Datensicherheitsexperte SECUDE fasst zusammen, auf was Unternehmen, die SAP nutzen, in Zukunft achten müssen und wie sie sich vorbereiten können
Darmstadt, 04. April 2016 – Im Frühjahr 2018 sollen die neuen Datenschutzbestimmungen, EU-DSGVO (General Data Protection Regulation – GDPR*), in Kraft treten. Für Unternehmen jeder Größe, die Daten sammeln, speichern und verarbeiten, bringt dies eine höhere Verantwortung für die Datensicherheit und umfangreichere Rechenschaftspflichten mit sich. Unternehmen haben außerdem nur zwei Jahre Zeit, die Einhaltung der neuen Vorschriften zur Speicherung und Verarbeitung von Kundendaten sicherzustellen. Ansonsten drohen ihnen bei Verstößen massive Bußgelder von bis zu 20 Million Euro oder 4 Prozent ihres Jahresumsatzes. SECUDE, Experte für Datensicherheits-Lösungen im SAP-Umfeld, hat die wichtigsten Schritte zur Vorbereitung für Unternehmen zusammengestellt.
Was bedeutet dies nun für Unternehmen? Welche Datensysteme sind besonders betroffen?
Welche Schritte müssen innerhalb der nächsten zwei Jahre umgesetzt werden, um den neuen Vorgaben zu entsprechen?
„Der erste und wichtigste Schritt für alle Unternehmen ist es, zu prüfen, in welchen Systemen sie die von der Gesetzgebung betroffenen Daten vorhalten“ erklärt Volker Kyra, Vice President Sales EMEA von SECUDE. „Im zweiten Schritt sollte geprüft werden, ob das Unternehmen verlässlich nachvollziehen und nachweisen kann, was mit diesen Daten gemacht wird, wenn sie beispielsweise das System verlassen“.
Das Stufensystem der neuen Gesetzgebung sieht bereits Strafen von bis zu zwei Prozent des weltweiten erwirtschafteten Jahresumsatzes vor, wenn Verarbeitungsvorgänge nicht ordnungsgemäß dokumentiert werden (Artikel 28). Bei einer Verletzung der Datensicherheit sind Unternehmen verpflichtet, innerhalb von 72 Stunden die Behörden zu informieren (Artikel 31). Nach der Definition der neuen Gesetzgebung handelt es sich auch um eine Datenschutzverletzung, wenn ein Mitarbeiter Einblick in Daten hat, die er für seine Tätigkeit nicht benötigt. Zudem müssen Unternehmen dafür Sorge tragen, dass Mitarbeiter erkennen können, wann sie mit der Datenverarbeitung gegen Gesetze verstoßen oder unberechtigt Daten verarbeiten.
Sind ERP-Systeme wie SAP betroffen?
Im Zuge der immer komplexeren und dezentralen IT-Umgebungen, ist es für Unternehmen eine große Herausforderung, nachzuvollziehen, welche Daten in welchen Systemen vorgehalten und über welche Kanäle sie eventuell geteilt werden. Personenbezogene Daten sind besonders häufig in ERP-Systemen zu finden. Innerhalb dieser regulierten IT-Umgebung ist es relativ einfach, die Vorgaben für die neuen Datenschutzrichtlinien umzusetzen, wenn diese über Berechtigungsstrukturen und Audit-Logs verfügen. Ist man also damit abgesichert? Leider nein – denn sobald diese Daten aus dem System exportiert wurden, greifen die SAP Berichtigungsstrukturen nicht mehr, und es kann auch nicht nachvollzogen werden, was anschließend mit den Daten passiert. In den meisten Unternehmen erfolgen diese Datenexporte aber täglich, ohne dass sich die Mitarbeiter über mögliche Konsequenzen im Klaren sind.
Nötig ist daher die Einführung von Audit- bzw. Protokollierungslösungen, die aufzeichnen, wer Daten einsieht, exportiert und weitergibt. Zudem empfiehlt sich die Integration einer GRC-Lösung, damit im Falle von Regelverstößen Benachrichtigungen an die Verantwortlichen gehen. Im Idealfall sollten die Datensätze jedoch bereits bei ihrer Entstehung klassifiziert werden. Sensible, von der Gesetzgebung betroffene Daten, können dann für ihren gesamten Lebenszyklus mit entsprechenden Regeln versehen werden. So können sie beispielsweise nur für die interne Nutzung oder für bestimmte Personen freigegeben werden, oder der Download spezieller Daten wird komplett gesperrt. Zudem werden die Mitarbeiter so für das Thema sensibilisiert und auf mögliche Verstöße hingewiesen.
