Zwei verschiedene Fragen
Wenn eine Organisation sagt, sie habe das Thema Datenresidenz gelöst, meint sie fast immer eines: Die Daten werden in einer bestimmten Region gespeichert, und die regionale Zusage des Cloud-Anbieters deckt sie ab. Das ist eine echte Kontrolle, und sie beantwortet eine echte Frage.
Sie beantwortet nicht die zweite Frage, nämlich von wo aus auf die Daten zugegriffen wurde. Ein Datensatz kann vollständig in einer EU-Region liegen und trotzdem jeden Tag von einem Betriebsteam in einem Drittland gelesen werden, über ein Support-Tool, eine gemeinsam genutzte Konsole oder einen Notfallzugang (Break-Glass). Nichts am Speicherort verhindert das, und in vielen Architekturen zeichnet nichts es in einer Form auf, die die Compliance-Funktion abfragen kann.
Für die Prüfung von Datenübermittlungen nach der DSGVO, für die Datenlokalisierungsvorgaben der Golfstaaten und zunehmend für branchenspezifische aufsichtliche Erwartungen ist es die Zugriffsfrage, die die Antwort bestimmt.
Warum die Zugriffsfrage schwieriger wird
Drei Entwicklungen haben die Lage in den letzten Jahren verschärft, und keine davon ist ein Sicherheitsversagen.
Verteilte Teams bedeuten, dass sich Support- und Engineering-Funktionen tatsächlich über mehrere Rechtsräume erstrecken. Managed Services bedeuten, dass Mitarbeitende eines Anbieters von jedem Ort aus, an dem dieser Anbieter tätig ist, auf Ihre Umgebung zugreifen können. Und KI-Systeme bedeuten, dass Daten zunehmend von Prozessen gelesen werden, deren Ausführungsort ein Implementierungsdetail der Plattform eines anderen ist.
Jede dieser Entscheidungen ist betrieblich legitim. Zusammen bedeuten sie, dass die Menge der Orte, von denen aus Ihre regulierten Daten erreichbar sind, größer ist als die Menge der Orte, die Sie auf Nachfrage nennen würden, und größer als die, die Ihre Datenschutz-Folgenabschätzung beschrieben hat.
Durchsetzung und Nachweis sind getrennte Probleme
Es geht hier um zwei unterschiedliche Fähigkeiten, und Organisationen kaufen häufig eine davon in dem Glauben, beide gekauft zu haben.
Durchsetzung bedeutet, dass das System Zugriffe von Herkunftsorten außerhalb einer freigegebenen Menge verweigert. Sie ist präventiv, sie ist testbar, und sie ist das, was die meisten meinen, wenn sie von Geofencing sprechen.
Nachweis bedeutet, dass Sie Monate später belegen können, dass kein Zugriff von nicht freigegebenen Herkunftsorten stattgefunden hat oder dass er an bestimmten Tagen aus bestimmten Gründen erfolgte, die zu diesem Zeitpunkt genehmigt waren. Er ist retrospektiv, und er ist das, was eine Aufsichtsbehörde oder eine Datenschutzbehörde tatsächlich verlangt.
Mit Durchsetzung ohne Nachweis können Sie nur behaupten, dass eine Kontrolle funktioniert hat. Mit Nachweis ohne Durchsetzung dokumentieren Sie ein Problem, das Sie nicht verhindert haben. Ein Residenzprogramm braucht beides, und meist fehlt die Nachweishälfte, weil sie verlangt, Aufzeichnungen zur Zugriffsherkunft über die gesamte regulatorische Frist aufzubewahren statt nur für ein rollierendes betriebliches Zeitfenster.
Residenzkontrollen so gestalten, dass sie Nachweise erzeugen
- Legen Sie die freigegebenen Herkunftsorte je Datenklassifizierungsstufe fest statt organisationsweit - die meisten Organisationen benötigen legitimerweise einen breiteren Zugriff auf Daten geringer Sensibilität als auf eingeschränkte Daten
- Protokollieren Sie jeden Zugriffsversuch mit seiner Herkunft und der getroffenen Entscheidung, auch die zugelassenen, denn um eine Abwesenheit zu belegen, braucht es eine vollständige Aufzeichnung und keine Ausnahmeliste
- Protokollieren Sie den Notfallzugang (Break-Glass) ausdrücklich, mit der genehmigenden Person und dem Grund, denn ein ungeplanter grenzüberschreitender Zugriff ist ein normales betriebliches Ereignis, und das Gegenteil vorzugeben macht die Aufzeichnung weniger glaubwürdig, nicht glaubwürdiger
- Bewahren Sie Herkunftsaufzeichnungen über die regulatorische Frist auf, die für die zugrunde liegenden Daten gilt, nicht nach der Standardaufbewahrungsdauer Ihrer Logging-Plattform
- Machen Sie die Aufzeichnung unabhängig überprüfbar, denn Nachweise zur Zugriffsherkunft sind genau die Kategorie, die eine Aufsichtsbehörde mit gutem Grund skeptisch betrachtet, wenn die Organisation sie über sich selbst erstellt
Die Golfstaaten im Blick
Für Organisationen, die in die Vereinigten Arabischen Emirate und nach Saudi-Arabien expandieren, hat die Zugriffsfrage oft größere Tragweite als die Speicherfrage. Lokalisierungserwartungen in der Region werden tendenziell über Kontrolle und Rechtshoheit formuliert und nicht allein über den physischen Standort, und der praktische Test, den eine Aufsichtsbehörde anlegt, betrifft häufig die Frage, wer die Daten von wo aus erreichen kann, und nicht nur, welches Rechenzentrum sie vorhält.
Organisationen, die mit einem Residenzkonzept kommen, das allein auf der Speicherregion beruht, erleben, dass sich das Gespräch in eine Richtung bewegt, auf die sie nicht vorbereitet sind. Wer mit Nachweisen zur Zugriffsherkunft kommt, erlebt, dass es zügig vorangeht. Unsere Analyse auf Ebene der einzelnen Rechtsordnungen finden Sie unter Das PDPL der VAE und das Cyber-Risk-Framework des ADGM und Saudi-Arabiens PDPL und die SDAIA.
- Fragen Sie Ihr Team, von wo aus im letzten Monat auf Ihren sensibelsten Datensatz zugegriffen wurde, und beobachten Sie, wie lange die Antwort dauert
- Prüfen Sie, ob Ihre Zugriffsaufzeichnungen auch zugelassene Versuche enthalten oder nur blockierte
- Gleichen Sie die Aufbewahrungsfrist der Daten zur Zugriffsherkunft mit der Aufbewahrungspflicht für die Daten selbst ab
- Knüpfen Sie die freigegebenen Herkunftsorte an die Klassifizierungsstufe, statt überall eine einzige Richtlinie anzuwenden
Herkunftsbasierte Zugriffsregeln mit einem Geltungsbereich je Klassifizierungsstufe und einer vollständigen Aufzeichnung zugelassener und blockierter Versuche sind ab sofort in ROOTKey verfügbar. Sie können für einen Tresor eine Länder-Allowlist einrichten und die Traffic-Ansicht sehen oder auf der DSGVO-Seite von ROOTKey nachlesen, wie die Kontrollen zusammenspielen.