Wenn Informationen verreisen

Durch Klassifizierung können Unternehmen Daten abhängig vom Business-Kontext und unabhängig vom Speicherort und damit Infrastruktur-unab­hängig verwalten und schützen. (Quelle: Fotolia)

Information Intelligence und die Klassifizierung von Daten

Durch Klassifizierung können Unternehmen Daten abhängig vom Business-Kontext und unabhängig vom Speicherort und damit Infrastruktur-unab­hängig verwalten und schützen. Wichtigste Anwendung für den Schutz ist das Digitale Rechtemanagement (DRM), das hohe Sicherheit auf der Micro-Ebene realisiert.

Die Arbeit der Verantwortlichen im Unternehmen für IT-Security ist in den letzten Jahren nicht einfacher geworden, denn die IT verliert zunehmend die direkte Kontrolle über Prozesse und Systeme. Vor allem Cloud Computing und mobile Systeme gewinnen mehr und mehr an Bedeutung, was immer auch heißt, dass die IT ihre gewohnte Zugriffssteuerung auf Daten und Anwendungen aufgeben muss. Zudem ist es angesichts einer Vielzahl von Anwendungen, Prozessen und komplexen internen wie externen Kommunikationsbeziehungen nicht einfach, die Übersicht zu behalten.

Den Nebel lichten kann hier die “Information Intelligence”. Sie nimmt sich die Klassifizierung unstrukturierter Daten vor, also beispielsweise von PDF-, Word- oder sogar TXT-Dateien und verfolgt damit einen neuen Ansatz, der nicht mehr von der Infrastruktur ausgeht. Es geht dabei aber nicht nur um die altbekannte Klassifizierung anhand unterschiedlicher Stufen der Vertraulichkeit, Information Intelligence setzt grundsätzlicher an: Ziel ist die Klassifizierung von Dateien anhand ihres Business-Kontexts beziehungsweise ihres Inhalts. Jede Datei erhält ein Etikett oder Label, das dauerhaft mit den Dateien verbunden bleibt und damit Infrastruktur-unabhängig ist. Dateien sind bekanntlich beweglich, sie können kopiert, verschickt und an unterschiedlichen Orten gespeichert werden – das Label ist eine Kennzeichnung, die sie einer definierten Kontext-Klasse zuweist und das mit der Datei “verreisen” kann. Anders formuliert, wo immer die betreffende Datei wieder auftaucht, ob in der Cloud oder auf dem Smartphone, sie hat ihr Label stets mit dabei.

Ein Unternehmen kann einer Datei – in einem einfachen Fall – beispielsweise drei Labels auf unterschiedlichen Klassifizierungsebenen geben:

  • Confidential als Kennzeichnung der Vertraulichkeit,
  • HR für die Zugehörigkeit zu einem Team in der Organisations-struktur des Unternehmens, und
  • Retention Period fünf Jahre für die Dauer der vorgeschriebenen Aufbewahrung der Datei.

Durch die Kombination der Labels, die man natürlich noch granularer vergeben kann, wird ein inhaltlicher Kontext hergestellt, auf dessen Basis man schon mal ziemlich genau weiß, worum es sich bei der betreffenden Datei handelt. In diesem Fall: Vertrauliche Informationen aus der Personalabteilung, also kritische Daten, die damit automatisch einer erhöhten Sicherheitsstufe angehören. Diese Informationen über den Charakter der Daten ergeben sich, und das ist von zentraler Bedeutung, nicht wie in herkömmlichen Konzepten aus dem Ort, an dem sich die Datei befindet. Die Daten sind also nicht deshalb kritisch, weil sie im HR-Order oder in Verbindung mit einer HR-Applikation gespeichert wurden, sondern nur weil sie die entsprechenden Labels mit sich führen. Wäre hier die Applikation wichtig, so müsste man ein weiteres Label zur Kennzeichnung der Applikation vergeben. Nur so ist sichergestellt, dass die Informationen über die Art der Datei mit ihr verreisen können – auch in die Cloud oder auf ein mobiles Endgerät.

Technisch wird die Verbindung von Datei und Label – und damit mit Informationen über den Content – meist durch eine Speicherung in den Metadaten einer Datei realisiert. Dafür gibt es Tools, die die Klassifizierung manuell oder automatisch mit den Dateien verbinden. Auch nicht gängige Dateiformate oder gar solche die gar keine Metadaten unterstützen, wie CSV oder  TXT, können von solchen Tools mit Abstrichen verarbeitet werden, indem die Klasseninformationen in den Verschlüsselungs-Haeder oder das Dateisystem geschrieben werden.

Information Intelligence als Fundament der IT

Information Intelligence ist also Labeling unabhängig von Speicherort und damit Infrastruktur-unab­hängig, oder wie es neuerdings gerne etwas hochtrabend heißt “Infrastruktur-agnostisch”. Damit entspricht Information Intelligence einem allgemeinen Trend in der IT: das zunehmende Verschwimmen von “innen” und “außen”, von “guten” und “bösen” Bereichen sowie der rasch wachsende Anteil von Infrastruktur, die das Unternehmen zwar nutzt, aber nicht mehr selbst kontrolliert

In herkömmlichen IT-Konzepten ging man immer von der Infrastruktur aus, sie bildete das Fundament des (logischen) Gebäudes. Mit zahlreichen Policies und Regeln versuchte man dann festzulegen, dass die Daten dieser Infrastruktur zu folgen haben; um im Beispiel zu bleiben: HR-Daten dürfen nur in den HR-Verzeichnissen gespeichert werden, weil sie dort entsprechend ihrer Funktion geschützt werden. Dieses Modell wurde jedoch obsolet durch das Verschwimmen einer festen, jederzeit kontrollierten Infrastruktur. Der Ansatz der Information Intelligence trägt dem Rechnung; Basis des IT-Gebäudes sind die Informationen selbst beziehungsweise der Content der unstrukturierten Dateien, der durch die Klassifizierung sichtbar wird. Erst darauf bauen dann die Infrastruktur-Entschei­dungen auf. Die IT folgt hier dem Business und seinen Daten.

