So entwickeln Sie ein Datensicherheitskonzept
Viele Unternehmen haben ein Datensicherheitskonzept, das die Risiken nicht genau genug berücksichtigt. Oft finden sich nur allgemeine Aussagen zum Datenschutz. Das Standard-Datenschutzmodell (SDM 3.0) hilft dabei, die Schutzmaßnahmen zu konkretisieren.
Muss ein Datensicherheitskonzeptdynamisch sein?
Wann haben Sie sich zuletzt das Datensicherheitskonzept Ihres Unternehmens angesehen? Müssen Sie länger überlegen, macht das schon eine Schwachstelle sichtbar: Das Sicherheitskonzept Ihres Unternehmens lebt nicht.
Es muss jedoch dynamisch sein, sich mit der Risikolage entwickeln. Dazu gehört beispielsweise, dass das Konzept neue Angriffsverfahren und neue IT-Technologien berücksichtigt.
Wie die Aufsichtsbehörden bei Kontrollen festgestellt haben, füllen viele Unternehmen ihre Konzepte für die IT-Sicherheit und die Datensicherheit mit allgemeinen Aussagen zum Datenschutz. Finden sich genaue Vorgaben und Richtlinien, aktualisieren die Unternehmen sie häufig nicht.
Das führt zu einer lückenhaften IT-Sicherheits-Infrastruktur und begünstigt Datenpannen.
Wie hilft das Standard-Datenschutzmodell bei der Entwicklung des Datensicherheitskonzepts?
Es ist nicht einfach, ein aktuelles Konzept für die technisch-organisatorischen Maßnahmen (TOMs) des Datenschutzes zu erstellen: Entweder die geplanten Maßnahmen reichen nicht aus oder sie sind übertrieben aufwändig.
Der wirkliche Schutzbedarf und das Datenrisiko hängen nicht nur von der jeweiligen Datenkategorie ab. Also davon, ob es sich etwa um besondere Kategorien personenbezogener Daten handelt oder nicht.
Auch die aktuelle Gefahrenlage spielt eine Rolle. So sind der Schutzbedarf und das Risiko höher, wenn Angreifer gegenwärtig massiv bestimmte Arten von Daten stehlen.
|
Die Aufsichtsbehörden für den Datenschutz haben nun ein wichtiges Instrument veröffentlicht. Es hilft Unternehmen und Behörden, geeignete technisch-organisatorische Maßnahmen auszuwählen: die grundlegend überarbeitete Version des Standard-Datenschutzmodelles (SDM).
|
Das PDF der Datenschutzkonferenz (DSK) zum SDM finden Sie unter https://www.datenschutzkonferenz-online.de/media/ah/SDM-Methode-V30a.pdf
Mit dem SDM stellt die DSK ein Werkzeug bereit, um die technischen und organisatorischen Maßnahmen, die die Datenschutz-Grundverordung (DSGVO) fordert, angepasst an das Risiko auszuwählen und rechtlich zu bewerten.
Das SDM bietet mit den sogenannten Gewährleistungszielen ein Bindeglied zwischen Recht und Technik. Außerdem unterstützt es damit einen ständigen Dialog zwischen Beteiligten aus den juristischen und technisch-organisatorischen Bereichen.
Wie sieht ein Datensicherheitskonzept auf Basis von SDM 3.0 aus?
Das SDM 3.0 geht von Gewährleistungszielen aus, die sich von den Grundsätzen der Verarbeitung personenbezogener Daten (Artikel 5 DSGVO) ableiten.
Die Gewährleistungsziele sind
- Sicherung der Verfügbarkeit,
- Integrität,
- Vertraulichkeit,
- Transparenz,
- Intervenierbarkeit,
- Nicht-Verkettung von personenbezogenen Verfahren,
- Datenminimierung und
- Belastbarkeit, wobei sich die Belastbarkeit aus den Forderungen in Artikel 32 DSGVO (Sicherheit der Verarbeitung) ergibt.
Diese Gewährleistungsziele ergänzt das Modell um Schutzbedarfs- und Risiko-Feststellungen. So erreicht es eine angemessene Auswahl und Wirksamkeit der Schutzmaßnahmen.
Der Schutzbedarf ist abhängig vom zu erwartenden Schaden, der sich aus dem Risikoniveau einer Verarbeitung herleitet. Dabei nimmt das SDM die Sicht des Betroffenen ein.
Ein Risiko im Sinne der DSGVO ist das Bestehen der Möglichkeit des Eintritts eines Ereignisses, das einen Schaden für die Rechte und Freiheiten natürlicher Personen (einschließlich ungerechtfertigter Beeinträchtigung der Rechte und Freiheiten) darstellt oder zu einem Schaden für eine oder mehrere natürliche Personen führen kann. Es hat zwei Dimensionen: Erstens die Schwere des Schadens für die Rechte und Freiheiten der betroffenen Personen und zweitens die Wahrscheinlichkeit, dass das Ereignis und der Schaden eintreten.
Bei der Risikobeurteilung lässt sich auf die Datenschutz-Folgenabschätzung (Artikel 35 DSGVO) zurückgreifen. In bestimmten Fällen schreibt dies die DSGVO vor.
Wie lassen sich Maßnahmen auswählen?
In einem zweiten Schritt müssen die Verantwortlichen dann die Datenschutz-Verletzungen, die durch eine mangelhafte IT-Sicherheit entstehen können, beurteilen und durch Maßnahmen eindämmen.
Für den letzten Punkt bietet das SDM 3.0 einen Katalog mit Schutzmaßnahmen.
Zudem ist das SDM 3.0 mit dem IT-Grundschutz des BSI (Bundesamt für Sicherheit in der Informationstechnik) kompatibel. So können Unternehmen und Behörden auch geeignete Maßnahmen aus dem IT-Grundschutz nehmen, wenn sie dabei die Gewährleistungsziele des Datenschutzes beachten.
Die Datenschutzkonferenz empfiehlt den Verantwortlichen in Wirtschaft und Verwaltung, das SDM bei Planung, Einführung und Betrieb von personenbezogenen Verarbeitungen anzuwenden.
Die Aufsichtsbehörden planen, das SDM kontinuierlich weiterzuentwickeln. Anwenderinnen und Anwender sind eingeladen, den Datenschutz-Aufsichtsbehörden ihre Erfahrungen bei der Nutzung des SDM mitzuteilen. So tragen sie dazu bei, das Modell stetig zu verbessern.
Die Checkliste hilft Ihnen ebenfalls, die Arbeit an Ihrem Datensicherheitskonzept zu optimieren.
Download:
