – Artikel 3:
Was gestern gut gegangen ist, wird bestimmt auch morgen gut gehen. Natürlich gibt es Erkenntnisse und Untersuchungen darüber, dass ein Datenleck ein Unternehmen ruinieren kann, aber doch nicht das Ihrige.

Tipp4: Und wenn doch, denken Sie immer daran

Wat fott es, es fott („Was fort ist, ist fort.“) – Artikel 4: .
Nachdem vertrauliche Informationen Ihr Unternehmen unerlaubt verlassen haben, ist es eh zu spät. Elektronische Informationen kann man ja schließlich nicht zurückrufen wie schadhafte Produkte. Oder versuchen Sie mal, Zahnpasta wieder in eine Tube zu bekommen. Außerdem ist beruhigend zu wissen, dass Informationen gar nicht „fott“ sein können, sondern nur von Fremden mitbenutzt werden. Also Schwamm drüber und so tun als wäre nichts passiert, damit niemand etwas merkt.

Tipp5: Lehnen Sie sich entspannt zurück, denn Daten altern schnell. Sie wissen ja

Et bliev nix wie et wor („Es bleibt nichts wie es war.“) – Artikel 5:
Auch wenn Ihrem Wettbewerber Ihre Kalkulationen und Einkaufskonditionen jetzt vorliegen oder Sie sich nicht an die Vorschriften des Datenschutzes gehalten haben, die Welt von heute ist so schnelllebig, dass früher oder später der Inhalt veraltet sein wird.

Tipp6: Da für das Thema „Informationssicherheit“ einfach die Zeit fehlt, handeln Sie nach dem Grundsatz

Kenne mer nit, bruche mer nit, fott domet. („Kennen wir nicht, brauchen wir nicht, fort damit.“) – Artikel 6:
Stellen Sie sich vor, Sie müssten sich jetzt auch noch um die Informationssicherheit kümmern, dann kämen Sie ja zu überhaupt nichts mehr. Ihr Kerngeschäft hat Priorität und ein paar andere Dinge auch noch.

Tipp7: Beantworten Sie Frage

Wat wells de maache? („Was willst du machen?“) – Artikel 7:
mit einem klaren und unmissverständlichen „Nix“. Klarheit und Transparenz ist angesagt. Alles andere würde nur zu kostspieligen Diskussionen und langatmigen Besprechungen führen.

Tipp8: Sollten Sie sich dennoch entscheiden, tätig zu werden, dann beherzigen Sie bitte

Maach et joot, ävver nit zo off. („Mach es gut, aber nicht zu oft.“) – Artikel 8:
Machen Sie nur das Notwendigste, schonen Sie Ihre Kräfte und Nerven und verzichten Sie auf prophylaktische Maßnahmen, die zwar Schaden abwenden und sogar Kosten sparen mögen, wichtig ist jedoch, die richtigen Dinge zu tun. Die Dinge richtig tun würde nur eine kontinuierliche Beschäftigung mit der Materie nach sich ziehen und das will nun wirklich keiner.

Tipp9: Stellen Sie lieber die Grundsatzfrage

Wat soll dä Quatsch? („Was soll der Quatsch?“) – Artikel 9:

Datenklau, Bundesdatenschutzgesetz, Sarbannes Oxley, Basel II und III, ISO27001, Grundschutzhandbuch, Wikileaks, Schutz vertraulicher Daten, Industriespionage, Informationssicherheit, Datenschutzbeauftragter, Risikomanagement, mobile Endgeräte, Zusammenarbeit mit externen Partnern. Ich bitte Sie, das hat doch nichts mit Ihrem Unternehmen zu tun.

Tipp10: Sollten allerdings bei Ihnen Zweifel aufgekommen sein, Sie Fragen haben oder weiterführende Informationen benötigen, dann laden wir Sie im Sinne

Drenkste eene met? („Trinkst Du eine mit?“) – Artikel10:

herzlich zu einem Gespräch und einer frisch aufgebrühten Tasse Kaffee ein.

Tipp11: Bitte nehmen Sie nicht alle Empfehlungen für bare Münze. Auch wenn das Thema sehr ernst ist, hoffen wir, dass Sie Ihren Humor nicht verlieren und am Ende mit uns einstimmen können

Do laachs de disch kapott („Da lachst du dich kaputt.“) – Artikel 11:

denn schließlich gibt es für alle Fälle auch ein Notstandsgesetz und das lautet:

Et hätt noch schlimmer kumme künne. („Es hätte noch schlimmer kommen können?“)

In diesem Sinne freuen wir uns „mit Sicherheit“ auf Ihre Kontaktaufnahme und viele interessante Gespräche.

