Auditsicherheit durch Log-Management

1. Analyse durch Protokollierungskonzept

Gemäß Artikel 28 der Datenschutzgrundverordnung müssen Sie technische und organisatorische Maßnahmen (TOM) einsetzen, um den Schutz der Rechte natürlicher Personen zu gewährleisten. Daraus ergibt sich, dass Sie zunächst identifizieren müssen, wo personenbezogene Daten gespeichert werden, wie sie geschützt werden und welche Personen oder Auftragsverarbeiter darauf zugreifen. In der Dokumentation werden also alle relevanten IT-Komponenten, Applikationen und Personen die Zugang zu personenbezogenen oder sensiblen Daten haben, tabellarisch aufgelistet und die daraus folgende Kritikalität in Bezug auf Schutzziele Authentizität, Verfügbarkeit, Vertraulichkeit und Integrität zugeordnet.

Diese Vorarbeit ist im Protokollierungskonzept von entsprechenden Log-Managementlösungen wie ProLog des deutschen Herstellers Netzwerk standardisiert enthalten und beschreibt die auf Basis der jeweils gültigen Regulatorik (DSGVO, KRITIS etc.) die einzuhaltenden Anforderungen, Angabe der Datenquelle, die möglichen Risiken, die Pseudonymisierung personenbezogener Daten und die Dauer der Aufbewahrung. Zugegeben, das ist Arbeit die aber als Dokumentation ihren Wert hat. Diese Daten und Werte werden in das Log-Management übernommen.

2. Protokollierung in Log-Management übernehmen

Die im Protokollierungskonzept erfassten Daten werden nun in die Lösung übernommen. Ab diesem Zeitpunkt sammeln die Log-Agenten die entsprechenden Event- und Logfiles ein. Eine Vielzahl der Logdateien hat einen Personenbezug und deshalb sind die folgenden Funktionen zum Schutz der Rechte von Personen einzuhalten:

• • • Pseudonymisierung: Der Personenbezug ist vom Event getrennt abzuspeichern.
    • N-Augen-Prinzip: Im Bedarfsfall müssen Event und Personenbezug wiederhergestellt werden. Die Depseudonymisierung muss nach dem N-Augen-Prinzip erfolgen und je nach Kritikalität von Event und/oder Daten von mindestens einer weiteren Person freigegeben werden. Die Berechtigungen dazu werden vorher festgelegt.
    • Zweckbindung: Die Datenerhebung darf nur zweckgebunden erfolgen.
    • Gültigkeit: Der Personenbezug wird spätestens 180 Tage nach Erhebung gelöscht. Der Zeitraum bis zur Maximaldauer ist frei konfigurierbar. Die anonymisierten Events können weiterhin gespeichert bleiben.

3. Berichts- & Alarmierungspakete

Die in ProLog enthaltenen Berichtspakete führen nun die Ergebnisse mit den Vorgaben, wie sie in Regularien wie

• • • DSGVO – Datenschutzgrundverordnung
    • BSI-Kritis – IT-Sicherheitsgesetz für Betreiber kritischer Infrastrukturen
    • ISO-S27001 – IT-Security Management (ISMS)
    • ITSIG – IT-Sicherheitsgesetz
    • GeschGehG – Geschäftsgeheimnisgesetz
    • KonTraG – Gesetz zur Kontrolle und Transparenz im Unternehmensbereich
    • BAIT – Bankenaufsichtliche Anforderungen an die IT
    • VDA-ISA & TISAX – Industry Standard Architecture und Standard für Informationssicherheit vom Verband der Automobilindustrie
    • KDG – Gesetz über den kirchlichen Datenschutz
    • DSG-EKD – Kirchengesetz über den Datenschutz der evangelischen Kirche in Deutschland
    • VAIT – Versicherungsrechtliche Anforderungen an die IT
    • B3S – Branchenspezifische Sicherheitsstandards für Krankenhäuser, Pharma, Kranken- und Pflegeversicherer, Wasser/Abwasserwirtschaft etc.

zusammen. Sie erhalten auditsichere Berichte und Alarme bei Nicht-Einhaltung. Bei Änderung von Vorgaben werden die Berichtspakete aktualisiert. Dies gilt auch für Alarme die ausgegeben werden, wenn kritische Zustände erreicht oder Schwellwerte überschritten werden. Für die Alarmierung müssen Administratoren weder Events noch deren Häufigkeit festlegen, um Alarme auszulösen. ProLog liefert auch hier einen Standard, der bei Bedarf im Rahmen der Aktualisierung angepasst wird.

4. Aktualisierung

Auditsicherheit durch Log-Management muss an aktuelle geänderte Vorschriften angepasst werden. Alle Aktualisierungen bei Gesetzen und Regularien werden auch in die Berichtspakete und Alarme übernommen. Durch den Wartungsservice wird aber natürlich auch die Software aktualisiert und funktional erweitert. Externe Vorschriften für die keine Berichtspakete vorhanden sind, können zusammen mit dem Hersteller oder seinen Partnern implementiert werden.