2.1 Wann braucht man DLP?
In der Informationssicherheit sind die drei wichtigsten Ziele wie folgt definiert:
- Vertraulichkeit (Confidentiality)
- Integrität (Integrity)
- Verfügbarkeit (Availability)
Diese drei Ziele werden oft als CIA Triad [21] bezeichnet und wie inAbbildung 3 als Dreieck, oft auch als Pyramide, dargestellt:
Das Deutsche Bundesamt für Sicherheit in der Informationstechnik (BSI) [3] definiert Vertraulichkeit als «der Schutz vor unbefugter Preisgabe von Informationen». DLP gehört somit zu den Massnahmen, welche direkt den Schutz der Vertraulichkeit von Daten unterstützen. Für alle Organisationen, deren Daten vertraulich sind, empfiehlt sich demzufolge die Einführung einer DLP Lösung.
In der Finanzindustrie, aber auch in anderen Branchen, gilt für den Umgang mit Kundeninformationen die Sorgfaltspflicht [20]. Finanzinstitute sind dazu verpflichtet, vertrauliche Informationen mit allen zumutbaren technischen Massnahmen zu schützen. Zusätzlich wird für Schweizer Finanzinstitute im Rundschreiben 2008/21 [32] der Schweizerischen Finanzmarktaufsicht (FINMA) der Umgang mit operationellen Risiken, zu welchen auch Datenverluste gehören, definiert. Darin wird zwar die Einführung eines DLP Systems nicht explizit gefordert. Allerdings wird auf den Branchenstandard verwiesen. Da die grösseren Banken in der Schweiz alle über ein DLP System verfügen, nimmt der Druck auf kleinere Finanzinstitute zu, ebenfalls eine entsprechende Lösung einzuführen.
Arbeitet ein Finanzinstitut mit Kreditkarten-Informationen, wird diese Anforderung an die Sorgfaltspflicht durch den Payment Card Industry Data Security Standard (PCI