]]> http://www.information-rights-management.com/datenschutz-und-das-rheinische-grundgesetz/feed/ 1 http://www.information-rights-management.com/information-rights-management-in-der-praxis/ http://www.information-rights-management.com/information-rights-management-in-der-praxis/#comments Thu, 15 Sep 2011 13:11:32 +0000 Hans http://www.information-rights-management.com/?p=475 Das sollten Sie klären bevor Sie starten

Information Rights Management (IRM) ist eine äußerst effektive Technologie, um vertrauliche Daten zu schützen. Der erfolgreiche Einsatz setzt allerdings voraus, dass dem Umgang mit sensiblen Dokumenten in der heutigen Geschäftswelt die notwendige Bedeutung und Beachtung beigemessen wird.

Darum ist es nicht verwunderlich, dass IRM Lösungen überwiegend in den Arbeitsgruppen erfolgreich eingeführt wurden, in denen sich die Mitglieder des Wertes der Dokumente, mit denen sie täglich zu tun haben, bewusst sind. Als Beispiele seien hier Forschergruppen, Marketingabteilungen und Vertriebs- und Projektteams genannt.

Folglich ist es wichtig, die Anforderungen richtig zu ermitteln und die Erwartungen an das Lösungssystem möglichst genau zu bestimmen. Die Antworten auf nachfolgende Fragen helfen Ihnen herauszufinden, welche Anwender oder Gruppen für eine IRM Einführung in Frage kommen:

1. Welche Informationen müssen geschützt werden?
Definieren Sie für welche Informationen ein Schutz unbedingt erforderlich ist. Die Anwendung von IRM Lösungen auf alle Dokumente macht in den seltensten Fällen Sinn, deshalb ist diese Festlegung von großer Bedeutung.
2. Welche Geschäftsbereiche erstellen die Dokumente?
Die Mitarbeiter dieser Bereiche sind verantwortlich für die Vergabe von Nutzungsrechten und die Durchsetzung der Sicherheitsrichtlinien für ihre Informationen
3. Welche Geschäftsbereiche / externe Partner benötigen einen Zugriff auf die Dokumente?
Welche Nutzern / Gruppen / externe Partner müssen Rechte an den Dokumenten erhalten? Und wie müssen diese Rechte aussehen ( nur Lesen, Drucken, Weiterverteilen, Ändern, etc. )? Wann und wo darf auf die Informationen zugegriffen werden? Wie lange?
4. Mit welchen Anwendungen werden vertrauliche Inhalte erzeugt / verarbeitet?
Es ist möglich, dass im Zuge von Prozessautomatisierungen auch Anwendungssysteme einen Zugriff auf vertrauliche Informationen benötigen (z.B. Import von Kalkulationstabellen , ERP, ECM, etc.).
5. Welche Dateitypen und Anwendungen sollen unterstützt werden?
Welche Office Versionen werden genutzt, welcher Email Client ist im Einsatz? …

Durch die Beantwortung dieser Fragen erhalten Sie Aufschluss darüber:

• wer Rechte vergeben können muss,
• wer Rechte erhalten muss, damit er auf den Inhalt zugreifen kann
  und
• welche Dateitypen, Anwendungen und-Plattformen unterstützt werden sollen.

Anschließend ist zu klären, ob alle Ziele realistisch sind und der Aufwand für das Training der Protektoren (diejenigen , die Rechte vergeben sollen) im überschaubare Rahmen bleibt.

Weitere wichtige Fragen sind:

• Gibt es die Möglichkeit, Prozesse zu vereinfachen (wie z. B. durch das Speichern der Dokumente in dedizierte und freigegebene Ordner, die eine automatische Rechtevergabe zur Verfügung stellen; HotFolder)?
• Hat die IRM Einführung einen unmittelbaren Einfluss auf den Arbeitsablauf?
• Werden alle Anwendungen und Dateiformate unterstützt?

Die Klärung dieser Basisfragen vor dem Start eines Projektes ist von elementarer Bedeutung für den Erfolg der Einführung einer IRM Lösung.

