Wie unsere Next-Generation Security Platform zur Einhaltung der DSGVO beiträgt

WIE DIE PLATTFORM VON PALO ALTO NETWORKS ZUR EINHALTUNG DER DSGVO BEITRÄGT

Investitionen in Cybersicherheit sind unverzichtbar, um personenbezogene Daten zu schützen und die Vorgaben der Datenschutz-Grundverordnung (DSGVO) zu erfüllen.

Die große Mehrheit der DSGVO-Bestimmungen betrifft das Datenmanagement, insbesondere die Datenerhebung und -verarbeitung. Eine unerlaubte Datenverarbeitung ist untersagt und Unternehmen sowie Körperschaften sind verpflichtet, auf die Erhebung von personenbezogenen Daten hinzuweisen. Sie müssen die Datenverarbeitung protokollieren und unter bestimmten Umständen einen Datenschutzbeauftragten ernennen. Zudem unterliegen sie Regeln, die etwa die Übermittlung personenbezogener Daten an Dritte und Drittländer betreffen.

Dabei darf aber nicht vergessen werden, dass auch die Datensicherheit eine tragende Säule der DSGVO ist. Die DSGVO umfasst spezifische Vorgaben im Hinblick auf die Sicherheit, die im Folgenden näher beschrieben sind. Darüber hinaus ist beim Schutz personenbezogener Daten wichtig, dass sie sowohl vor der Ausschleusung durch Cyberkriminelle als auch vor internen Datenlecks sicher sind. Damit Unternehmen und Körperschaften die DSGVO-Vorgaben umsetzen können, müssen sie deshalb nicht nur in die entsprechende Compliance sowie Prozesse und Technologien für das Informationsmanagement, sondern auch in geeignete Cybersicherheit investieren.

Zusammenfassung der relevanten DSGVO-Bestimmungen (über diesen Link gelangen Sie zum vollständigen Text der DSGVO) :

Palo Alto Networks® unterstützt Unternehmen und Körperschaften bei ihren Sicherheits- und Datenschutzmaßnahmen, die für die Einhaltung der DSGVO-Vorgaben notwendig sind:

1. Sicherung personenbezogener Daten: Die DSGVO verlangt eine sichere, dem Stand der Technik entsprechende Datenverarbeitung. Unsere Next-Generation Security Platform bietet genau das: Sicherheit auf Anwendungs-, Netzwerk- und Endpunktebene sowie in der Cloud.

2. Prävention von Datenschutzverletzungen: Die Prävention von Datenschutzverletzungen ist für die Einhaltung der DSGVO entscheidend, unabhängig davon, ob diese auf Hackerangriffe oder versehentliche Datenlecks zurückzuführen sind. Ohne angemessene Cybersicherheit können Sie die personenbezogenen und geschäftskritischen Daten und Anwendungen Ihres Betriebs nicht durchgängig schützen. Unsere Next-Generation Security Platform wurde speziell zur Prävention solcher Datenschutzverletzungen entwickelt.

3. Meldung von Datenschutzverletzungen: Kommt es trotz allem zu einer Datenschutzverletzung, so muss diese gemeldet werden. Unsere Next-Generation Security Platform hilft Ihnen herauszufinden, welche personenbezogenen Daten beeinträchtigt wurden, und steuert wichtige Informationen zu den Maßnahmen bei, die ergriffen wurden, um die Datenschutzverletzung zu beheben.

Für diese Erfordernisse bietet unser Produktportfolio zahlreiche Funktionen und Merkmale, die im Folgenden beschrieben werden.

Sicherung personenbezogener Daten

Die DSGVO verlangt eine sichere, dem Stand der Technik entsprechende Datenverarbeitung. Die Plattform von Palo Alto Networks schützt Daten auf Anwendungs-, Netzwerk- und Endpunktebene sowie in der Cloud.

