Beim Backup das Thema Datenschutz berücksichtigen

Eine Bestandsaufnahme erstellen

Um die Backup- und Storage-Vorgaben der DSGVO einzuhalten und die Risiken für den Schutz dieser Daten abschätzen zu können, sollten Unternehmen zunächst eine umfassende Bestandsaufnahme der vorhandenen Daten und ihrer Informationsflüsse erstellen.

Nur ein zuverlässiges und detailliertes Mapping von Applikationen und Storage stellt sicher, dass jede Anwendung genau mit dem physischen Speicher verbunden werden kann, auf dem sie sich wirklich befindet. Das gilt sowohl für LUN-Dateisysteme (Logical Unit Number) als auch für objektbasierte Speicher. Genauso wichtig ist, dass auch die vorhandenen Backups nachträglich einer bestimmten Anwendung zugewiesen werden können.

Rechenschaftspflicht einführen

Die DSGVO legt großen Wert auf Rechenschaftspflichten beim Schutz personenbezogener Daten. Sie betreffen alle Unternehmen, die Daten von EU-Bürgern sammeln und verarbeiten.

Darüber hinaus soll die DSGVO auch sicherstellen, dass klar ist, von wem die Daten stammen und wer für ihre Speicherung verantwortlich ist. Diese Anforderung an Backup und Storage sind relativ leicht umzusetzen, wenn die folgenden Fragen beantwortet werden können:

• Warum wurden die Daten gesammelt?
• Wie werden die Daten gespeichert?
• Warum wurden die Daten gespeichert?
• Wie lange ist geplant, die Daten aufzubewahren?
• Welche Maßnahmen wurden ergriffen, um die Daten zu schützen?
• Ist geplant, die Daten mit anderen Parteien zu teilen?
• Aus welchen Gründen könnten die Daten mit anderen geteilt werden?

Existierende Maßnahmen zum Schutz der Daten bewerten

Auch unabhängig von der DSGVO muss sichergestellt sein, dass strikte Maßnahmen zum Schutz der vorhandenen Daten ergriffen wurden. Audit-Logs können Unternehmen dabei unterstützen, Datendiebstähle festzustellen und die zur Behebung des Schadens nötigen Schritte zu ergreifen.

Diese Prozesse zur Reaktion auf Datendiebstähle oder -verluste sind ein wichtiger Teil der Datenschutz-Grundverordnung, weil betroffene Unternehmen innerhalb von 72 Stunden nach Bekanntwerden eines Vorfalls eine Meldung an die Regulierungsbehörden abgeben müssen. Die Nichteinhaltung dieser Vorgabe kann zu hohen Strafen führen. Letzteres trifft auch auf viele andere Teile der DSGVO zu.

In den Daten suchen können

Einer der wichtigsten Punkte in der DSGVO ist das Recht eines Individuums, „vergessen“ zu werden. Um diese Vorgabe einzuhalten, müssen Unternehmen garantieren können, dass technische Fähigkeiten vorhanden und funktional sind, Daten zu finden, zu ändern und auf Verlangen auch zu löschen.

Unternehmen sollten darüber hinaus darauf vorbereitet sein, Kunden aus der EU auf Anfrage eine komplette Liste ihrer personenbezogenen Daten auszuhändigen. Das betrifft alle Daten, die sie speichern oder verarbeiten. Dazu gehören aber auch juristische Informationen über die rechtliche Grundlage, diese Daten überhaupt zu speichern. Außerdem darf nicht übersehen werden, dass auch die Backups dieser Daten gelöscht werden müssen, sofern dies vom Kunden gewünscht wird.

Tape-Backups und der Zugriff

Unternehmen, die momentan noch Bandlaufwerke für ihre Backups verwenden, sollten jetzt eine Migration zu einem Cloud-basierten Dienst in Erwägung ziehen. Der Grund dafür ist einfach: Es ist schwierig beziehungsweise sehr zeitaufwändig, auf einem Tape eine bestimmte Information zu finden, die gelöscht werden muss.

Bandspeicher sind ein lineares System, das nicht gut für quasi zufällige Zugriffe geeignet ist. Auf der anderen Seite ist die Technik aber auch eine bewährte Offline-Lösung, die einen soliden Schutz gegen zum Beispiel Angriffe durch Ransomware bieten kann.

Folgen Sie SearchStorage.de auch auf Twitter, Google+, Xing und Facebook!