Im sechsten Teil unserer Reihe „Kriterien zur Bewertung von IRM Produkten“ beschäftigen wir uns mit der viel diskutierten Funktion, das Erstellen von Bildschirmfotos (Screenshots) und/oder anderen Aufzeichnungen (Screen Grabbing) von geschützten Dokumenten verhindern zu können.

Schauen wir uns zunächst einmal die unterschiedlichen Technologien zum Aufzeichnen von Bildschirminhalten an:

1. Nutzung der Betriebssystem Funktion „Druck“ oder „PrintScreen“
2. Verwendung von Screen Grabbing Tools wie SnagIt, Camtasia, Hardcopy etc. aber auch der Einsatz von virtuellen Umgebungen bzw. virtualisierten Desktops
3. Anwendung von Fernzugriffsprogrammen oder Webmeetings mittels WebEx, GotoMeeting oder andere
4. Abfotografieren mit Digitalkamera
5. Einsatz von VGA Hardwarerekordern ähnlich den Videorekordern

Die o.a. Übersicht ist sortiert nach der Komplexität, die eine Überwachung bzw. Verhinderung der Aufzeichnungsfunktion erfordert. Dies bedeutet im Einzelnen, dass

1. die Funktion „Druck“ durch simple Tastaturüberwachungstools verhindert werden
2. das Blockieren von Screen Grabbing Tools nicht mehr trivial ist, da die zahlreichen Anwendungen unterschiedliche Methoden anwenden. Vom Kopieren des Speichers bis zur hardwareseitigen Spiegelung kommen verschiedenste Techniken zum Einsatz
3. die Überwachung von Fernzugriffen und Webmeetings noch komplexer ist, da bei Verhinderung der Zugriffe die Möglichkeiten einer Zusammenarbeit zu sehr eingeschränkt würden
4. ohne gravierende Eingriffe in die Nutzerfreundlichkeit der Lösung ein Ausschalten dieser Methode nahezu unmöglich ist. Zwar ließe sich eine Lupe implementieren, so dass die Information nur ausschnittsweise bei gedrückter linken Maustaste lesen lässt („Spotlight“). Diese Art erweist sich jedoch sehr schnell als so umständlich, dass sie kaum von nutzern akzeptiert wird. Auch das Verbot von Handys mit Kameras im Unternehmen lässt sich immer weniger umsetzen.
5. Hardware basierte VGA Rekorder so gut wie gar durch Softwarelösungen blockieren lassen, da die Einschränkungen auf das Gesamtsystem zu gravierend wären (z.B. keine Projektorunterstützung mehr). Andererseits kann festgestellt werden, dass solche Anwendungen sehr selten sind und sich leicht auf physikalischer Ebene unterbinden lassen.

Insgesamt betrachtet wäre es wünschenswert, wenn Nutzer eines IRM Systems die Möglichkeit erhielten, einzelne Blockierungsmechanismen ein- bzw. ausschalten zu können. Weiterhin wäre es wünschenswert, wenn innerhalb der Schalter granulare Einstellungen möglich wären, wie z.B. mit oder ohne „“ Funktion oder Hardware basierte VGA Rekorder verfügbar oder nicht.

Bildet man die technischen Betrachtungen auf die Nutzeranforderungen ab, so ergibt sich folgendes Anforderungsprofil, was idealerweise erfüllt werden sollte:

• PrintScreen Funktionalität – sollte verhindert werden können

• Die Nutzung von Screen Grabbing Tools wie Snag It, Camtasia, …. – sollte verhindert werden können

• Der Einsatz von Fernzugriffsprogrammen / Webmeeting Tools wie Webex, GotoMeeting – sollte verhindert werden können mit der Möglichkeit des Ein- Ausschaltens

• Verhinderung von Digitalkameras etc. – sollte überprüft werden, da zu große Einschränkungen dazu führen, dass die Sicherheitslösungen nicht genutzt werden

• Hardware basierte VGA Rekorder – Da das Risiko gering ist, kann auf das Blockieren in den meisten Fällen verzichtet werden.

Diese Kriterien zur Auswahl einer IRM Lösung erwiesen sich in den meisten Projekten als pragmatischer und umsetzbarer Ansatz.

Eine Anmerkung zum Schluss: natürlich ist es möglich, dass jemand sich hinsetzt, Papier und Bleistift zur Hand nimmt und den Bildschirm einfach abschreibt. Wenn die vertrauliche Information nicht zu umfangreich ist, kann man sich eventuell den Inhalt auch merken und solange wir den Gedächtnislöscher nicht erfunden haben (Gruß an Men in Black), ist dagegen „kein Kraut gewachsen“.