Eine echte Verringerung des Cyberrisikos und ein effektiver Schutz von Daten – einschließlich personenbezogener Daten – erfordert integrierte, automatisierte und wirksame Sicherheitsmaßnahmen, um bekannte und unbekannte Bedrohungen in jeder Phase des Angriffsverlaufs aufzuspüren und abzuwehren. Die

Next-Generation Security Platform von Palo Alto Networks wurde von Grund auf zur Prävention solcher Bedrohungen entwickelt. Damit können Unternehmen und Körperschaften eine Digital-first-Strategie verfolgen, um zum Beispiel wichtige technologische Neuerungen in der Cloud und zunehmend auch in mobilen Netzwerken bereitzustellen, ohne zu riskieren, dass ihre wertvollsten Datenassets durch Cyberkriminelle ausgeschleust oder versehentlich offengelegt werden.

Die Next-Generation Security Platform von Palo Alto Networks vereint Netzwerk- und Endpunktsicherheit mit Threat Intelligence und bietet damit automatisierten Schutz vor Cyberattacken, statt diese lediglich zu erkennen. Unsere Plattform kombiniert nativ alle entscheidenden Sicherheitsfunktionen wie Firewall, URL Filtering, IDS/IPS sowie innovative Endpunktsicherheit und Schutz vor Angriffen. Diese Funktionen wurden gezielt in die Plattform integriert, um Cyberbedrohungen abzuwehren, und sie teilen wichtige Informationen über verschiedene Disziplinen hinweg nativ. Dadurch ermöglichen sie eine höhere Sicherheit als herkömmliche Firewalls und Antivirus-Produkte, UTMs oder Punktlösungen zur Bedrohungserkennung. Kurz gesagt: Höhere Sicherheit erlaubt besseren Datenschutz.

Dem Stand der Technik entsprechende Sicherheit

Die DSGVO fordert technische und organisatorische Sicherheitsmaßnahmen, die dem aktuellen Stand der Technik entsprechen. Ältere Sicherheitssysteme, die aus einem Flickwerk von Einzellösungen bestehen, sind erwiesenermaßen nicht in der Lage, der zunehmenden Anzahl, Automatisierung und Raffiniertheit von Cyberattacken angemessen zu begegnen. CISOs sollten daher sorgfältig prüfen, ob die installierten Produkte noch dem Stand der Technik entsprechen.

Da die Bedrohungslandschaft sich fortlaufend weiterentwickelt, müssen auch die eingesetzten Sicherheitstechnologien stets aktuell bleiben, um neue Bedrohungen abzuwehren. Die Next-Generation Security Platform von Palo Alto Networks vereint Netzwerk- und Endpunktsicherheit mit Threat Intelligence und bietet damit automatisierten Schutz vor Cyberattacken, statt diese lediglich zu erkennen. Im Gegensatz zu herkömmlichen Punktlösungen kann unsere Plattform Bedrohungsinformationen nutzen, die von einem Netzwerk aus Tausenden von Kunden, Technologiepartnern und Forschern beigesteuert werden. Wir entwickeln Technologien, die Angriffe an taktisch und strategisch wichtigen Punkten verhindern, an denen Cyberattacken bevorzugt ansetzen. Die neuesten Schutzmechanismen stellen wir unseren Kunden dabei weltweit in wenigen Minuten zur Verfügung. Wir decken laufend neue Cyberbedrohungen – also Zero-Day-Bedrohungen – auf und generieren dadurch über eine Million neue vorbeugende Abwehrmaßnahmen pro Woche. Mit unserer Plattform können Unternehmen und Körperschaften ihre geschäftskritischen Anwendungen auf sichere Weise ausführen, bedenkenlos neue technologische Initiativen verfolgen und den Betrieb sowohl vor einfachen als auch vor komplexen, mehrgleisigen Cyberattacken schützen. CISOs, die nachweisen wollen, dass ihre Sicherheitsmaßnahmen dem neuesten Stand der Technik entsprechen, sollten die Lösungen von Palo Alto Networks daher unbedingt in Erwägung ziehen.

Prävention von Datenschutzverletzungen

Die Prävention von Datenschutzverletzungen ist für die DSGVO-Compliance entscheidend, unabhängig davon, ob diese auf Hackerangriffe oder versehentliche Datenlecks zurückzuführen sind. Ohne angemessene Cybersicherheit können Sie die personenbezogenen und geschäftskritischen Daten und Anwendungen Ihres Betriebs nicht durchgängig schützen.

