Ziele kantig formulieren

Bei einem DLP-Projekt ergibt sich eine Vielzahl von allgemeingültigen Fragen. Wer bestimmt und klassifiziert die Daten in der Hinsicht, was sensible Inhalte sind? Wie wird verhindert, dass die Mitarbeiter, die ja mit den Daten arbeiten müssen, diese nicht aus dem Unternehmen tragen? Die internen User dürfen dabei nicht unter Generalverdacht stehen. Oft handeln sie falsch, weil sie die Gefahren unterschätzen oder schlicht nicht kennen. Oft wird ihnen das Ausmaß erst bewusst, wenn sie den USB-Stick oder das Notebook im Taxi liegen ließen. Dies geschieht dutzendfach jeden Tag, wie die Statistiken des Fundbüros der Londoner Verkehrsbetriebe protokollieren. So wurden im vergangenen Jahr 170000 Gegenstände vergessen, darunter ­eine »große Menge von Handies und Laptops«. Das Unternehmen muss daher auch verhindern, dass Daten aus Unwissenheit fälschlich behandelt oder unerlaubterweise kopiert werden. Und wenn es doch passiert, müssen die IT-Verantwortlichen nachvollziehen können, wer zuletzt mit den Daten gearbeitet hat. Daraus ergeben sich einige Pflichten:
– Dokumentation über Datenbewegungen
– Sammeln der Anwenderinformation, wer zuletzt die Daten bearbeitet hat
– Sensibilisierung des Anwenders im Umgang mit vertraulichen Daten, beispielsweise mit Hilfe von Pop-ups
– Bestätigung des Anwenders; also die Prüfung, ob er berechtigt ist, mit einem Datensatz zu hantieren
– Blockieren von Datenbewegungen, welche eine unautorisierte Aktion verhindert
– und eine Alarmierung bei Verstößen, möglichst in Echtzeit.
Eine genaue Analyse der bestehenden Workflows und Prozesse ist hierfür unabdingbar. Ohne diese unternehmensspezifische Auswertung begibt man sich ­unter Umständen auf gefährliches Terrain, weil das Projekt in unüberschaubaren Aktionismus ausartet. Das gilt es zu verhindern.