Die größten Herausforderungen in diesem Zusammenhang sind

SPAM (Stupid, Pointless Annoying Message) Mails
und
die Sicherheit der E-Mail-Kommunikation.

Während das Thema SPAM hinreichend diskutiert wurde, hinkt die Beschäftigung mit der Sicherheitsproblematik von E-Mails weitestgehend hinterher.

Aufgrund der großen Verbreitung und Benutzerfreundlichkeit werden zunehmend auch sensible Informationen innerhalb und außerhalb von Unternehmen per E-Mail ausgetauscht. Geraten solche Informationen in die falschen Hände, absichtlich oder versehentlich, werden sie schnell zu einer Risikoquelle für Imageschäden, finanzielle Verluste und Verstöße gegen Compliancerichtlinien.

Für die Verschlüsselung von E-Mails stehen unterschiedliche Technologien verschiedener Hersteller zur Verfügung.

Der Vorgehensweise bei einer E-Mail-Verschlüsselung ist sehr einfach:

1. Der Absender verschlüsselt die E-Mail-Nachricht mit einem “Schlüssel”
2. Der “Schlüssel” wird dem Empfänger zur Verfügung gestellt.

Die Art und Weise wie dies bewerkstelligt wird variiert von Hersteller zu Hersteller

Der Empfänger verwendet den “Schlüssel” zur Entschlüsselung der Nachricht, um die Nachricht lesen zu können.

Die größte Gefahr birgt das “man-in-the-middle” Risiko. Es bedeutet, dass nicht autorisierte Empfänger einschließlich sogenannter Netzwerk – Spoofer (Fälschung von bzw. Vorgaukelung falscher Netzwerkadressen) oder E-Mail-Server-Administratoren, Zugriff auf vertrauliche E-Mails erhalten.

Die zentralen Fragen lauten deshalb:

“Wo liegen die Gefahren, die mit der E-Mail-Kommunikation verbunden sind?”
und
“Sind die gegenwärtigen Schutzsysteme ausreichend?”

Um dies besser verstehen zu können, hilft ein Blick auf den gesamten Lebenszyklus einer E -
Mail.

Er beginnt mit der E-Mail-Erstellung (durch den Absender)
-> setzt sich fort in der Übertragung der E-Mail (Absender Netzwerk, Absender E-Mail -
Server, Transit-Server, Empfänger E-Mail-Server, …)
-> über die E-Mail-Nutzung / Verarbeitung (auf der Empfängerseite)
-> die E-Mail-Archivierung
-> bis zur E-Mail-Löschung durch den Empfänger.

Wenn lediglich “man-in-middle”-Attacken während der Übertragungsphase vereitelt werden sollen, sind die oben genannten Verschlüsselungs-Technologien ausreichend. Wird allerdings ein Schutz über den gesamten Lebenszyklus angestrebt, müssen Maßnahmen ins Auge gefasst werden, die über diese Lösungen hinausgehen. Schaut man sich die häufigsten Ursachen für Datenpannen an, so findet man an erster Stelle den Missbrauch der Informationen durch autorisierte und berechtigte Empfänger, entstanden durch Fahrlässigkeit im Umgang mit vertraulichen Daten oder vorsätzlichem kriminellen Handeln.

Erforderlich ist somit ein Verfahren, mit der die Sicherheit von E-Mails über den gesamten
Lebenszyklus zur Verfügung gestellt werden kann, um zu verhindern, dass:

unberechtigte Empfänger Zugriff auf E-Mails haben
und
autorisierte Empfänger E-Mails missbrauchen können

Information Rights Management (IRM)-Lösungen bieten solche Verfahren an. IRM – Technologien nutzen einerseits standardisierte Verschlüsselung Technologien und vergeben darüber hinaus Richtlinien zur rechtmäßigen Nutzung durch autorisierte Benutzer.

IRM-Systeme bieten die Möglichkeit, nicht autorisierten Personen den Zugriff auf vertrauliche Informationen komplett zu verwehren (hier greift die Verschlüsselung) UND die Nutzung durch autorisierte Anwender zu steuern und zu überwachen. Neben grundlegenden Nutzungsrechten wie Bearbeiten, Drucken, Weiterleiten, etc. können weiterführende Rechte wie print-screen, Berarbeitungszeiträume und/oder Angaben zum Bearbeitungsort gewährt bzw. verweigert werden. Darüber hinaus stehen Mechanismen zur Protokollierung der E-Mail Nutzung zur Verfügung, unabhängig

vom Ort (innerhalb oder außerhalb des Unternehmens)
der E-Mail-Infrastruktur (z.B. Microsoft Exchange, Lotus Domino, Google Apps
gehostete E-Mail-Service)
dem E-Mail-Client (z.B. Outlook, Lotus Notes, Thunderbird, etc.)

des Absenders bzw. Empfängers.

