19.06.2023 | Michael Veser
Wie Ihnen ein Key Management System bei der DSG Compliance helfen kann
Das neue Schweizer Datenschutzgesetz (revDSG) tritt am 1. September 2023 in Kraft und ist nicht zuletzt aufgrund der im Gesetz verankerten persönlichen Strafbarkeit im Falle von Verstössen in aller Munde. Auch wenn die Revision für viele Unternehmen zunächst abschreckend wirkt, finden sich bei genauerer Betrachtung zahlreiche Überschneidungen mit vorhandenen Security Frameworks.
Was sich hinsichtlich der sicheren Datenhaltung ändert
Neu eingeführt werden die Grundsätze «Privacy by Design» und «Privacy by Default», welche vorab zu einer kritischen Prüfung der verarbeiteten und gespeicherten Daten führen sollen. Nur Daten, die wirklich nötig sind, sollen verarbeitet und gespeichert werden. Neben der Datensparsamkeit rückt die IT-Sicherheit in den Fokus. Fehlende Verschlüsselung, unsichere Systeme und eine fehlende Prozessstruktur sind immer auch ein Risiko für Datenschutzverletzungen. Ein Key Management System kann Ihnen bei korrekter Planung und Implementierung bei der Erreichung eines höheren IT-Sicherheits- und Datenschutzniveaus helfen.
Auch wenn die konkreten Mindestanforderungen an die Daten- und Infrastruktursicherheit noch vom Bundesrat definiert werden müssen, kann das Schutzniveau schon heute in Anlehnung an bereits bekannte Security Standards, wie ISO/IEC 270XX oder IKT Grundschutz, proaktiv angehoben werden. Die weitreichende Notwendigkeit zur Ver- und Entschlüsselung personenbezogener Daten ist durch die allgemein definierten Anforderungen im Gesetz bereits absehbar. Die dort definierten Ziele der Vertraulichkeit, Integrität, Verfügbarkeit und Nachvollziehbarkeit personenbezogener Daten erfordern zahlreiche flankierende Massnahmen, welche über das Gebiet der Kryptografie hinausgehen.
Da die unternehmensweite Etablierung kryptografischer Prozesse und die entsprechende Technik viel Vorbereitung und Ausdauer erfordern, ist es sinnvoll, sich bereits jetzt mit der Thematik und den organisationsspezifischen Hindernissen zu beschäftigen.
Was ist ein KMS?
Vereinfacht betrachtet, bündelt ein Key Management System (KMS) jegliche Einsatzszenarien von Schlüsselmaterial in einem zentralen System, welches durch technische und prozessorientierte Massnahmen die oben genannten Schutzziele sicherstellt. Dadurch werden Insellösungen vermieden, und die Umsetzung der notwendigen Sicherheitsmassnahmen kann zentral gesteuert werden.
Als integraler Bestandteil der Sicherheitsarchitektur kann ein KMS helfen, den Anforderungen des DSG gerecht zu werden.
Technisch betrachtet, stellt es die sichere Generierung und Speicherung von Schlüsselmaterial, bestenfalls durch Einsatz eines Hardware-Security-Moduls, sicher. Im Anschluss kann das Schlüsselmaterial sicher und protokolliert für alle berechtigten Schlüsselnutzerinnen und -nutzer bereitgestellt werden. Im Rahmen des Key Lifecycle Management werden zudem zahlreiche technische und organisatorische Massnahmen getroffen, um den gesamten Lebenszyklus des Schlüsselmaterials zu definieren und zu überwachen.
Die Einführung eines KMS erfordert vorab tiefgreifende konzeptionelle Arbeit, während die tatsächliche Technik nur einen kleinen Teil des Gesamtprojekts ausmacht. Die beste Technik bringt keinen Vorteil, wenn die zugrundeliegenden Prozesse nicht sicher gestaltet wurden.
Welche Hindernisse gibt es?
In der Praxis stehen den theoretischen Anforderungen oftmals berechtigte Einwände entgegen. So sollten die Einflüsse weitreichender Verschlüsselung inklusive aller Nachteile genau geprüft werden. Nebst der Betriebsstabilität sind auch der Einfluss auf die Performance und die Supportprozesse in Absprache mit den jeweiligen Betriebsteams zu berücksichtigen. Nebst reduzierter Performance sind auch Punkte wie ein möglicher Datenverlust bei falsch konfigurierter Verschlüsselung zu beachten. Auch ein Back-up muss weiterhin schnell eingespielt werden können, und Notfallprozesse sollten negative Kausalketten im Falle von Grossstörungen möglichst ausschliessen.
Aus technischer Sicht müssen Schnittstellen für alle Schlüsselnutzerinnen und -nutzer zur Verfügung gestellt werden. Dazu ist es jedoch wichtig, alle wichtigen Schlüsselnutzerinnen und -nutzer zu kennen und diese bereits in der Produktevaluation zu berücksichtigen. Bei der tatsächlichen Einführung gilt es zudem, durch gezielte Kommunikation und Schulungsmassnahmen die Mitarbeit aller Personen im Unternehmen sicherzustellen. Erfahrungsgemäss kann hierfür bereits in der initialen Konzeptphase der Grundstein gelegt werden, indem Einwände gehört und berücksichtigt werden.
Wie lautet unsere Umsetzungsempfehlung?
- Finden und dokumentieren Sie alle Systeme, welche personenbezogene Daten verarbeiten oder speichern.
- Definieren Sie den Schutzbedarf.
- Speichern und verarbeiten Sie nur Daten und Attribute, die benötigt werden.
- Prüfen Sie, inwiefern bereits heute Verschlüsselung zum Einsatz kommt.
- Optimieren Sie Ihre Prozesse zur Datenverarbeitung.
- Sofern die Notwendigkeit für ein KMS besteht, evaluieren Sie die verfügbaren Produkte.
- Führen Sie das KMS schrittweise ein.
- Aktualisieren Sie Ihre Prozesse und schulen Sie Ihre Mitarbeitenden.
- Lassen Sie die Umsetzung durch eine externe Fachperson prüfen.
Fazit
Viele der neuen Anforderungen waren bereits vor der Revision des Datenschutzgesetzes in Form vorhandener Security wichtig. Das neue Datenschutzgesetz erhöht – insbesondere durch die persönliche Haftbarkeit – den Druck zur Umsetzung entsprechender Schutzmassnahmen.
Sollten Sie in Ihrem Unternehmen Handlungsbedarf feststellen, sind wir als kompetenter Ansprechpartner gerne für Sie da. Egal, ob es um PKI, KMS, IAM oder eine externe Prüfung der bereits getroffenen Massnahmen geht – wir stellen unser umfangreiches Know-how gerne zur Verfügung.
Compliance Security Architecure Public Key Infrastructure (PKI)
