Datenmaskierung ist eine wirksame Maßnahme zum Schutz sensibler Informationen vor unbefugter Offenlegung, insbesondere in Umgebungen, in denen vollständige Daten nicht erforderlich sind. Ohne geeignete Maskierungsmaßnahmen besteht das Risiko, dass vertrauliche oder personenbezogene Daten unberechtigt eingesehen oder missbraucht werden. Dieses Control stellt sicher, dass Datenmaskierung gezielt eingesetzt wird, um Informationssicherheitsrisiken zu reduzieren.
Zweck des Controls
A 8.11 soll gewährleisten, dass sensible Informationen durch geeignete Maskierungsverfahren geschützt werden, wenn ein vollständiger Zugriff nicht erforderlich ist. Ziel ist es, die Vertraulichkeit von Informationen zu wahren und Risiken durch unnötige Offenlegung sensibler Daten zu minimieren.
Anforderungen und Maßnahmen
1. Identifikation von zu maskierenden Informationen
Organisationen müssen festlegen, welche Informationen für eine Datenmaskierung geeignet sind, insbesondere:
personenbezogene Daten
vertrauliche Geschäfts- oder Kundendaten
Finanz- oder Gesundheitsinformationen
sonstige schützenswerte Daten
Die Identifikation muss sich an der Informationsklassifizierung orientieren.
2. Festlegung von Maskierungsanforderungen
Maskierungsanforderungen müssen definiert werden:
Art und Umfang der Maskierung
betroffene Systeme und Anwendungen
Rollen mit Zugriff auf maskierte oder unmaskierte Daten
Anforderungen an Nachvollziehbarkeit und Reversibilität
Die Anforderungen müssen dokumentiert sein.
3. Auswahl geeigneter Maskierungsverfahren
Geeignete Maskierungsverfahren müssen eingesetzt werden, zum Beispiel:
partielle Maskierung
Anonymisierung oder Pseudonymisierung
Ersetzung durch Platzhalter
Format-erhaltende Maskierung
Die Verfahren müssen dem Schutzbedarf entsprechen.
4. Umsetzung in Systemen und Prozessen
Datenmaskierung muss technisch und organisatorisch umgesetzt werden:
Integration in Anwendungen und Datenbanken
Berücksichtigung von Test- und Entwicklungsumgebungen
Schutz von Schnittstellen und Ausgaben
Kontrolle der Umsetzung
So wird eine konsistente Anwendung sichergestellt.
5. Schutz vor Umgehung der Maskierung
Maskierungsmaßnahmen müssen vor Umgehung geschützt werden:
Zugriffsbeschränkungen auf unmaskierte Daten
Trennung von Rollen und Aufgaben
Protokollierung von Zugriffen
regelmäßige Überprüfung der Wirksamkeit
Dies verhindert unbefugte Einsicht.
6. Berücksichtigung rechtlicher und regulatorischer Anforderungen
Datenmaskierung muss rechtliche Vorgaben unterstützen:
A 8.11 fordert, dass Organisationen Datenmaskierung gezielt einsetzen, um sensible Informationen vor unbefugter Offenlegung zu schützen. Durch Identifikation geeigneter Daten, klare Maskierungsanforderungen, Auswahl geeigneter Verfahren, Schutz vor Umgehung sowie regelmäßige Überprüfung wird sichergestellt, dass Daten nur in dem Umfang sichtbar sind, der für den jeweiligen Zweck erforderlich ist. Das Control ist ein wichtiger Bestandteil der technischen und organisatorischen Informationssicherheitsmaßnahmen im Informationssicherheitsmanagementsystem.