IRM für E-Mails ist eine Sicherheitstechnologie, die E-Mails (Inhalte und Anlagen) selbst dauerhaft schützt und nicht die organisatorischen Grenzen, in denen diese verteilt werden.

Mit IRM kann der Absender bestimmen:

WER – Benutzer und/oder Gruppen innerhalb und außerhalb der Organisation.
WIE – Anzeigen, Drucken, Bearbeiten, Kopieren von Inhalten und weiterleiten.
WANN – Zeiträume (von – bis, ab, bis) oder Dauer (x Tage nach dem ersten Öffnen)
WO – dedizierte Computer- und Netzwerke (IP – Adressen)

seine E-Mails sehen und nutzen darf.
IRM Nutzungsrechte sind unabhängig vom E-Mail-System des Empfängers. Darüber hinaus bieten IRM-Lösungen die Möglichkeit, die Rechte zu einem beliebigen Zeitpunkt adhoc zu ändern, auch nachdem die E-Mail den Empfänger bereits erreicht hat. Diese “magische Funktion” ermöglicht es, Rechte zurückzuziehen oder im Extremfall E-Mails zu löschen unabhängig vom Speicherort.

Ein weiteres wichtiges Merkmal von IRM-Systemen ist die Monitoring- oder Tracking- Funktion. Diese zeichnet alle Aktivitäten in Bezug auf die E-Mail und die jeweiligen Anhänge auf. Alle erlaubten und nicht erlaubten Aktionen werden mit Datum, Uhrzeit und Ort protokolliert. Dies unterstützt die Unternehmen bei der Einhaltung von Compliance Richtlinien wie ISO, Sarbanes-Oxley, HIPAA, PCI, etc. Darüber hinaus ist die Funktion ein Instrument für die Nachweisbarkeit der E-Mail Kommunikation und bei forensischen Untersuchungen.

Übersicht über die wichtigsten Merkmale

Fazit:
Für den Schutz und die Sicherheit von E-Mails gibt es verschiedene Technologien, die in unterschiedlichen „Lebensphasen“ einer Email wirken. IRM die einzige Technologie, die den Schutz über den gesamten Lebenszyklus zur Verfügung stellt, unabhängig vom Übertragungsmedium, Speicherort und E-Mail-Infrastruktur auf der Absende- oder Empfangsseite.

Die meisten IRM Systeme besitzen keine eigene Nutzerverwaltung und somit kein eigenes Authentifizierungssystem. Die Sicherheit ist folglich abhängig vom verfügbaren Identity Management System. Ist dieses unausgereift ergeben sich negative Auswirkungen auf die Vertrauenswürdigkeit und Sicherheit der IRM Lösung.

Die Authentifizierung mittels Passwort ist ein Spagat zwischen Benutzerfreundlichkeit und Sicherheit. Sind die Anforderungen an die Bildung eines Passworts zu hoch, werden die Passwörter notiert, sind sie hingegen zu niedrig, werden sehr einfache Passwörter gewählt. In beiden Fällen leidet die Sicherheit! Zum Schutz der IT Infrastruktur wie z.B. Netzwerke, Anwendungen und auch Computer kommt immer häufiger die sogenannte Multi Faktor Authentifizierung zum Einsatz.

Diese Art der Authentifizierung besteht aus:

• Was man kennt: Nutzername, Passwort, Mädchenname der Mutter, Lieblingsfarbe, …

• Was man hat: Token, Chipkarte, Handy, …

• Wer man ist: Fingerabdruck, Stimme, Iris- / Gesichtserkennung

Im Kontext von IRM-Systemen ist die Unterstützung von Multi Faktor Authentifizierungen „nice to have“, aber nicht zwingend erforderlich. Handelt es sich bei den zu schützenden Objekten allerdings um sehr vertrauliche Informationen kann die Unterstützung von extremer Bedeutung sein.

