Risikomanagement für robusten Datenschutz

Datenschutzverletzungen sind heute alltäglich. Das Verständnis der Bedrohungslandschaft ist in der Folge mehr als nur eine Aufgabe des Risikomanagements. Es ist ein strategischer Imperativ, der in alle Arbeitsabläufe eingebettet werden muss.

Im Jahr 2023 stiegen die öffentlich gemeldeten Datenkompromittierungen um 78 % und erreichten insgesamt 3.205 Vorfälle. Dies entspricht einem Anstieg von 72 % gegenüber dem bisherigen Höchststand von 1‘860 Datenkompromittierungen im Jahr 2021, wie aus dem Data Breach Report 2023 des Identity Theft Resource Center (ITRC) hervorgeht.

Im März haben wir einen Artikel veröffentlicht, in dem wir eine Fünf-Schritte-Strategie für mehr Sicherheit und Compliance vorgestellt haben. In diesem Monat gehen wir näher auf Schritt 3 ein: die Abstimmung von Datenschutzinitiativen mit den Grundsätzen des Risikomanagements.

Im Zeitalter der Digitalisierung ist der Schutz sensibler Daten von grösster Bedeutung. Das exponentielle Wachstum von Daten bringt einen entsprechenden Anstieg der Risiken mit sich, was robuste Datenschutzstrategien unerlässlich macht.

Verantwortlichkeiten des Risikomanagements in einer datengesteuerten Welt

Laut Forbes „stieg die Menge der weltweit erstellten, erfassten, kopierten und verbrauchten Daten von 2010 bis 2020 von 1,2 Billionen Gigabyte auf 59 Billionen Gigabyte – ein Wachstum von fast 5.000 %.“ Und fast in der Mitte des nächsten Jahrzehnts, Anfang 2024, lag die globale Gesamtmenge bei 5,35 Milliarden Terabyte (oder 5,35 Zettabyte) . IDC sagt voraus, dass dieses Volumen bis 2025 auf 175 Zettabyte ansteigen wird. Das ist ein atemberaubendes Tempo. Es bringt komplexe Risiken mit sich, die sich auf alle Branchen auswirken.

In der heutigen vernetzten Welt, in der Cyber-Bedrohungen von überall kommen, kann die Bedeutung des Datenschutzes gar nicht hoch genug eingeschätzt werden. Je mehr Ihr Unternehmen digitalisiert wird, desto mehr sensible Informationen sind in Ihrer Verantwortung. Aber wer ist in diesem Zusammenhang „Sie“?

Die einfache Antwort lautet „alle“. Welche Funktion Sie auch im Unternehmen innehaben, die Chancen stehen gut, dass Sie sowohl Daten verarbeiten als auch erstellen. Und mit der Verbreitung von KI-gestützten Werkzeugen, kann es sich so anfühlen, als würde man Katzen hüten. Oder anders ausgedrückt: Es ist praktisch unmöglich, den Überblick zu behalten und diese Daten zu schützen. Ein grundlegender Schritt auf dem Weg zum Risikomanagements ist es, allen Beteiligten zu vermitteln, welche wichtige Rolle sie beim Schutz der Daten und damit des Unternehmens spielen. Autor David Brin stellte fest: „Wenn es um Datenschutz und Verantwortlichkeit geht, verlangen die Menschen immer Ersteres für sich selbst und Letzteres für alle anderen.“

Aus diesem Grund sind wir der Meinung, dass Identity Access Management (IAM) an der Spitze von Datenschutzinitiativen steht. IAM dient als Torwächter zu digitalen Bereichen. Damit sorge sie für Klarheit, indem sie Zugriffsrechte, Authentifizierung und Autorisierung regelt und damit die Datenintegrität stärkt.

Hindernis oder doch lieber Chance?

Die Risikolandschaft zu navigieren wird nicht einfacher. Doch anstatt dies als Hindernis zu sehen, sollten wir sie als Chance begreifen.

