Insider-Bedrohungen und Shadow IT: die Risiken, die in keinem Datenstrategie-Papier stehen

Das Datenrisiko, um das sich Ihr Security-Team sorgt, kommt von externen Angreifern. Das Datenrisiko, um das sich Ihr CDO sorgen sollte, sitzt zwei Etagen tiefer in der Marketingabteilung und betreibt eigene Tableau-Workbooks auf einem Spreadsheet-Download aus einem System, das seit sechs Monaten nicht aktualisiert wurde.

Shadow IT und Insider-Bedrohungen sind die unspektakulären Datenrisiken, die nie in die Keynotes von Security-Konferenzen kommen, und sie sind für einen erheblichen Teil der realen Datenvorfälle verantwortlich.

Shadow IT: das Datenrisiko, das Sie nicht genehmigt haben

Shadow IT im Datenbereich ist jede Datenverarbeitung, die außerhalb Ihrer governten Infrastruktur läuft. Das sieht so aus:

• Ein Analyst pflegt eine „persönliche“ Kopie von Kundendaten in einem Google Sheet, „weil das offizielle System zu langsam ist“
• Ein Regionalteam baut sein eigenes Data WarehouseData WarehouseEin zentrales Repository, das Daten aus vielen Quellsystemen in einem strukturierten, abfrageoptimierten Speicher zusammenführt, ausgelegt für Analytics, Reporting und Business Intelligence.Vollständige Definition ansehen → in Microsoft Access, „weil die IT ihnen nicht rechtzeitig gibt, was sie brauchen“
• Ein Product Manager lädt einen Kundenexport mit 500.000 Zeilen herunter, „nur für eine schnelle Analyse“
• Eine Abteilungsleiterin nutzt ein KI-Tool eines Drittanbieters, um Kundenfeedback zu analysieren, und fügt Kundendaten in ChatGPT ein

Jedes dieser Szenarien erzeugt Datenrisiko: DSGVODSGVOEU-Verordnung zur Erhebung, Speicherung und Nutzung personenbezogener Daten, mit Bußgeldern, die am weltweiten Umsatz bemessen werden.Vollständige Definition ansehen →-Verstöße, inkonsistente Datenqualität (die „Spreadsheet-Version“ weicht von der mamaEinsatz von Software, um wiederkehrende Marketingaufgaben und Kampagnen zu automatisieren und Personalisierung in großem Maßstab über Kanäle wie E-Mail, Web und Social zu ermöglichen.Vollständige Definition ansehen →ßgeblichen Quelle ab), Sicherheitsexposition (Daten in nicht autorisierten Systemen) und Zusammenbruch der Governance (der CDO weiß nicht, welche Daten von wem und zu welchem Zweck genutzt werden).

Shadow IT im Datenbereich ist fast immer ein Symptom berechtigter Frustration. Menschen bauen eigene Lösungen, weil die offizielle Infrastruktur ihre Anforderungen nicht erfüllt. Der CDO, der mit „Hören Sie damit auf“ reagiert, ohne den dahinterliegenden Bedarf zu adressieren, wird scheitern. Der CDO, der die offizielle Infrastruktur schnell, zugänglich und self-service macht, beseitigt den größten Teil der Shadow IT von allein.

Insider-Bedrohungen: böswillig vs. fahrlässig

Böswillige Insider sind Mitarbeiter oder Auftragnehmer, die ihren Datenzugriff absichtlich missbrauchen. Sie stehlen Kundendaten für finanziellen Gewinn, nehmen vertrauliche Informationen zu einem Wettbewerber mit oder sabotieren Datensysteme. Das ist relativ selten, aber mit hoher Wirkung.

Fahrlässige Insider, sehr viel häufiger, sind Mitarbeiter, die Datenvorfälle durch Unachtsamkeit und nicht durch Absicht verursachen. Die Analystin, die eine Kundenliste an eine private E-Mail-Adresse schickt, um von Zuhause zu arbeiten. Der Entwickler, der Datenbank-Credentials in ein öffentliches GitHub-Repo committet. Der Kundenservice-Mitarbeiter, der aus Neugier auf das Konto einer prominenten Person zugreift.

Die meisten Data-Loss-Prevention-Programme (DLP) konzentrieren sich auf böswillige Insider. Die meisten Vorfälle gehen auf fahrlässige zurück. Das Programm des CDO sollte beides adressieren, mit unterschiedlichen Ansätzen: technische Kontrollen für fahrlässige Akteure (sensible Dateien lassen sich nicht an externe Adressen mailen), Verhaltensmonitoring für böswillige.

