Cyberangriffe, manchmal sogar gegen große Unternehmen, werden immer häufiger. Abgesehen von den offensichtlichen Unannehmlichkeiten, die solche Angriffe sowohl aus betrieblicher Sicht als auch auf der Ebene des Rufs eines Unternehmens verursachen, sind die Herausforderungen für die Computersicherheit seit dem Inkrafttreten der Datenschutz-Grundverordnung noch größer geworden.

1. Beachten Sie eine strenge Passwortpolitik

Zuallererst müssen Sie eine strenge Kennwortpolitik einführen, da dies der erste Hebel zur Sicherung einer Computerstation ist. Der erste Schutz besteht also darin, den Zugang zu einem Arbeitsplatz oder einer Datei über einen Benutzernamen und ein Passwort zu beschränken. Dieses Passwort muss individuell und schwer zu erraten sein und natürlich vertraulich bleiben.

2. Einführung eines Verfahrens zum Erstellen und Löschen von Benutzerkonten

Um alle Beteiligten zu befähigen und die mit einer Datei durchgeführten Aktionen nachverfolgen zu können, darf der Zugang zu Arbeitsstationen und Anwendungen nur über Nominierungskonten erfolgen. Diese Konten sollten nicht generisch, sondern personalisiert sein.

3. Arbeitsplätze so weit wie möglich sichern

Die erste Empfehlung lautet, die Arbeitsplätze der einzelnen Mitarbeiter so zu konfigurieren, dass sie sich nach einer bestimmten Zeit der Inaktivität (höchstens 10 Minuten) automatisch sperren. Sobald sie ihren Arbeitsplatz verlassen, sollten die Bediensteten ebenfalls dazu angehalten werden, ihren Arbeitsplatz zu sperren.

4. Bestimmen Sie, wer Zugriff auf die zu schützenden Daten haben kann.

Der Zugang zu Dateien mit personenbezogenen Daten ist auf diejenigen Personen zu beschränken, die ihn für die Erfüllung ihrer Aufgaben rechtmäßig benötigen.

5. Sicherstellung der Vertraulichkeit der Daten von Dienstleistern

Bei Verträgen über die Vergabe von Unteraufträgen schreibt das Gesetz vor, dass eine Vertraulichkeitsklausel für die Daten, zu denen die Dienstleister Zugang haben, festgelegt wird. So müssen die Interventionen der verschiedenen Unterauftragnehmer des Informationssystems Gegenstand ausreichender Garantien in Bezug auf Sicherheit und Vertraulichkeit sein.

6. Sicherung des lokalen Netzes gegen Angriffe von außen

Logische und spezifische Sicherheitsvorrichtungen, wie z. B. eine Intrusion-Sonde, Filter-Router, eine Firewall usw., müssen die erste Ebene des Schutzes für das lokale Netz eines Unternehmens darstellen. Diese Instrumente müssen ständig aktualisiert werden, um einen zuverlässigen Schutz vor Spyware und Viren zu gewährleisten. Diese Werkzeuge müssen sowohl auf der Serverebene als auch auf den Arbeitsplätzen aller Mitarbeiter erneuert werden.

7. Gewährleistung der Sicherheit des physischen Zugangs zu den Räumlichkeiten

Es wäre sinnlos, den virtuellen Zugang zu den Daten eines Unternehmens zu sichern, wenn die sensiblen Räumlichkeiten des Unternehmens nicht ausreichen. Der Zugang zu den Räumen, in denen sich Computerserver und andere Netzelemente befinden, muss daher streng auf befugte Mitarbeiter beschränkt sein. Es muss alles getan werden, um ihre Sicherheit zu gewährleisten: Bewachung, Überprüfung der Berechtigungen, digitaler Code, verschlossene Türen, Zugang mit Namensschild usw.

8. Antizipieren Sie den Verlust oder die Offenlegung von Daten

Unglückliche Mitarbeiterfehler oder böswillige Handlungen, der Diebstahl eines Laptops, Feuer, Wasserschäden oder Materialausfälle müssen einkalkuliert werden. Deshalb müssen die Daten eines Unternehmens auf dafür vorgesehenen Serverplätzen gespeichert werden, die regelmäßig gesichert werden. Auch die Sicherungsmedien müssen sich unbedingt in einem von den Servern getrennten Raum befinden, idealerweise in einem feuerfesten Tresor.

9. Aufzeichnung der Sicherheitspolitik für Informationssysteme in einem Dokument

Alle Regeln für die Computersicherheit müssen in einer für alle Mitarbeiter des Unternehmens zugänglichen Form formuliert werden. Ihre Ausarbeitung muss durch eine Bestandsaufnahme der potenziellen Bedrohungen und Schwachstellen des Computernetzes vorweggenommen werden. Dieses Dokument muss bei jeder Änderung von Systemen oder IT-Tools regelmäßig weiterentwickelt werden. Schließlich muss bei jedem Projekt im Zusammenhang mit dem Informationssystem im Vorfeld der Parameter „Sicherheit“ berücksichtigt werden.

10. Sensibilisierung der Mitarbeiter für das Datenschutzgesetz und IT-Risiken

Das größte Risiko im Bereich der IT-Sicherheit bleibt das menschliche Versagen. Deshalb müssen alle Nutzer des Informationssystems eines Unternehmens für die verschiedenen Risiken sensibilisiert werden, die mit der Nutzung einer Datenbank verbunden sind. Die Sensibilisierung sowohl für die geltenden Gesetze als auch für mögliche böswillige Handlungen kann durch regelmäßige Schulungen, die Verteilung von Memos, die regelmäßige Zusendung von Übungsblättern usw. erreicht werden.