Die Einführung eines Rights-Management-Systems (RMS) hilft dabei, einer Verletzung der Datensicherheit (Artikel 31) vorzubeugen und die Nutzung der Daten auch außerhalb des ERP-Systems nachzuweisen oder zu beschränken.
„Die neue Gesetzgebung sieht ebenfalls vor, dass die meisten Unternehmen einen Datenschutzbeauftragten ausweisen müssen (Artikel 35). Für die Verantwortlichen ist nun der ideale Zeitpunkt, die interne Situation zu überprüfen, geeignete Maßnahmen für die Sondierung und Sicherung der Daten einzuleiten und Lösungsangebote gründlich zu prüfen“, resümiert Kyra.
Die Lösungs-Suite Halocore von SECUDE trägt diesen Anforderungen speziell für die Datensicherheit im SAP-Umfeld Rechnung. Mithilfe der Audit-Funktion können Unternehmensämtliche Exporte von Daten aus SAP auditieren und protokollieren. Datenexporte werden basierend auf Benutzer, Dateityp, Dateigröße, Transaktion, Anwendung und IP-Adresse sichtbar gemacht. Das Data Loss Prevention-Modul hilft, durch eine tiefe Integration in SAP, dem Verlust geschäftskritischer Daten vorzubeugen. Die Datensicherheits- und Governance-Lösung kombiniert erstmals eine native SAP-Datenklassifizierung mit Funktionalitäten zum Schutz vor Datenverlust sowie erweiterten Auditing- und Reporting-Funktionen. Das GRC-Modul machtGovernance-, Risk- und Compliance-Verstöße kenntlich und generiert entsprechende Warnhinweise. Mit der Data Protection-Erweiterung können die Informationen optional, mithilfe von Microsoft RMS, für die weitere Verwendung verschlüsselt werden.
* http://www.bna.com/final-european-union-n57982067329/
Über SECUDE – www.secude.de
SECUDE ist ein innovativer, weltweit tätiger Anbieter von IT-Datenschutzlösungen für SAP-Kunden. Das Unternehmen wurde 1996 als Joint Venture von SAP AG und Europas größter anwendungsorientierter Forschungseinrichtung, dem Fraunhofer Institut gegründet, um SAP relevante Sicherheitssoftware zu entwickeln. SECUDE ermöglicht heute SAP-Kunden, ihre unternehmenskritischen SAP-Datenexporte vor Verlust und Diebstahl zu schützen sowie die Auflagen branchenspezifischer Compliance-Richtlinien zu erfüllen. Sensible Datenexporte aus SAP werden mit SECUDE Softwarelösungen durch intelligente Kontext-Analysen identifiziert, klassifiziert, verschlüsselt und mit Berechtigungen versehen. Damit wird ein vertraulicher Austausch geschäftskritischer SAP-Exporte, sowohl im eigenen Unternehmen als auch mit externen Geschäftspartnern, über die Cloud oder auf mobilen Endgeräten sichergestellt. Seit 2011 ist SECUDE Value Added Reseller (VAR) im PartnerEdge™-Programm von SAP sowie SAP-Vertriebspartner in Deutschland und in der Schweiz. SECUDE genießt heute das Vertrauen zahlreicher Fortune-500- und DAX-Unternehmen. Mit Niederlassungen in Europa, Nordamerika und Asien steht SECUDE für weltumspannende IT-Sicherheit.
SAP, TechEd und andere SAP Produkte und Services, die in dieser Meldung erwähnt werden sowie die entsprechenden Logos sind Marken oder registrierte Warenzeichen von SAP SE (oder einer SAP-Schwestergesellschaft) in Deutschland oder anderen Ländern (s. http://www.sap.com/corporate-en/legal/copyright/index.epx). Alle anderen Service- und Produktnamen, die in dieser Meldung erwähnt werden sind Marken der jeweiligen Unternehmen.
Firmenkontakt
SECUDE GmbH
Violetta Senzel
Rheinstraße 97
64295 Darmstadt
+49.6151.82897-0
info@secude.com
www.secude.de
Pressekontakt
GlobalCom PR-Network GmbH
Wibke Sonderkamp
Münchener Straße 14
85748 Garching
+49.89.360.363-40
wibke@gcpr.net
www.gcpr.net
Author: pr-gateway