Information Intelligence at Work

Klassifizierung ist natürlich kein Selbstzweck, sondern die Voraussetzung für die Implementierung von Content-basierten Prozessen und Anwendungen. Auf der Basis der durch das Klassifizierungskonzept erreichten Infrastruktur-Unab­hängigkeit lassen sich zum Beispiel sehr genau Sicherheitsmaßnahmen wie DRM, oder auch Anwendungen für Backup und Archivierung konfigurieren. Klassifizierung ist aber überhaupt die Grundlage, um zu wissen, wo sich welche Daten befinden.

In der Praxis zeigt sich nämlich immer wieder, dass Unternehmen nur für 60 bis 70 Prozent der Daten wissen, wo sich diese befinden; der Rest befindet sich an unbekannten Orten, beispielsweise auf Transferlaufwerken oder gerne auch im berühmt, berüchtigten Ordner namens “Temp”. Gleichzeit verpflichten sich Unternehmen aber im Rahmen der Information Governance ihre Daten auf bestimmte Weise zu kontrollieren; so ist man etwa verpflichtet, Kreditkartendaten besonders zu schützen – was aber technisch gar nicht möglich ist, wenn nicht bekannt ist, an welchen Stellen solche Daten gespeichert sind. Sind die Dateien jedoch klassifiziert, trägt jede Datei ihr Label und kann so geschützt werden – sogar auf Temp.

Schutz durch DRM

Die vielleicht prominenteste technische Umsetzung des Konzepts ist das Digitale Rechtemanagement (DRM). Hier werden die Dokumente im Unternehmen zunächst klassifiziert, und je nach der Einstufung werden sie verschlüsselt, so dass dann nur Personen beziehungsweise Rollen darauf zugreifen können, die über entsprechende Zugriffsrechte verfügen. Lediglich die bei der Klassifizierung als unkritisch eingestuften Dokumente können von allen gelesen und gegebenenfalls auch beliebig verschickt werden. Die erforderlichen Rechte für ein als vertraulich oder geheim klassifiziertes Dokument reisen auch in diesem Fall mit, möglicherweise versehentlich auf einem USB-Stick oder per E-Mail – dort kann das Dokument aber nicht entschlüsselt werden. Entsprechend dem Konzept der Information Intelligence ist also immer die jeweilige Datei selbst gesichert, nicht der Kanal auf dem es möglicherweise das Unternehmen verlässt und auch nicht das Medium auf dem es gespeichert ist.

Auf dieser Basis lässt sich hohe Sicherheit auf der Micro-Ebene herstellen. Dabei kapselt sich eine Datei durch drei Aspekte ab: die Klasse beziehungsweise das Label, die Zugriffsrechte und schließlich der Schutz durch die Verschlüsselung. Mit diesen drei Elementen wird die Datei zu einer autonomen Einheit und ist unabhängig von Infrastruktur sicher, egal ob sie per E-Mail verschickt wird, auf einem USB-Stick, in der Cloud oder auf einem Smartphone gespeichert wird. Auf diese Weise wird der Schutz den veränderten Bedingungen der heute mehr und mehr üblichen fluiden Infrastrukturen optimal gerecht.

[themify_box color=”light-blue”]

Ansatzpunkte für eine regelbasierte Klassifizierung

  • Organisations-basierte Klassifizierung: Dokumente aus bestimmten Abteilungen, zum Beispiel HR, können immer vertraulich sein;
  • Rollen-basierte Klassifizierung: bestimmte Gruppen von Mitarbeitern – zum Beispiel IT-Administration – erhalten oder erhalten nicht Zugriff auf bestimmte Klassen von Dokumenten;
  • Quellen-basierte Klassifizierung: Dokumente aus bestimmten Anwendungen, zum Beispiel aus CRM-Systemen, werden automatisch als vertraulich klassifiziert, Kopien davon, etwa in Excel-Listen, werden entsprechend klassifiziert;
  • Projekt-basierte Klassifizierung: Dokumente, die für bestimmte Projekte oder auch in bestimmten Ordern abgelegt werden, zum Beispiel im Ordner “Geschäftsführungsprotokolle”, werden automatisch klassifiziert, etwa als “Intern, Geschäftsleitung”;
  • Content-basierte Klassifizierung: eine modernere DRM-Lösung kann aus bestimmten Schlüsselwörtern im Text eine Klassifizierung ableiten; wenn zum Beispiel Kreditkartennummern oder Kontonummern im Text vorkommen, kann dem betreffenden Dokument eine passende DRM-Stufe zugewiesen werden.

[/themify_box]

Autor:

Christoph Hönscheid, Manager Digital Workforce & Mobility bei NTT Security

 

 

Share this...
Share on Facebook
Facebook
Tweet about this on Twitter
Twitter