Unsere Plattform unterstützt vier wichtige Präventionsmethoden, die gleichzeitig auch zur Einhaltung der DSGVO-Vorgaben beitragen.

• Vollständige Transparenz: Unsere Plattform gibt Ihnen Einblick in den gesamten Netzwerk-, Endpunkt- und Cloud-Verkehr, klassifiziert nach Anwendung, Benutzer und Inhalt. Denn was Sie nicht sehen, können Sie auch nicht aufhalten oder verhindern. Vollständige Transparenz liefert den erforderlichen Kontext für die Umsetzung dynamischer Sicherheitsrichtlinien.

• Reduzierung der Angriffsfläche: Durch die zunehmende Nutzung von immer mehr Anwendungen und Geräten (z. B. SaaS, Cloud und IoT) vergrößert sich die Angriffsfläche rasant. Je mehr Einfallstore in Systeme es gibt, desto mehr Möglichkeiten hat ein Angreifer, personenbezogene Daten auszuschleusen. Wir setzen ein positives Sicherheitsmodell durch, um die Angriffsfläche zu reduzieren. Das heißt, dass nur die befugten Benutzer auf die genehmigten Anwendungen zugreifen dürfen und alles andere unterbunden wird.

• Abwehr bekannter Bedrohungen: Viele Datenpannen resultieren aus bekannten Bedrohungen, z. B. gängigen Trojanern für den Datendiebstahl, weit verbreiteter Malware oder längst bekannten Exploits, die auf Anwendungen abzielen. Am Perimeter kontrolliert unsere Plattform die Bedrohungsvektoren direkt, indem sie alle Arten von Anwendungen differenziert im Blick behält. Dadurch reduziert sich die Angriffsfläche des Netzwerks sofort. Anschließend wird der gesamte erlaubte Verkehr auf Exploits, Malware, schädliche URLs sowie gefährliche oder zugriffsbeschränkte Dateien oder Inhalte analysiert. Am Endpunkt kombiniert Palo Alto Networks die Threat Intelligence aus unserer globalen Kundencommunity mit unseren einzigartigen mehrschichtigen Schutzmethoden, um bekannte Malware und Exploits zu blockieren, bevor sie dort Schaden anrichten können.

• Abwehr unbekannter Bedrohungen: Unsere Plattform stoppt nicht nur bekannte Bedrohungen, sondern ermittelt und blockiert proaktiv auch unbekannte Malware und Exploits, die häufig in raffinierten gezielten Angriffen zum Einsatz kommen. Stößt WildFire® auf neuartige Malware oder Exploits, erzeugt der cloudbasierte Service zur Bedrohungsanalyse automatisch neue Schutzmaßnahmen und leitet diese innerhalb weniger Minuten an Ihre Abwehrlösungen, z. B. Next-Generation Firewalls und Traps™ Advanced Endpoint Protection, weiter. Ein manuelles Eingreifen ist dazu nicht erforderlich. Darüber hinaus nutzt Traps einzigartige mehrschichtige Schutzmethoden, um die Kerntechniken von Zero-Day-Exploits zu blockieren sowie unbekannte Malware zu erkennen und zu verhindern, dass sie Endpunkte infiltriert.

Damit Sie den europäischen Datenschutzanforderungen noch besser gerecht werden können, steht Ihnen die WildFire EU-Cloud zur Verfügung, in der Daten analysiert werden können, ohne die EU-Grenzen zu verlassen.

Diese Methoden der Bedrohungsabwehr stützen sich auf WildFire, eine der modernsten Analyse- und Präventions-Engines zur Erkennung und Abwehr gut getarnter Zero-Day-Malware und Exploits. In einem mehrgleisigen Ansatz kombiniert dieser cloudbasierte Service statische und dynamische Analysen mit innovativen maschinellen Lernverfahren und einer wegweisenden Bare-Metal-Analyse-Umgebung. So lassen sich auch bestens getarnte Bedrohungen erkennen und abwehren. Im Gegensatz zu herkömmlichen Analysetools setzt WildFire vier voneinander unabhängige Verfahren ein, um sogar mit Umgehungsfunktionen ausgestattete Malware zuverlässig zu erkennen.

