SAP: Attributbasiertes Data Masking

Die großen Mengen sensibler Daten in SAP-Anwendungen bergen stets auch Risiken, da es in SAP ERP von Haus aus keine Maskierungsfunktionen zur passgenauen Anonymisierung in den Ansichten gibt. Obwohl Add-ons und separate Lösungen von SAP und Drittanbietern existieren, bestehen noch erhebliche Herausforderungen in der Passgenauigkeit. Hier setzt das attributbasierte Data Masking an.

Von geschützten personenbezogenen bis zu privilegierten Finanzinformationen – gerade im Zuge fortschreitender Internationalisierung und insbesondere seit Corona und häufigem Homeoffice sind prozessrelevante, aber sensible Daten vermehrt in Gefahr, auch von externen oder internen Betrachtern eingesehen zu werden, deren Einsicht situativ oder generell weder nötig noch gewünscht ist. Drei Beispiele: Wenn ein Mitarbeiter der Personalabteilung aus dem Ausland arbeitet und Stammdatenpflege betreibt, sollten nur absolut notwendige Felder sichtbar sein, damit niemand Externes versehentlich Einblick in sensible Daten erhält. Wenn ein Vertrieb mi Stammdaten arbeitet, um Angebote zu erstellen, muss er in der Stammkarte das richtige Produkt finden, die richtige Verpackungseinheit, das Gebinde sehen können, jedoch nicht alle Einkaufspreise kennen. Ein Packer muss anhand der Materialstammnummer natürlich wissen, welches Paket er nehmen soll, aber er muss nicht en détail erfahren, welchen Inhalt es hat.

Einschränken der Ansichten auf situativ relevante Informationen

Bei Data Masking geht es also nicht allein um die Reduzierung missbräuchlicher Ansicht (Fraud) personenbezogener Daten, um die reine Anonymisierung und Pseudonymisierung von Personen- und Adressdaten, sondern es ist wesentlich weiter gefasst. Letztlich lassen sich alle denkbaren Datentypen maskieren. Ziel des Maskierens von Originaldaten ist stets die sogenannte Data Loss Prevention, das Problem von Datendiebstahl, Datenmissbrauch oder anderen Formen von Datenkriminalität dadurch zu lösen, dass man die Ansichten der Datenbasis selbst verändert: Im Grunde geht es also um den Schutz von Daten, die notwendigerweise da sind, die aber nicht jeder sehen soll, um das Einschränken der Ansichten auf situativ relevante Informationen.

Data Masking allein auf Berechtigungsebene zwingt zu Kompromissen

Dies stellt die meisten Data-Masking-Lösungen von SAP und Drittanbietern immer noch vor einige Herausforderungen, weil sie rein auf der Ebene von Berechtigungen operieren. Statische Maskierungsrichtlinien berücksichtigen dabei allerdings nicht den Kontext des Zugriffsrisikos und zwingen zu einem Kompromiss zwischen Datensicherheit und Zugänglichkeit. Privilegierte Benutzer können auf sensible Datenfelder zugreifen, selbst wenn dies in einem speziellen Kontext nicht erforderlich oder gewünscht ist. Add-ons zur Datenmaskierung erfordern zudem Anpassungen, die in jedem Feld der Anwendung repliziert werden müssen, was zu einer nicht skalierbaren Ad-hoc-Lösung führt. Im Gegensatz zu solchen Standard-Maskierungslösungen zentralisiert Data Masking nach dem Pathlock-Ansatz von Sast Solutions die Durchsetzung der Datenmaskierung in SAP in einem einzigen Regelsatz, um Daten in der gesamten Anwendung zu definieren und zu maskieren. Und er setzt, ohne dass für die Implementierung weitere Anpassungen an SAP nötig sind, zusätzlich dynamische Richtlinien ein, die den Risikokontext einbeziehen, um die sensiblen Daten zielgenauer zu schützen.

Maßgeschneidert durch frei konfigurierbare Attribute

Eine attributbasierte Maskierungsfunktion bedeutet somit eine fein abgestufte Kontrolle darüber, welche Informationen für einen bestimmten Benutzer in einer bestimmten Situation maskiert werden. Dies ist besonders wichtig, wenn ein multinationales Unternehmen missbräuchliche Ansichten verhindern will. Daten werden dann etwa maskiert bei Zugriffen aus Ländern, die nicht zu den Unternehmensstandorten gehören, bei Zugriffen, die von remoten Arbeitsplätzen außerhalb des Netzwerks, unbekannten IP-Adressen oder VPNs ausgehen oder die außerhalb der jeweiligen Geschäfts- bzw. plausiblen Uhrzeiten stattfinden. Eigentlich lesbare und für die Rolle erlaubte Inhalte sind so je nach Ausprägung von frei konfigurierbaren Attributen wie dem User, der IP-Adresse, Uhrzeit, von Ländern bzw. Standorten, der Zugriffsart – Remote-Arbeit von außerhalb oder Zugriff innerhalb des Netzwerks – oder der Netzwerk-Art (etwa VPN) nicht sichtbar. Erfolgt ein Zugriff mit ungewöhnlichen Parametern, werden so je nach Attribut für den konkreten Fall unnötige Daten auch nicht lesbar sein.

Unterschiedliche Kritikalität berücksichtigen

Dies ist allein über User-Berechtigungen so nicht umsetzbar und berücksichtigt die je nach Branche unterschiedliche Kritikalität etwa von Stammdaten wie: Personal-, Lokations-, Logistikdaten sowie Lieferanteninformationen oder Stücklisten, Einkaufspreisen und Rezepturen. Attributbasiertes Data Masking bedeutet so einen erheblich verbesserten Schutz sensibler Unternehmensdaten durch feingranulare Einschränkung der Ansichten. Die richtlinienbasierte dynamische Maskierungsfunktion der zentralisierten und skalierbaren Maskierungslösung bietet Unternehmen damit zusätzlich zum Berechtigungsschutz eine individuell anpassbare Kontrolle darüber, welche sensiblen Datenfelder sie für einen bestimmten Benutzer in einer konkreten Situation maskieren wollen. Durch die Implementierung einer vollständigen oder teilweisen Maskierung eines Datensatzes minimiert sie damit das Risiko einer Datenpanne und erfüllt auch Verschlüsselungs- und Anonymisierungsanforderungen etwa von Aufsichtsbehörden.

Signifikante Steigerung des Datenschutzes

Durch das Herausfiltern sensibler Daten auf der Darstellungsebene ohne weitere Anpassungen an SAP entsteht kein zusätzlicher Wartungsaufwand für Aktualisierungen, aber es gelingt in hohem Maße, den Schutz von ERP-Daten zu verbessern und Compliance-Risiken zu reduzieren. Dies gilt für sensible Daten in Produktions- und Nicht-Produktionsumgebungen gleichermaßen. Kombiniert man das attributive Data Masking dann zusätzlich mit einem Data-Loss-Detection-Konzept und einer guten Echtzeitüberwachung der Abweichungen von Compliance-Vorschriften, führt dies zu einer signifikanten Steigerung des Datenschutzes in einer Qualität, die so kaum eine andere Lösung weltweit bieten kann.

„Pathlock gelingt es, die Bedrohungen von morgen schon heute zu verstehen und auf unerwartete Weise innovativ zu sein.“

Global InfoSec Award 2022, Cyber Defense Magazine