Idealerweise sollte ein IRM-System die Anforderungen an eine Multi Faktor Authentifizierung skalierbar unterstützen. Einige Optionen sind nachfolgend nach Kosten und Komplexität sortiert aufgelistet.

• 2 Faktor Authentifizierung: Diese Art der Überprüfung besteht aus dem „was man kennt“ (Nutzername / Passwort) und einem Element aus „was man hat“ (ein spezifischer Computer oder ein Netzwerkattribut). Gute IRM-Systeme bieten diese Funktionalität als Bestandteil des Produkts.

• 2 Faktor Authentifizierung mit Hilfe eines Tokens: Die Verifizierung des Nutzers erfolgt in diesem Fall über ein Token, das jedem Nutzer zur Verfügung gestellt wird. Mit Hilfe des Tokens wird ein OTP ( one time passwort ) generiert, dass neben dem Namen und dem Passwort des Nutzers für die Authentifizierung herangezogen wird. Diese Methode erweist sich für die Nutzung im Rahmen einer IRM Lösung als nicht praktikabel, da vertrauliche Informationen nicht selten an externe Partner verteilt und somit diese mit entsprechenden Token ausgestattet werden müssten. Da dieser Vorgang lange dauern kann, eignet sich die Methode kaum im IRM Kontext.

• 2 Faktor Authentifizierung ohne Token: Neben dem normalen Namen und Passwort des Anwenders wird als 2. Faktor eine mobile Applikation oder der SMS Service benutzt. Die Identifizierung des Nutzers wäre in diesem Fall sehr schnell, allerdings können Störungen in der SMS Kommunikation und der Internetverbindung auf dem Mobilfunkgerät zu Verzögerungen und Problemen führen.

Die zuverlässige und sichere Identifizierung der Nutzer eines IRM-Systems ist der Schlüssel zum nutzbringenden Einsatz einer solchen Lösung. Die Datenpannen bei Sony und das Hacken des bekanntesten Tokens RSA: SecureID in jüngster Vergangenheit machen deutlich, dass man auf dieses Kriterium in Zukunft ein besonderes Augenmerk legen muss.

Selbst wenn Nutzer Identitäten gestohlen oder Anwender mit krimineller Energie ihre Berechtigungen weitergeben, können vertrauliche Informationen mittels Multi Faktor Authentifizierung geschützt bleiben. Dies geschieht durch die Festlegung, dass Informationen nur auf bestimmten physikalischen Maschinen verfügbar sind. Hierdurch erreicht man am einfachsten die Sicherheit, die durch die Multi Faktor Authentifizierung erreicht werden soll.

Im vierten Teil unserer Reihe „Krtierien zur Bewertung von IRM – Produkten“ beschäftigen wir uns mit den Anforderungen an die Unterstützung / Integration von Nutzerverwaltungssystemen.

Die Unterstützung der richtigen Nutzerverwaltung

Einer der wichtigsten Kriterien für die Akzeptanz eines IRM – Systems ist die richtige Wahl der Nutzerverwaltung. Die Identifizierung und das Management von Autoren und Bearbeitern einer vertraulichen Information sollte einerseits zuverlässig und andererseits einfach in vorhandene Infrastrukturen integrierbar sein.

Zuverlässig und sicher, damit es nicht kompromittiert werden kann und integrierbar damit eine Zentralisierung der Nutzerverwaltung möglich wird.

Um die Identität von Anwendern festzustellen, kann ein IRM-System sehr unterschiedliche Methoden anwenden. Die nachfolgende Aufstellung ist aufsteigend nach Komplexität und Eignung sortiert.

1. Die einfachste Art: Alle Nutzer werden vom IRM System verwaltet

Dies ist die einfachste und sicherlich auch die ungeeignetste Methode der Nutzerverwaltung, da jeder Anwender einen neuen Eintrag benötigt, um an der Kommunikation teilnehmen zu können. Doppelte Datenhaltung und Synchronisierungsprobleme sind die Folge. Zwar lässt sich der Prozess der Nutzerregistrierung teilweise automatisieren, eine redundante Verwaltung der Nutzer ist in seltenen Fällen eine gute Wahl..

2. Eine etwas bessere Methode: „Öffentliche“ Verzeichnisse ohne Verifikation

Die Anzahl der Mitglieder in „öffentlichen“ Verzeichnissen wie OpenID, Google, Facebook oder Yahoo, um nur einige zu nennen, nimmt ständig zu. Theoretisch ließe sich die Identität eines Nutzers auch über einen solchen „öffentlichen“ Provider feststellen. Als nicht akzeptablen Nachteil erweist sich jedoch der Umstand, dass keiner der Provider die Richtigkeit der Registrierung überprüft. So wird nicht verhindert, dass Susi Müller sich als Angela Merkel eintragen kann. Auch die Nutzung eines Verwaltungssystem einer Fremdfirma fällt in diese Kategorie.