• Dynamische Analyse: Hier werden die Aktivitäten verdächtiger Dateien bei der Ausführung in einer speziell für diesen Zweck entwickelten und umgehungsresistenten virtuellen Umgebung beobachtet. Diese Verhaltensanalysen basieren auf Hunderten von Merkmalen und ermöglichen unter anderem die Erkennung von Zero-Day-Malware und Exploits.

• Statische Analyse: Diese Methode ermöglicht zum einen die rasche Identifizierung neuer Varianten bekannter Malwarefamilien, zum anderen die effektive Erkennung von Malware und Exploits, die dynamische Analyseverfahren unterwandern können.

• Maschinelles Lernen: Anhand Tausender trennscharfer Dateimerkmale identifiziert ein gut trainierter Klassifizierungsalgorithmus neue Malwarevarianten und Exploits, die mit statischen oder dynamischen Analyseverfahren allein nicht zu erkennen sind.

• Bare-Metal-Analyse: Getarnte Bedrohungen werden automatisch in einer realen Hardware-Umgebung ausgeführt, um Anti-VM-Analysetechniken zuvorzukommen.

Zusammen sorgen diese Verfahren dafür, dass WildFire unbekannte Malware und Exploits effektiv und präzise erkennen und abwehren kann und dabei so gut wie keine False Positives generiert.

Zentrales Management der Sicherheitsprozesse

Die DSGVO gilt für alle Unternehmen und Körperschaften weltweit, die personenbezogene Daten von Personen verarbeiten, die in der EU ansässig sind. In vielen großen und multinationalen Konzernen erfolgt die Verarbeitung personenbezogener Daten über mehrere Standorte verteilt. Das bedeutet, dass jeder einzelne dieser Standorte die DSGVO-Vorgaben erfüllen muss. Panorama™, unsere Lösung für das Management der Netzwerksicherheit, ermöglicht die einfache Erstellung und Verwaltung konsistenter Richtlinien für all unsere Next-Generation Firewalls. Mit Panorama können Sie sowohl zentralisierte als auch regionale Richtlinien implementieren und nach Bedarf oder Wunsch einfach an regionale Administratoren delegieren. Entscheidend dafür ist die Flexibilität, Richtlinien entsprechend den Geschäftsanforderungen und vor Ort geltenden Gesetzen umzusetzen. Beispielsweise kann ein Panorama-Administrator Sicherheitsrichtlinien für Firewalls in einer Filiale in Singapur oder Brasilien durchsetzen, selbst wenn sich die regionalen Administratoren an diesen Standorten der Complianceanforderungen im Rahmen der DSGVO-Datenschutzbestimmungen nicht bewusst sein sollten.

Prävention von Datenausschleusung und Datenlecks

Datenschutzverletzungen können durch die Ausschleusung von Daten oder durch Datenlecks entstehen. Hier kommt unsere Plattform ins Spiel: Sie kann dazu beitragen, beides zu verhindern.

Über unsere Next-Generation Security Platform stehen für jede kritische Phase des Angriffsverlaufs Abwehrmechanismen zur Verfügung, um die Ausschleusung von Daten zu verhindern – vom ersten Eindringversuch des Angreifers am Perimeter über das Einschleusen von Malware oder Exploits am Endpunkt bis zur Ausbreitung im Netzwerk, um personenbezogene und sensible Daten des anvisierten Hauptziels auszuschleusen.

Für die DSGVO-Compliance ist es entscheidend, dass die versehentliche Ausschleusung oder Weitergabe von Daten durch interne oder externe Benutzer in der gesamten Infrastruktur verhindert wird. Von Endbenutzern gehen einige der häufigsten Risiken aus, insbesondere beim Einsatz von SaaS-Anwendungen. Da sie oft nicht über ein fundiertes Fachwissen verfügen und sich der Risiken nicht bewusst sind, können ihre Handlungen zur unbeabsichtigten Preisgabe personenbezogener Daten führen. Unsere Sicherheitsplattform wirkt Datenausschleusung und Datenlecks auf unterschiedliche Weise entgegen:

• Sicherheit auf Netzwerkebene: Eine Next-Generation Firewall mit integrierten Datenfilterprofilen bietet effektiven Schutz für Daten innerhalb Ihrer Infrastruktur und trägt wesentlich dazu bei, eine versehentliche Preisgabe von Daten auf der Netzwerkebene zu vermeiden. Systemadministratoren können durch die Implementierung von Richtlinien festlegen, dass Inhalte auf dem Weg durch das Netzwerk überprüft und kontrolliert werden. Auf diese Weise lässt sich die unbefugte Übermittlung sensibler Daten, wie zum Beispiel Kreditkartennummern, unterbinden.

• Sicherheit auf SaaS-Ebene: Unternehmen und Körperschaften müssen den Zugang zu SaaS-Anwendungen kontrollieren, Richtlinien zur Informationsweitergabe durchsetzen und Datenlecks stoppen.
  
  
  • Sind sie innerhalb Europas tätig, können sie ein in der EU gelegenes regionales Prisma™ SaaS -Rechenzentrum wählen, um ihre Anforderungen im Hinblick auf den Datenstandort zu erfüllen.

◦ Zu diesem Zweck stellt unsere Plattform die Next-Generation Firewall (mit Technologien wie User-ID™, App-ID™ und Content-ID™) sowie den Sicherheitsdienst von Prisma™ SaaS bereit. Die Next-Generation Firewall analysiert den gesamten Datenverkehr zwischen Ihrem Netzwerk und den SaaS-Anwendungen. Allerdings sind bestimmte cloudbasierte Aktivitäten für den Inline-Sicherheitsdienst möglicherweise nicht erkennbar, wie zum Beispiel die Erteilung von Berechtigungen für die Datenweitergabe oder der Zugriff auf in der Cloud gespeicherte Daten von außerhalb des Netzwerks ohne ein VPN. In diesem Fall ergänzt Prisma SaaS die Next-Generation Firewall, indem es sich über SaaS-APIs direkt mit den SaaS-Anwendungen verbindet. Dadurch erhalten die Sicherheitsverantwortlichen einen vollständigen Überblick über alle Inhalte, die Benutzer hochgeladen oder weitergeleitet haben. Mit Prisma SaaS können sämtliche Dateiuploads in allen SaaS-Anwendungen des Unternehmens überwacht werden, z. B. in Box, Microsoft® Office, Dropbox®, Salesforce®, Secure Data Space usw. Außerdem lässt sich über Richtlinien die verantwortungsvolle Nutzung von personenbezogenen Daten und anderen Ressourcen überwachen und durchsetzen. Dies bietet Schutz vor einer versehentlichen Datenpreisgabe durch die Mitarbeiter, beispielsweise vor der unbeabsichtigten Weitergabe oder der Freigabe über Links, die möglicherweise über das Internet zugänglich sind. Bei jedem Verstoß gegen eine Richtlinie wird ein Alarm generiert. Bei entsprechender Konfiguration leitet Prisma SaaS zudem automatisch Maßnahmen zur Beseitigung des Risikos ein.

• Sicherheit am Endpunkt: Traps™ Advanced Endpoint Protection basiert auf einem mehrschichtigen Ansatz, der dafür sorgt, dass bekannte und unbekannte Bedrohungen wie Zero-Day-Exploits und unbekannte Malware vorbeugend blockiert werden.

• Verhinderung des Diebstahls von Anmeldedaten: Gestohlene Anmeldedaten sind ein häufiger Angriffsvektor bei erfolgreichen Datendiebstählen, da es relativ einfach ist, ein Kennwort zu stehlen und sich so die gewünschten Zugriffsrechte zu verschaffen.

◦ Unsere Plattform verfügt über Funktionen, mit denen sich derartige Angriffe in jeder Phase stoppen lassen.

