Wenn Sie das hier lesen, nehmen Sie Datensicherheit zweifellos ernst. Ihr Unternehmen verfügt vielleicht sogar über eine Firewall in Industriequalität, absolut zuverlässige Regeln für die Data Governance, ein professionelles Sicherheitsteam und eine ganze Reihe von Datenschutzmaßnahmen wie Verschlüsselung. Sie sind damit zufrieden. Sie schlafen nachts gut.
Aber sollten Sie das? Entschuldigen Sie, dass ich Ihnen hier den Schlaf raube, aber die Wahrheit ist: Die meisten Unternehmen übersehen drei große Risiken für den Datenschutz, die den Unterschied ausmachen können zwischen irgendwie sicher (vielleicht!) und praktisch lückenlos geschützt.
Diese drei Sicherheitsherausforderungen sind nicht vertrauenswürdige Rechenprogramme, nicht validierte Eingaben und unbefugte Datenbewegungen. Sehen wir sie uns an.
Siehe auch: Der erfolgreiche CISO: So baut man Vertrauen bei Stakeholdern auf
1) Nicht vertrauenswürdige Rechenprogramme
Sie haben also Personen, Teams und Unternehmen Zugriff auf Ihre eigenen Daten gewährt. Kann einfach jemand hereinkommen und anfangen, sie zu verarbeiten?
Woher wissen Sie – unabhängig davon, ob es sich um interne oder externe Akteure handelt –, dass sie tatsächlich das Programm und den Algorithmus verwenden, den sie angekündigt haben, und nicht etwas Riskanteres? Wenn Sie es nicht registriert haben und keinen Nachweis besitzen, dass es sich um dasselbe Programm handelt, haben Sie keine Ahnung, was wirklich passiert. Es beruht ausschließlich auf Vertrauen – und in Sachen Daten leben wir in einer Zero-Trust-Welt.
Jedes Netzwerk, jedes Gerät, jede Person und jeder Dienst muss als nicht vertrauenswürdig gelten, bis das Gegenteil bewiesen ist. Was Sie brauchen, sind Zero-Trust-Technologien, die zu einer Zero-Trust-Welt passen.
Was ist damit gemeint? Wie können Sie wissen, dass das Computerprogramm, der Algorithmus oder die Analys routine einer Person sicher ist? Zero-Trust-Technologien können mit absoluter Sicherheit – etwa anhand eines „Fingerabdrucks“ – überprüfen, ob der vereinbarte Code mit dem Code übereinstimmt, der gerade in Echtzeit ausgeführt wird. (Dass dies nicht geschah, führte übrigens dazu, dass die Computer beim jüngstenCyberangriff auf die Ukraine kompromittiert wurden.) Andernfalls können Sie Ihrem Compliance- oder Rechtsteam nicht in die Augen sehen und sagen: „Ja, ich weiß – und zwar mit Gewissheit! –, dass unsere Daten immer ordnungsgemäß verwendet werden.“
Siehe auch: Secure Access Service Edge: Große Vorteile, große Herausforderungen
2) Nicht validierte Eingaben
Wenn Sie mit eigenen Daten (oder beliebigen sensiblen Daten) arbeiten, brauchen Sie die absolute Gewissheit, dass ausschließlich auf die Daten zugegriffen wird, deren Zugriff Sie gestattet haben.
Dafür gibt es einige Tools. Beispielsweise können zugriffssteuerungsbasierte Tools – ob lokal oder in cloudbasierten Data Warehouses wie Snowflake – hilfreich sein. In vielen Fällen gewähren Sie jedoch selbst mit den besten herkömmlichen Tools Zugriff auf einen vollständigen Datensatz und nicht unbedingt nur auf die Daten, die Sie benötigen. Die Innovation, die für Sicherheit in einer Big-Data-Welt wirklich erforderlich ist, besteht darin, den Zugriff auf bestimmte Daten innerhalb eines Datensatzes beschränken zu können.
Sie benötigen eine Validierungstechnik, die nicht nur anfänglich, sondern während der gesamten Verarbeitung und Nutzung der Daten absolut zuverlässig ist – damit Sie nicht nur verstehen können, wie jemand an die Daten gelangt ist, sondern auch, was mit ihnen geschehen ist.