3. Ausgereift, aber „abhängig“: „Öffentliche“ Verzeichnisse mit Verifikation.

Diese Art eines Verzeichnisdienstes wird von Drittanbietern zur Verfügung gestellt, die im gewissen Umfang eine Überprüfung der Anmeldungen vornehmen. Für diese Überprüfung werden häufig Mobilfunknummern oder digitale Signaturen herangezogen. Hierdurch wird verhindert, dass Susi Müller sich der digitalen Signatur von Angela Merkel bedienen kann oder mit ihrer Mobilfunknummer gelistet wird. Obwohl diese Methode vielfach anerkannt wird, ist zu beachten, dass sie fast immer von der Verlässlichkeit eines Drittanbieters abhängig ist.

4. Zuverlässig und vertraut: Nutzung bereits vorhandener „externer“ Verwaltungssystem

Für die Kommunikation mit externen Partnern nutzen die viele Unternehmen Systeme, die zur Identifikation der Teilnehmer zur Verfügung stehen.

Einige Beispiele hierfür sind:

Zulieferer ( Portale / Ausschreibungsplattformen ), Kunden ( Portale / Online Banking ), Partner, Wirtschaftsprüfer, Rechtsanwälte, Aufsichtsratsmitglieder ( Transaktions- und / oder Workflowsysteme ). IRM könnten diese Systeme zur Identifikation der Anwender nutzen. Dies hätte zur Folge, dass redundante Datenhaltungen entfallen und der Nutzer sich keine Gedanken über die Verifizierung der Teilnehmer machen muss, da dieser Dienst bereits von den vorhandenen Anwendungen zur Verfügung gestellt wird.

5. Zuverlässig in eigener Regie: Nutzung vorhandener interner Nutzerverwaltungen
Ähnlich wie unter 4. beschrieben nutzt das IRM-System interne Verwaltungssysteme bzw. schließt sich an diese an. Die meisten Unternehmen unterhalten Nutzerverwaltungssysteme für die Angestellten. Das verbreitetste System ist sicherlich Active Directory (AD) von Microsoft. Darüber hinaus stehen weitere ausgereifte Produkte zur Verfügung. Die Nutzung solcher Systeme verhindert ebenfalls redundante Datenhaltungen.

Die Forderungen an ein gutes IRM System lauten folglich:

1. Unterstützung verschiedener Nutzerverwaltungssysteme

2. Flexibilität in der Anbindung vorhandener Systems inklusive der Möglichkeit eines Wechsels zu einem späteren Zeitpunkt.
In den meisten Fällen ist die Unterstützung mehrerer Verwaltungssysteme gleichzeitig gefordert.

Typische Szenarien sind:

Beispiel 1:

1. Mitarbeiter: Microsoft AD (inkl. Forest, Vertrauensstellungen, sub-domains, etc.)
2. Zulieferer: Portale
3. Kunden: Identifizierungssysteme auf der Basis der E-Mail Adressen

Beispiel 2:

1. Mitarbeiter: Lotus Notes ( Directory Server )
2. Kunden: Online Banking Systeme
3. Berater und Prüfer: Identifizierungssysteme auf der Basis der E-Mail Adressen

Zusammenfassend kann gesagt werden, dass für die Akzeptanz einer IRM Lösung zukünftig die Verfügbarkeit eines Identity Federation Frameworks von entscheidender Bedeutung ist. Identity Federation ist eine Technologie, die es ermöglicht, Authentisierungs-, Autorisierungs- und Identity-Informationen gesichert von einer Security Infrastruktur zu einer anderen zu übertragen. Dies wird vonnöten, da die Unternehmen nicht mehr nur Identitäten und Zugangsberechtigungen für interne Benutzer verwalten müssen, sondern auch für eine steigende Zahl externer Benutzer.
Seclore und ihre zertifizierten Partner helfen den Unternehmen bei der Definition und Erhebung der kundenspezifischen Anforderungen. Nutzen auch Sie diese Expertise und kontaktieren uns noch heute.

Beginnen wollen wir mit „nicht technischen“ Begriffsbestimmungen:

Was ist DLP?

