Mit Search Guard sensible Daten in Elasticsearch-Clustern DSGVO-konform speichern
Berlin, 10.09.2020. Datenpannen und Verstöße gegen die DSGVO sind immer häufiger miteinander verknüpft und aufgrund der Menge und Sensibilität der Informationen besonders kritisch. Mit der Compliance Edition des Security Plug-Ins Search Guard können personenbezogene und sensible Kunden- und Mitarbeiterdaten gesetzeskonform in Elasticsearch-Clustern gespeichert, bearbeitet und verwaltet werden. Durch rollenbasierte Zugriffsrechte, Write History und Feldanonymisierung erfüllen Unternehmen die Anforderungen der DSGVO und dokumentieren lückenlos die Einhaltung von Compliance-Richtlinien. Search Guard ist der einzige Anbieter, der DSGVO-Features für den Umgang mit sensiblen sowie PII Daten in Elasticsearch-Clustern anbietet.Personenbezogene Daten, die Rückschlüsse auf die Identifikation einer Person führen können (PII Daten) sind auch zwei Jahre nach Einführung der DSGVO vielerorts unzureichend vor unberechtigtem Zugriff geschützt.
Deren unzweckmäßiger Gebrauch führt in Deutschland und Österreich regelmäßig zu Geldstrafen in sechs- und siebenstelliger Höhe. Bisher bekannte Verstöße sind zum Beispiel die Verwendung von Kontaktdaten für Werbezwecke ohne Erlaubnis, nicht erfolgte Löschung persönlicher Daten oder die Weitergabe von Daten an Dritte.
„Die Masse sensibler Daten in unterschiedlichen Systemen und ein fehlendes Risikomanagement stellen CIOs in der Umsetzung der DSGVO immer noch vor enorme Herausforderungen“, sagt Jochen Kressin, Geschäftsführer der floragunn GmbH, Hersteller von Search Guard. „Doch jeder Regelverstoß bedeutet finanziellen Schaden und Vertrauensverlust. Die Compliance Edition von Search Guard ist ein effizientes und effektives Management Tool für PII Daten über die DSGVO hinaus.“
Mit der Search Guard Compliance Edition reduzieren Unternehmen die Risiken in der Verarbeitung personenbezogener und sensibler Daten, die sich in einem Elasticsearch-Cluster befinden. Der Schutz umfasst auch Logfiles, in denen oft unbemerkt Emailadressen oder IP-Adressen gespeichert sind.
Der Dokumentationspflicht über den Lebenszyklus von Daten nachkommen
Wer hatte wann Zugriff auf welche Daten und wann wurde ein Dokument von wem verändert? Die DSGVO verpflichtet Unternehmen, Dateneigentümern wie Kunden und Mitarbeitern darüber Auskunft zu erteilen. Beispiele dafür sind der Einsatz moderner, cloudbasierter Marketingmethoden und Online-Bezahlsysteme. Beides führt dazu, dass Unternehmen über einen langen Zeitraum Kundendaten erhalten, auswerten und laufend bearbeiten.Mit der Funktion Read History Audit Logging ist es möglich, den Zugriff bis auf die Feldebene eines Dokuments nachzuverfolgen. Dafür wird ein Audit-Trail aller Zugriffsaktivitäten erstellt. Der Audit-Trail enthält das Datum des Zugriffs, den Benutzernamen, die Dokument-ID und eine Liste der personenbezogenen Felder, die im Ergebnis enthalten waren.
Die Funktion Write History Audit Trail dokumentiert die Lebensdauer von sensiblen und PII Daten. CIOs sind jederzeit auskunftsfähig darüber, welcher Benutzer Dokumente erstellt, geändert oder gelöscht hat, was genau verändert wurde und wann.
Darüber hinaus können veränderte Dokumente revisionssicher in einem unveränderbaren, dem Immutable Elasticsearch Index oder in einem zentralen Drittsystem gespeichert werden und gelten so als nicht manipulierbar.
