Schutz von Unternehmensdaten erhöhen durch Information Protection (früher Information Rights Management)
Warum Information Protection?
Information Protection (Information Rights Management) ist eine Möglichkeit, wichtige Unternehmensdaten außerhalb eines geschützten IT-Systems vor unerlaubtem Zugriff zu schützen. Stellen wir uns vor, dass wichtige Unternehmensdokumente (Patentanträge, Innovationen, Strategie, Roadmaps, …) in geschützten Anwendungen wie SharePoint, Exchange, Filesystem, etc. abgelegt sind. Zugriff auf die Dokumente erfolgt im Anwenderkontext. Die Dokumente sind solange geschützt, solange diese sich in der Anwendung befinden. Werden die Dokumente aber aus der Anwendung runtergeladen, so sind diese Dokumente nicht mehr durch die Anwendung geschützt. Durch Rights Management kann sichergestellt werden, dass derartige Dokumente außerhalb des geschützten IT-Systems nur durch authentifizierte und autorisierte Anwender geöffnet, bearbeitet, gedruckt, etc. werden können.
Das Prinzip von Information Protection – auch Information Rights Management (IRM) oder Digital Rights Management (DRM) genannt – ist seit vielen Jahren aus dem Consumer-Umfeld bekannt:
- Musik- und Filmindustrie: Musik oder Filme/Serien sind über ein Anbieterportal online abrufbar, offline speicherbar, können aber nicht an Dritte weitergegeben werden, da der Zugriff auf die Medien geschützt ist. Nur berechtigte Personen haben über entsprechende Anwendungen Zugriff auf diese Medien.
- Printmedien: Viele Redaktionen bieten Ihre Zeitschriften oder Bücher neben der klassischen Papierform auch digital an. Um den Inhalt der Zeitschriften oder Bücher vor ungewollter Weitergabe zu schützen, werden diese Medien digital geschützt bereitgestellt und sind über eReader Programme zugreifbar.
Welche Einsatzbeispiele für Information Protection im Unternehmen gibt es?
- Schutz von Dokumente im Unternehmen, so dass auch Systemadministratoren keinen Zugriff auf die Informationen hat, z.B.:
- Schutz der Kommunikation zwischen Geschäftsführern
- Schutz der Kommunikation zwischen Betriebsratsmitgliedern – ohne dass die IT oder die Geschäftsführung darauf Zugriff hat (ein sehr beliebtes Thema bei Kunden in Deutschland)
- Schutz von geschäftskritischen Informationen, z.B. Patente, Innovationen, etc.
- Schutz der Dokumente außerhalb des Unternehmens im Rahmen von B2B Collaboration, z.B.:
- Geschäftspartner haben Zugriff auf schützenswerte Unternehmensdokumente gespeichert in SharePoint (OnPremise oder SharePoint Online) oder verschickt per Email. Ohne Information Protection können diese Dokumente durch jeden gelesen werden, der Zugriff auf die Dokumente hat bzw. die Dokumente können ohne Kontrolle an Dritte weitergeleitet werden.
- Wer hat sich nicht schon mal bei der Auswahl eines E-Mail-Empfängers vertan und E-Mails (mit Dokumenten) an falsche Empfänger geschickt. Es besteht keine Möglichkeit, nachträglich den Zugriff auf diese Dateien zu kontrollieren – mit Information Protection ist das möglich!
Die Funktionen zu Information Protection befinden sich im Purview Admin Center (früher Compliance Center)
Information Protection in vier Schritten umsetzen
- Erarbeiten einer Klassifizierungstaxonomie
- Welche Arten an Dokumenten gibt es? Klassifizierungen wie Public, Internal, Confidential, Strict Confidential sind bekannt, müssen aber individuell an das Unternehmen angepasst werden.
- Die Klassifizierungstaxonomie ist eine übergreifende Richtlinie, die dann für die jew. IT Systeme zu interpretieren ist, da die jew. IT Systeme unterschiedliche Funktionen zur Klassifizierung haben.
- Welche Regeln gelten für die Klassifizierungsstufen?
- Wie genau wird das Label bezeichnet, ggf. multi-lingual.
- Wer darf es sehen / anwenden?
- Soll eine Kopf-/Fußzeile, bzw. ein Wasserzeichen ins Dokument integriert werden?
- Soll mit Labelzuweisung eine Verschlüsselung erfolgen. Nur eine Verschlüsselung der Dokumente verhindert die unkontrollierte Weitergabe der Daten an Dritte.
- Umsetzung
- Die teschnische Umsetzung erfolgt über sog. Sensitivity Labels, die mittels Policies den Anwendern zugewiesen werden. Optional können noch Data Loss Prevention Policies (DLP) erstellt werden, über die z.B. das Versenden eines “internal” Dokumentes an externe Emailempfänger unterbunden werden kann.
- Schulung der Anwender
- Anwender müssen in der Anwendung der Sensitivity Labels, sowie im Verständnis der Klassifizierungstaxonomie geschult werden
- Durch geeignete Konfiguration sind Standard-Labels ab Ablageort, bzw. auf Basis des Sensitivity Information Types möglich
Eine exemplarische Umsetzung von Sensitivity Labels kann so aussehen:
