Darmstadt, Starnberg, 31. März 2016 - Datensicherheits–Spezialist SECUDE fasst zusammen, auf welche Aspekte SAP-Kunden in Zukunft vorrangig achten sollten...
Zum Hintergrund: Im Frühjahr 2018 sollen die neuen Datenschutzbestimmungen, EU-DSGVO (General Data Protection Regulation – GDPR), in Kraft treten. Für Unternehmen jeder Größe, die Daten sammeln, speichern und verarbeiten, bringt dies demnach eine höhere Verantwortung für die Datensicherheit und umfangreichere Rechenschaftspflichten mit sich. Unternehmen haben außerdem nur zwei Jahre Zeit, die Einhaltung der neuen Vorschriften zur Speicherung und Verarbeitung von Kundendaten sicherzustellen. Ansonsten drohen ihnen bei Verstößen Bußgelder von bis zu 20 Million Euro oder 4 Prozent ihres Jahresumsatzes.
SECUDE, Experte für Datensicherheits-Lösungen im SAP-Umfeld, hat die wichtigsten Schritte zur Vorbereitung für Unternehmen zusammengestellt. Zwei Fragenkomplexe sind demnach von grundsätzlicher Bedeutung:
- Was bedeutet dies nun für Unternehmen? Welche Datensysteme sind besonders betroffen?
- Welche Schritte müssen innerhalb der nächsten zwei Jahre umgesetzt werden, um den neuen Vorgaben zu entsprechen?
„Der erste und wichtigste Schritt für alle Unternehmen ist es, zu prüfen, in welchen Systemen sie die von der Gesetzgebung betroffenen Daten vorhalten“ erklärt Volker Kyra von SECUDE. „Im zweiten Schritt sollte geprüft werden, ob das Unternehmen verlässlich nachvollziehen und nachweisen kann, was mit diesen Daten gemacht wird, wenn sie beispielsweise das System verlassen“.
- Das Stufensystem der neuen Gesetzgebung sieht bereits Strafen von bis zu zwei Prozent des weltweiten erwirtschafteten Jahresumsatzes vor, wenn Verarbeitungsvorgänge nicht ordnungsgemäß dokumentiert werden (Artikel 28). Bei einer Verletzung der Datensicherheit sind Unternehmen verpflichtet, innerhalb von 72 Stunden die Behörden zu informieren (Artikel 31).
- Nach der Definition der neuen Gesetzgebung handelt es sich auch um eine Datenschutzverletzung, wenn ein Mitarbeiter Einblick in Daten hat, die er für seine Tätigkeit nicht benötigt. Zudem müssen Unternehmen dafür Sorge tragen, dass Mitarbeiter erkennen können, wann sie mit der Datenverarbeitung gegen Gesetze verstoßen oder unberechtigt Daten verarbeiten.
Sind ERP-Systeme wie SAP betroffen?
Im Zuge der immer komplexeren und dezentralen IT-Umgebungen, ist es für Unternehmen eine große Herausforderung, nachzuvollziehen, welche Daten in welchen Systemen vorgehalten und über welche Kanäle sie eventuell geteilt werden. Personenbezogene Daten sind besonders häufig in ERP-Systemen zu finden. Innerhalb dieser regulierten IT-Umgebung ist es relativ einfach, die Vorgaben für die neuen Datenschutzrichtlinien umzusetzen, wenn diese über Berechtigungsstrukturen und Audit-Logs verfügen. Ist man also damit abgesichert? Leider nein – denn sobald diese Daten aus dem System exportiert wurden, greifen laut SECUDE die SAP Berichtigungsstrukturen nicht mehr, und es kann auch nicht nachvollzogen werden, was anschließend mit den Daten passiert. In den meisten Unternehmen erfolgen diese Datenexporte aber täglich, ohne dass sich die Mitarbeiter über mögliche Konsequenzen in Klaren sind.
- Nötig ist daher die Einführung von Audit- bzw. Protokollierungslösungen, die aufzeichnen, wer Daten einsieht, exportiert und weitergibt. Zudem empfiehlt sich die Integration einer GRC-Lösung, damit im Falle von Regelverstößen Benachrichtigungen an die Verantwortlichen gehen. Im Idealfall sollten die Datensätze jedoch bereits bei ihrer Entstehung klassifiziert werden. Sensible, von der Gesetzgebung betroffene Daten, können dann für ihren gesamten Lebenszyklus mit entsprechenden Regeln versehen werden. So können sie beispielsweise nur für die interne Nutzung oder für bestimmte Personen freigegeben werden, oder der Download spezieller Daten wird komplett gesperrt. Zudem werden die Mitarbeiter so für das Thema sensibilisiert und auf mögliche Verstöße hingewiesen.
Die Einführung eines Rights-Management-Systems (RMS) hilft laut SECUDE dabei, einer Verletzung der Datensicherheit (Artikel 31) vorzubeugen und die Nutzung der Daten auch außerhalb des ERP-Systems nachzuweisen oder zu beschränken. Die neue Gesetzgebung sieht ebenfalls vor, dass die meisten Unternehmen einen Datenschutzbeauftragten ausweisen müssen (Artikel 35).
Abb. 1: Bildquelle SECUDE / General Data Protection Regulation, GDPR
Hinweis zum Lösungsportfolio von SECUDE (Quelle Hersteller):
Die Lösungs-Suite Halocore von SECUDE soll diesen Anforderungen speziell für die Datensicherheit im SAP-Umfeld Rechnung tragen. Mithilfe der Audit-Funktion können Unternehmen nach Anbieterangaben alle Exporte von Daten aus SAP auditieren und protokollieren. Datenexporte werden basierend auf Benutzer, Dateityp, Dateigröße, Transaktion, Anwendung und IP-Adresse sichtbar gemacht. Das Data Loss Prevention-Modul hilft, dem Verlust geschäftskritischer Daten vorzubeugen. Die Datensicherheits- und Governance-Lösung kombiniert eine native SAP-Datenklassifizierung mit Funktionalitäten zum Schutz vor Datenverlust sowie erweiterten Auditing- und Reporting-Funktionen. Das GRC-Modul macht Governance-, Risk- und Compliance-Verstöße kenntlich und generiert entsprechende Warnhinweise. Mit der Data Protection-Erweiterung können die Informationen optional, mithilfe von Microsoft RMS, für die weitere Verwendung verschlüsselt werden.