Rollenbasierte Feldanonymisierung für mehr Datensicherheit über die DSGVO hinaus
Rollenbasiertes Berechtigungsmanagement für den optimalen Schutz von Daten über die Anforderungen der DSGVO hinaus erhalten IT-Administratoren mit der Funktion Feldanonymisierung. Je nach zugewiesener Rolle werden Felder mit PII oder sensiblen Daten wie Klarnamen, Email-Adressen und Kreditkartendetails unberechtigten Benutzern nicht angezeigt, wenn diese Dokumente aufgerufen werden.Das ermöglicht reibungslose Abläufe im Unternehmensalltag, ohne gegen DSGVO und Compliance-Richtlinien zu verstoßen. Zum Beispiel hat ein HR-Manager weiterhin Zugriff auf eine Personalakte, kann aber Gehälter nicht einsehen. Marketing und Vertrieb können Auswertungen der letzten Email-Kampagne durchführen, ohne Zugriff auf Email-Adressen zu bekommen.
Die Besonderheit daran ist, dass die Anonymisierung von Feldern zur Laufzeit vorgenommen kann, auch nachdem Daten in einem Elasticsearch Cluster abgelegt wurden. Das ist dann von Vorteil, wenn sich Rollen und Berechtigungen im Laufe der Zeit verändern.
Configuration Change Tracking und System Change Tracking runden die Compliance Edition ab. Die Features speichern und dokumentieren alle Änderungen sowohl in der Search Guard als auch in der Elasticsearch Konfiguration. Kommt es zu einem Datenverlust kann anhand dessen leicht nachvollzogen werden, ob und wie Rollen vorher verändert wurden, um einen unerlaubten Zugriff zu ermöglichen.
Die Search Guard Compliance Edition richtet sich an CIOs, die eine Fülle an Anwendungsfällen abdecken müssen, um den Anforderungen der DSGVO und weiterer Regelwerke wie Health Insurance Portability and Accountability Act (HIPAA), Payment Card Industry Data Security Standard (PCI) oder Sarbanes-Oxley Act (SOX) gerecht zu werden.
Über floragunn GmbH
Exponentiell steigende Datenmengen (Big Data) benötigen zu jeder Zeit Schutz vor unbefugtem Zugriff oder Manipulation. Seit seiner Gründung im Jahr 2013 verfolgt floragunn die Vision, jedes Elasticsearch-Cluster zu schützen. Mit der Version Search Guard®2.3, veröffentlicht am 17. Juni 2016, ist Search Guard® das erste Sicherheits-Plug-In, das wesentliche Security-Funktionen kostenlos zur Verfügung stellt. Hohe Kundenorientierung, schnelle Prozesse und ein anwenderfreundliches Lizenzmodell zeichnen das Unternehmen aus. Search Guard® ist ein Open-Source basiertes Plug-In Made in Germany und verifiziert nach Veracode und CVE Numbering Authority. Die floragunn GmbH ist Mitglied in der Allianz für Cyber-Sicherheit vom Bundesamt für Sicherheit in der Informationstechnik (BSI) sowie im TeleTrusT, dem Bundesverband für IT Sicherheit e.V.. Fortune 500 Unternehmen, Bildungsträger und Behörden weltweit setzen Search Guard® zum Schutz ihrer Cluster ein. Search Guard® ist erhältlich in der kostenlosen Community Edition sowie in den Lizenz-Versionen Enterprise und Compliance Edition. Das Plug-In kann 60 Tage kostenlos getestet werden. Weitere Informationen unter search-guard.com/compliance/.
Ansprechpartner für die Redaktion:
Eskimos mit Kühlschränken
Simone Brett-Murati
Tel: 0171/ 53 80 275
E-Mail: sbm@eskimos-mit-kuehlschraenken.de
floragunn GmbH
Thomas Mahler
Tel: 01522/ 1950326
Email: tmahler@search-guard.com
