IT-SECURITY,
Damit stellt man sicher, dass ein Anwender nur auf jene Informationen über Mitarbeiter zugreifen kann, die er berechtigterweise für seine tägliche Arbeit benötigt.
Nur leider gibt es im Personalwesen eine Unmenge von zusätzlichen Dokumenten, die per E-Mail übermittelt oder auf FileShares abgelegt werden. Wenn man davon ausgeht, dass auch die Dateiablage sauber mit Zugriffsberechtigungen versehen wurde, so gibt es trotz alledem noch die IT-Administratoren, die unberechtigterweise Mitlesen könnten. Auch passiert es immer wieder, dass Dateien aus Versehen in falsche Ordner gespeichert werden. In solchen Fällen hilft kein klassisches Berechtigungskonzept, das auf den Speicherort abzielt. Idealerweise sollte das Dokument selbst wissen, wer es öffnen, drucken, bearbeiten oder weiterleiten darf - ein Dokument mit personenbezogenen Daten sollte also verschlüsselt sein.
Aber kann man in einer Firmenorganisation mit verschlüsselten Dateien, die in den unterschiedlichsten Verzeichnispfaden abgelegt werden, wirklich effizient und frustfrei arbeiten?
Eher nein, denn ein Unternehmen ist ein lebendiges Gebilde, in dem Mitarbeiter die Abteilung wechseln oder gar ausscheiden und eigentlich automatisch die Berechtigung auf verschlüsselte Dokumente verlieren sollten.
Es bedarf eines eigenen Managementsystems, das die Verwaltung von Berechtigungen auf Dateiebene und die einhergehende Verschlüsselung managen kann. Wir in der VACE Digital bevorzugen, empfehlen und implementieren Microsoft Azure Information Protection (AIP) bei unseren Kunden.
Dabei machen wir uns die in vielen ISO-Normen geforderte Dokumentenklassifizierung zu Nutze. Die Mindestanforderung verlangt immer nach dem Label “Öffentlich” oder “Vertraulich” oder “Streng Vertraulich”. Mit den entsprechenden Verfahrensanweisungen weiß dann grundsätzlich jeder Mitarbeiter, wie er mit einem klassifizierten Dokument umzugehen hat. Mit Microsoft AIP kann ich erzwingen, dass jedes Dokument händisch oder automatisch gelabelt und gegebenenfalls auch automatisch verschlüsselt wird. Hinter jedem Label steht eine Berechtigungsdefinition und ob es eine Verschlüsselung des Dokumentes für die Berechtigungsgruppe auslösen soll. Idealerweise wendet man die Verschlüsselungsoption bei Dokumenten, die als “Streng vertraulich” zu klassifizieren sind. Um granulare Einstellungen für bestimmte Organisationseinheiten abzubilden, erlaubt AIP mit Sub-Labels zu arbeiten.
Für Personalinformationen würde ich beispielsweise das Label “Streng Geheim” mit einem Sub-Label “Personal” (Streng Geheim – Personal) versehen, verschlüsseln und der Gruppe “Personalmanagement” die entsprechenden Entschlüsselungs-, Lese- und Schreibrechte geben. Immer wenn ein Mitarbeiter ein Dokument öffnen möchte, überprüft AIP vorher die Berechtigung. Hat der Benutzer die Berechtigung, so öffnet sich das Dokument komplett transparent in der entsprechenden Applikation, anderenfalls wird die Öffnung verweigert. Der Speicherort ist dabei irrelevant und bietet somit auch Schutz, falls Personaldokumente fälschlicherweise auf einem Cloud-Speicher landen sollten.
Mit Microsoft AIP reduzieren wir schlussendlich die Komplexität des Schutzes von strengvertraulichen Daten auf deren korrekte Klassifizierung. Verzeichnisstrukturen dienen dem Ordnungsprinzip, damit Dateien auch wieder gefunden werden und die Verzeichnisberechtigungen unterstützen zusätzlich die Sicherheit.
Das Team der VACE Digital Solutions berät und unterstützt gerne bei der Einführung von Microsoft AIP mit einem Best-Practice-Ansatz und Erfahrungen aus bereits durchgeführten Implementierungen.