Der Fall Uber 2022

Im September 2022 machte Uber einen größeren Sicherheitsvorfall öffentlich. Der Angreifer war 18 Jahre alt und nutzte keine ausgefeilten technischen Exploits. ErErDas Verhältnis von Interaktionen (Likes, Kommentare, Shares) zur Reichweite eines Inhalts. Zeigt, wie stark die Zielgruppe reagiert, gemessen an der Zahl der Personen, die den Inhalt gesehen haben.Vollständige Definition ansehen → nutzte Social Engineering.

Der Angreifer kontaktierte einen Uber-Mitarbeiter über WhatsApp und gab sich als Uber-IT-Security aus. Er bat den Mitarbeiter, eine Multi-Faktor-Authentifizierungs-Anfrage (MFA) zu bestätigen. Der Mitarbeiter, genervt von den wiederholten Benachrichtigungen (ein „MFA-Fatigue“-Angriff), bestätigte sie irgendwann. Der Angreifer hatte vollen Netzwerkzugriff.

Einmal drin, fand der Angreifer ein PowerShell-Skript auf einem Netzwerk-Share. Das Skript enthielt hart codierte Credentials für Ubers Privileged-Access-Management-System (PAM). Mit diesen Credentials hatte er Zugriff auf praktisch alles: AWS, Google Cloud, Slack, HubSpot, interne Tools und eine Datenbank mit Sicherheitslücken.

Das Datenrisiko: Der Angreifer fand vertrauliche Dateien, interne Sicherheitsinformationen und potenziell personenbezogene Daten von Mitarbeitern und Fahrern.

Die Lehren für den CDO:

1. Credential-Management: Secrets (APIAPIApplication Programming Interface: eine standardisierte Schnittstelle, über die Anwendungen kommunizieren und Daten austauschen, ohne die interne Funktionsweise der jeweils anderen zu kennen.Vollständige Definition ansehen →-Keys, Passwörter, Datenbank-Credentials) dürfen niemals in Skripten oder Code-Repositories gespeichert werden. Nutzen Sie Secrets Manager (AWS Secrets Manager, HashiCorp Vault).
2. Least-Privilege: Einmal drin, hatte der Angreifer Zugriff auf fast alles. Eine saubere Zugriffssegmentierung begrenzt den Blast Radius.
3. MFA-Fatigue-Angriffe sind eine reale Bedrohung: Setzen Sie MFA mit Number Matching ein statt einfacher Push-Bestätigung.

Ein Governance-Programm für Datenrisiken aufbauen

Der CDO verantwortet Datenrisiken, in Partnerschaft mit dem CISO. Der CISO verantwortet typischerweise die Sicherheitsinfrastruktur; der CDO verantwortet Data Governance, Klassifizierung und die Policies, die bestimmen, was überhaupt gefährdet ist.

Ein CDO-Programm für Datenrisiken umfasst:

• Data Inventory: Sie kkDie durchschnittliche Zahl neuer Nutzer, die jeder bestehende Nutzer über Empfehlungen generiert. Über 1,0 verstärkt sich das Wachstum selbst und wird exponentiell.Vollständige Definition ansehen →önnen keine Daten schützen, von denen Sie nichts wissen. Monatliche Sweeps nach nicht klassifizierten Datenassets.
• Access Reviews: Quartalsweise Prüfung, wer Zugriff auf vertrauliche und beschränkte Daten hat. Entfernen Sie Zugriffe, die nicht mehr nötig sind.
• Shadow-IT-Erkennung: Überwachen Sie nicht autorisierte Datentransfers (DLP-Tools), nicht autorisierten Cloud-Speicher, nicht autorisierte Nutzung von KI-Tools mit Unternehmensdaten.
• Insider-Threat-Monitoring: Behavioral Analytics auf Datenzugriffsmuster, ohne zur Überwachung zu werden, die Vertrauen zerstört. Legen Sie klare Policies fest, was überwacht wird und warum.
• Regelmäßige Schulungen: Die meisten Datenvorfälle haben menschliches Versagen im Spiel. Jährliche Datensicherheitsschulung für alle Mitarbeiter; häufigere Schulungen für Personen, die mit Daten arbeiten.