Die PwC-Studie 2023 Global Risk Survey hebt mehrere wichtige Trends hervor und zeigt auf, wie Unternehmen diese Herausforderungen als Chancen begreifen können:

1. Zunehmende Risikobelastung: Über 70 % der Führungskräfte gaben an, dass Umfang und Komplexität der Risiken in den letzten drei Jahren zugenommen haben. Dies deutet auf ein sich schnell veränderndes Risikoumfeld hin, in dem sich die Unternehmen zurechtfinden müssen.
2. Strategisches Risikomanagement: Etwa 60 % der Unternehmen beziehen das Risikomanagement in ihre strategische Planung ein. Diese Integration hilft den Unternehmen, ihre Risikostrategien auf ihre Gesamtziele abzustimmen und potenzielle Bedrohungen in Chancen für Wachstum und Innovation zu verwandeln.
3. Technologie und Datenverwendung: 59 % der Führungskräfte gaben an, dass fortschrittliche Technologien wie KI und Datenanalyse für das Risikomanagement entscheidend sind. Diese Tools ermöglichen eine bessere Vorhersage, Identifizierung und Abschwächung von Risiken und erhöhen die Widerstandsfähigkeit des Unternehmens.
4. Fokus auf Cybersicherheit: 80 % der Befragten räumen Massnahmen zur Cybersicherheit Priorität ein. Dieser Schwerpunkt ist entscheidend für den Schutz digitaler Werte und die Aufrechterhaltung des Vertrauens der Stakeholder in einer zunehmend digitalen Unternehmenslandschaft.
5. Einhaltung gesetzlicher Vorschriften: Die Einhaltung der sich entwickelnden Vorschriften ist eine grosse Herausforderung. 65 % der Führungskräfte betonen, wie wichtig es ist, den Änderungen der Vorschriften immer einen Schritt voraus zu sein. Proaktive Compliance-Strategien können rechtliche Probleme verhindern und eine Kultur der Verantwortlichkeit fördern.

Diese Erkenntnisse machen deutlich, wie komplex und herausfordern die Risikolandschaft ist. Unternehmen, die strategisches Risikomanagement, Technologie und proaktive Compliance nutzen, verwandeln diese Herausforderungen in Chancen für Widerstandsfähigkeit und Wachstum.

Die Wichtigkeit der Datenklassifizierung

Bei ERP-Systemen ist die Klassifizierung der Daten nach ihrer Kritikalität und Sensibilität von entscheidender Bedeutung. Diese Klassifizierung ist ein Garant für die Datenqualität und die Einhaltung von Vorschriften. ERP-Systeme sind umfassende Softwareplattformen, die zur Verwaltung und Integration wichtiger Geschäftsprozesse firmenübergreifend eingesetzt werden. Hier werden riesige Datenmengen gespeichert, die von Finanzdaten über Personalinformationen bis hin zu Details des Lieferkettenmanagements reichen. Das Verständnis und die richtige Klassifizierung dieser Daten hat höchste Priorität.

Bei der Klassifizierung werden die Daten nach ihrer Wichtigkeit und Sensibilität kategorisiert. Dieser Prozess hilft bei der Festlegung, wie Daten behandelt und geschützt werden sollten. In ERP-Systemen spielt die Datenklassifizierung aus mehreren Gründen eine entscheidende Rolle:

• Datensicherheit: Durch die Klassifizierung von Daten nach ihrer Sensibilität können Organisationen geeignete Sicherheitsmassnahmen ergreifen, um sensible Daten vor unbefugtem Zugriff und Verstössen zu schützen. So erfordern beispielsweise personenbezogene Daten (PII) oder Finanzdaten ein höheres Sicherheitsniveau als allgemeine Betriebsdaten. (Microsoft)
• Einhaltung gesetzlicher Vorschriften: Verschiedene Datentypen unterliegen unterschiedlichen rechtlichen Anforderungen. So müssen Finanzdaten beispielsweise Standards wie dem Sarbanes-Oxley Act (SOX) entsprechen, während gesundheitsbezogene Daten dem Health Insurance Portability and Accountability Act (HIPAA) genügen müssen. Eine ordnungsgemässe Klassifizierung stellt sicher, dass Unternehmen diese gesetzlichen Verpflichtungen erfüllen und so rechtliche Strafen und Rufschädigung vermeiden (IBM).
• Effiziente Datenverwaltung: Die Klassifizierung von Daten hilft dabei, sie effektiver zu verwalten. Sie ermöglicht es Unternehmen, kritische Daten zu priorisieren und sicherzustellen, dass sie korrekt, zugänglich und sicher sind. Dies führt zu einer verbesserten Entscheidungsfindung und betrieblichen Effizienz. (Microsoft)

ERP-Systeme integrieren und speichern Daten aus verschiedenen Unternehmensaktivitäten. Die Kritikalität und Sensibilität dieser Daten ist sehr unterschiedlich:

• Kritische Daten: Dazu gehören Daten, die für den alltäglichen Betrieben des Unternehmens unerlässlich sind. Beispiele hierfür sind Lagerbestände, Informationen zur Auftragsabwicklung und Finanztransaktionen. Jede Kompromittierung oder jeder Verlust von kritischen Daten stört den Geschäftsbetrieb und führt zu erheblichen finanziellen Verlusten.
• Sensible Daten: Dies bezieht sich auf Daten, die aufgrund von Datenschutz- oder Sicherheitsbedenken geschützt werden müssen. Beispiele sind Mitarbeiterdaten, Kundeninformationen und geschützte Geschäftsinformationen. Sensible Daten überschneiden sich oft mit kritischen Daten, unterstreichen aber die Notwendigkeit von Datenschutz- und Sicherheitskontrollen, um unbefugten Zugriff und Datenverletzungen zu verhindern.

Ein derartiges Verständnis erleichtert Digitalisierungsinitiativen und ermöglicht, Daten zu klassifizieren.

5 Schritte zur effektiven Datenklassifizierung

Nachdem wir die Bedeutung der Datenklassifizierung beschrieben haben, wollen wir uns nun eine 5-Schritte-Strategie für eine erfolgreiche Umsetzung ansehen. Von Anfang an ist es wichtig, daran zu denken, dass diese Grundsätze sowohl für Stammdaten (Produkt, Preis, Lieferant usw.) als auch für Transaktionsdaten gelten müssen, die Ihr Unternehmen mit externen Quellen verbinden:

1. Identifizieren Sie Datentypen: Beginnen Sie mit der Identifizierung und Katalogisierung aller im ERP-System gespeicherten Datentypen. Dazu müssen Sie die Quelle, das Format und die Verwendung der einzelnen Datentypen kennen.
2. Definieren Sie Klassifizierungskriterien: Legen Sie Kriterien für die Klassifizierung von Daten auf der Grundlage ihrer Kritikalität und Sensibilität fest. Dabei können Faktoren wie die potenziellen Auswirkungen eines Datenverlusts, gesetzliche Vorschriften und der erforderliche Grad der Vertraulichkeit berücksichtigt werden.
3. Klassifizierungsebenen zuweisen: Weisen Sie den Daten auf der Grundlage der definierten Kriterien Klassifizierungsstufen zu. Zu den üblichen Klassifizierungsstufen gehören öffentlich, intern, vertraulich und eingeschränkt.
4. Implementierung von Sicherheitskontrollen: Implementieren Sie auf der Grundlage der Klassifizierungsstufen geeignete Sicherheitskontrollen zum Schutz der Daten. Dazu können Verschlüsselung, Zugriffskontrollen und regelmässige Audits gehören, um die Einhaltung der Sicherheitsrichtlinien zu gewährleisten.
5. Regelmässige Überprüfung und Aktualisierung der Klassifizierungen: Die Datenklassifizierung sollte keine einmalige Aktivität sein. Überprüfen und aktualisieren Sie die Klassifizierungen regelmässig, um Änderungen in der Datennutzung, den gesetzlichen Anforderungen und den geschäftlichen Prioritäten Rechnung zu tragen.

Weitere Informationen zur Implementierung eines effektiven und sicheren ERP-Systems finden Sie in dem ausgezeichneten 9-seitigen Leitfaden von Forbes zu diesem Thema.

Datenschutz und Risikomanagement in Einklang bringen

Und damit kommen wir zurück zum Hauptthema dieses Artikels, der Verbindung zwischen Risikomanagement und Datenschutz. Die Auswahl an Governance-, Risiko- und Compliance-Tools (GRC) ist unendlich.  und die Angriffsfläche für Angriffe wächst mit dem Boom der Automatisierung und dem Einsatz von künstlicher Intelligenz. Der Einsatz von Strategien wie Identity Access Management (IAM) in Verbindung mit einem soliden Datenklassifizierungssystem innerhalb einer effektiven Enterprise Resource Platform (ERP) ist die beste Chance, diese Risiken in echte Chancen zu verwandeln: Chancen,

• Vertrauen bei Ihren Mitarbeitern und Kunden aufzubauen,
• sich mit besseren Produkten und zuverlässigeren Dienstleistungen von der Konkurrenz abzuheben,
• den Wert von Daten durch KI-Trainingsmodelle und die von ihnen gesteuerten Anwendungen zu nutzen.

Und die Möglichkeit, den Wert des Unternehmens zu erhöhen, indem Sie die Kontrolle über Ihre digitalen Ressourcen übernehmen, anstatt sich von ihnen kontrollieren zu lassen.