DLP verhindert einen Datenverlust, in dem Dokumente / Emails / …. auf vordefinierte Schlüsselbegriffe und reguläre Ausdrücke (Muster, Filter, ..) durchsucht werden. Im Falle einer Übereinstimmung werden die Objekte gekennzeichnet und für Ausgabemedien (USB Speicher, CD, Internet) gesperrt.

Der Schutz wirkt in den Unternehmensgrenzen an verschiedenen Stellen:

1. auf dem Arbeitsplatzrechner
2. auf einem Fileserver
3. an einem Email Gateway für ausgehende Nachrichten.

Und was ist IRM?

Auch diese Technologie verhindert Datenverlust und Datenmissbrauch. Hierzu werden dedizierte Nutzungsrechte (Lesen, Drucken, Ändern, etc.) für autorisierte Empfänger vergeben und die Einhaltung der Richtlinien auf der Empfangsseite durchgesetzt.

Auf den ersten Blick sieht es so aus, dass die Einführung eines Systems die Nutzung der jeweils anderen Technologie ausschließt oder überflüssig macht.

Dies ist in den allermeisten Fällen jedoch nicht so.

Um dies zu verdeutlichen schauen wir uns einmal, was DLP oder IRM Hersteller nicht erwähnen:

DLP:

Da DLP Systeme sich mit der Steuerung der „Übermittlung“ von Informationen befassen, sind die entsprechenden Lösungen sehr hilfreich für Unternehmen, die den Datentransfer auf spezifische Bereiche beschränken wollen. Die Definition der Grenzen (Perimeter) kann durchaus flexibel sein, wie z.B. bestimmte Geräte, Netzwerke und in einigen Fällen auch Anwendungen.

Bewegt man sich jedoch in Richtung Cloud- oder mobile Computing, steht man schnell vor der Problematik „Alles oder Nichts“. Entweder es werden alle identifizierten Objekte für eine Übermittlung blockiert oder der Schutz wird nach einer Übertragung wirkungslos.

Aus diesem Grund gibt es für die meisten DLP Systeme keine „mobile“ Versionen und das Thema Cloud Computing kann nicht adäquat bedient werden.

Das Management der DLP Systeme liegt in den Händen der IT / IS Abteilung.

IRM:

Da es sich bei IRM um eine Technologie zur „Nutzungskontrolle“ handelt, ist der Einsatz immer dann sinnvoll, wenn Informationen über Grenzen – Geräte, Netzwerke, und Anwendungen – hinweg verteilt werden müssen.

Da IRM Systeme im Gegensatz zu den DLP Systemen die Definition und Kontrolle der Nutzung dem Anwender überlässt, ist die nachhaltige Wirkung von der Bereitschaft ( bzw. Ablehnung ) zum Einsatz der Schutzmechanismen unmittelbar abhängig.

Gute IRM Systeme verhindern, dass Endnutzer eigene Richtlinien erstellen können und übertragen diese Aufgabe Fachbereichsadministratoren, die jeweils einen Geschäftsbereich verantworten.

Kommen wir zurück zur Beantwortung unserer Gretchenfrage:

DLP Systeme sind immer dann das Mittel der Wahl, wenn sich Informationen nur innerhalb definierter Grenzen bewegen dürfen. Diese Grenzen sind festgelegt, auch wenn sie für unterschiedliche Informationsarten unterschiedliche Ausprägungen haben können.

IRM Systeme kommen immer dann zum Tragen, wenn die Informationen „grenzenlos“ fließen müssen. Unabhängig von Speicherort und Transportmedium.

Beide sind erforderlich, wenn sich das Aufspüren und Kennzeichnen von Daten an konkrete Grenzen orientiert und gleichzeitig die Nutzung der Informationen außerhalb dieser Grenzen möglich sein muss. Eine Integration der Systeme bietet sich an, da die DLP Funktion zur Identifizierung von vertraulichen Informationen genutzt werden kann, um vor der Verteilung sensible Daten an IRM Lösungen zu übergeben. Diese wiederum bringen den notwendigen Schutz auf, der sofort und nachhaltig, innerhalb und außerhalb des Unternehmens, wirkt.

Keine dieser Technologien wird benötigt, wenn der Umfang der zu schützenden Information so gering ist, dass man sich diese merken oder aber auf einem Notizblock notieren kann. In diesem Falle greifen andere Sicherheitstechnologien.