Nehmen wir zum Beispiel an, einer Ihrer Data Scientists möchte eine weitere Spalte zum Verknüpfen oder Sortieren ausprobieren. In einer Welt, in der alle gute Absichten haben, mag das in Ordnung erscheinen. Aber was, wenn der Data Scientist nicht ganz so harmlos ist? Was, wenn plötzlich hochsensible Daten zu Sozialversicherungsnummern, Kreditkartennummern, ethnischer Zugehörigkeit, Geschlecht, Haushaltseinkommen und sexueller Orientierung absichtlich (oder versehentlich) für noch unheilvollere Zwecke verwendet werden?
Das sind reale Vorkommnisse, und in einer Welt, in der der Schutz an erster Stelle steht, ist es entscheidend, dass Sie nicht nur die Wahrscheinlichkeit dafür verringern, sondern die Möglichkeit eines solchen Vorfalls vollständig ausschließen können.
Siehe auch: Die besten Website-Scanner
3) Unbefugte Datenbewegung oder -auswertung
Data Scientists gehen ständig kreativ mit Datensätzen um; das gehört zur Stellenbeschreibung. Ohne die richtigen Kontrollen wird es jedoch schnell unübersichtlich.
Es ist, als würde jemand im Finanzdienstleistungssektor sagen: „Ich überweise dieses Geld einfach für ein paar Tage auf Daves Konto, weil ich einen Fehler gemacht habe und ihn ausgleichen muss. Ich verspreche, es später wieder auf Dianas Konto zu überweisen. Sie wird es nie erfahren.“ Das funktioniert nie, und im heutigen regulatorischen Umfeld eröffnet es Menschen die Möglichkeit, ins Gefängnis zu kommen, und Unternehmen die Gefahr, auf CNN in Schwierigkeiten zu geraten. Ein solches lockeres und unkontrolliertes Vorgehen kommt in der Datenwissenschaft ständig vor, wenn keine Kontrollen vorhanden sind.
Was Sie brauchen, ist die Möglichkeit, den Zugriff auch bei informellen Datenabfragen und -abfragen zu kontrollieren. Für Datenanalysten ist das ein zusätzlicher Schritt, aber zugleich der Schutz, den Sie benötigen. Er sorgt für mehr Disziplin und vermutlich für bessere Abläufe und mehr Verantwortlichkeit. Wenn Sie ein Unternehmen führen – ob in der Adtech-Branche oder einem anderen Sektor –, müssen Sie dieses Problem eindeutig, konsequent und dauerhaft lösen können.
Siehe auch: Die besten Data-Mining-Tools
Eine virtuelle Wunderwaffe
Die gute Nachricht ist, dass Technologie alle drei Probleme lösen kann. Es gibt inzwischen Möglichkeiten, diese drei Sicherheitsrisiken zu entschärfen, ohne Ihr Geschäft zu beeinträchtigen – und gleichzeitig die Nutzung Ihrer Daten weiter auszubauen. Neue Technologien wie maschinelles Lernen können Rechenprogramme anhand ihres Fingerabdrucks identifizieren. Vertrauensbildende sichere Enklaven – auch als „Confidential Computing“ bezeichnet – können die sichere Datenverarbeitung gewährleisten.
Und neue Technologien zur Überwachung und Steuerung der Verarbeitung, etwa digitale Verträge, können die besten Elemente juristischer Verträge und technischer Parameter – einschließlich des „Fingerabdrucks“ eines Algorithmus – übernehmen und die Eingabevalidierung sowie Datenbewegungen besonders sicher machen, indem sie die Verarbeitung rund um die Uhr überwachen, Anomalien melden und die Datennutzung in Echtzeit stoppen.
Wenn Sie zusätzlich die Möglichkeit schaffen, Daten in Prüfungsqualität bereitzustellen, können Sie die Datenrisiken endlich schließen und dies Ihren Anwälten und Compliance-Verantwortlichen nachweisen. Noch besser: All diese Maßnahmen beseitigen die Risiken, die entstehen, wenn Sie Ihre sorgfältig kuratierten und hochsicheren Daten produktiv nutzen.
Dann können Sie nachts wirklich gut schlafen.
Siehe auch: Technologieprognosen für 2022: Cloud, Daten, Cybersicherheit, KI und mehr
Über den Autor:
David Blaszkowsky ist Head of Strategy and Development bei Helios Data und war zuvor leitender US-amerikanischer Finanzaufsichtsbeamter sowie Führungskraft im Bankdatenbereich.