Oft versuchen Angreifer, Benutzer mit Phishing-E-Mails oder irreführenden Posts in sozialen Medien dazu zu bewegen, ihre geschäftlichen Anmeldedaten in ein gefälschtes Formular einzugeben. Doch unsere Plattform vereitelt diese Versuche, indem sie verhindert, dass Benutzer ihre Anmeldedaten an unbekannte oder nicht autorisierte Websites übermitteln. Da gestohlene Anmeldedaten üblicherweise für den unbefugten Zugriff auf wichtige Systeme in derselben Infrastruktur missbraucht werden, richten wir außerdem Schutzmechanismen ein, die eine Ausbreitung des Angriffs im Netzwerk unterbinden. Diese setzen Richtlinien zur Multi-Faktor-Authentifizierung (MFA) durch, die den Zugriff auf geschäftskritische Anwendungen und sensible Daten regeln.

Zudem kann AutoFocus™, unser kontextsensitiver Threat-Intelligence-Service, mithilfe der MineMeld™-Anwendung Bedrohungsdaten aus externen Quellen erfassen, zusammenführen und in konkrete Bedrohungsindikatoren übersetzen, die dann über unsere Sicherheitsplattform bereitgestellt werden. Wenn Hinweise auf ein Datenleck erkannt werden, kann MineMeld Metadaten aus allen verfügbaren Quellen filtern, deduplizieren und konsolidieren, sodass dem Sicherheitsteam aussagekräftige Daten für die Analyse und Abwehr des Angriffs zur Verfügung stehen.

Meldung von Datenschutzverletzungen

Kommt es zu einer Datenschutzverletzung, so muss diese gemeldet werden.

Wird trotz allem der Schutz personenbezogener Daten verletzt, schreibt die DSGVO vor, dass dies den Aufsichtsbehörden zu melden ist, es sei denn, der Vorfall führt voraussichtlich nicht zu einem Risiko für die Rechte und Freiheiten der betroffenen Personen. Die Meldung muss verschiedene Informationen enthalten, unter anderem die Art der betroffenen Daten und die ergriffenen Maßnahmen.

Unsere Plattform kann zur DSGVO-Compliance beitragen, wenn es zu einer Datenschutzverletzung kommt. Beispielsweise stellt AutoFocus detaillierte Analyse-Informationen bereit, die zur Behebung erforderlich sind. So lässt sich einfacher herausfinden, welcher Benutzer beteiligt war, um welche Bedrohung es sich handelte, welche Auswirkungen damit verbunden sind und wie hoch das Risiko ist. All dies kann Ihnen helfen, Vorfälle ordnungsgemäß zu melden.

Darüber hinaus können angepasste Benachrichtigungsseiten der Next-Generation Firewall dazu verwendet werden, Benutzer zu sensibilisieren und zu informieren. Systemadministratoren haben die Möglichkeit, entsprechende Informationen zu den Benachrichtigungsseiten hinzuzufügen, die der Endbenutzer erhält, nachdem ein versehentliches Datenleck verhindert wurde. Die Nachricht kann beispielsweise

einen Link zu den Datenschutzrichtlinien und Best Practices des Unternehmens enthalten. Dies trägt insgesamt zur Prävention und zur Schulung der Benutzer bei, was wiederum bei der Meldung von Vorfällen ein Vorteil ist.

1. Artikel 4 Nr. 1 der DSGVO: „‚[P]ersonenbezogene Daten‘ [bezeichnet] alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person (im Folgenden ‚betroffene Person‘) beziehen; als identifizierbar wird eine natürliche Person angesehen, die direkt oder indirekt, insbesondere mittels Zuordnung zu einer Kennung wie einem Namen, zu einer Kennnummer, zu Standortdaten, zu einer Onlinekennung oder zu einem oder mehreren besonderen Merkmalen, die Ausdruck der physischen, physiologischen, genetischen, psychischen, wirtschaftlichen, kulturellen oder sozialen Identität dieser natürlichen Person sind, identifiziert werden kann.“