Um die wertvollen Dokumente und sensiblen Informationen eines Unternehmens wirksam zu schützen, reicht die Vereitelung von Einbrüchen und Cyber-Attacken nicht aus. Das liegt daran, dass Mitarbeiter des Unternehmens Dokumente auch in der Cloud oder auf mobilen Geräten speichern und damit unwissentlich Risiken aussetzen.
Das aktuelle White Paper „Protect the Content, not the Location“ der renommierten Association for Information and Image Management (AIIM) empfiehlt den Unternehmen, ihre Informationen am besten durch ein rechtebasiertes Sicherheitskonzept auf Basis eines Dokumentenmanagement-Systems (DMS) bzw. eines Systems für Enterprise Content Management (ECM) vor unbefugten Zugriffen, Verfälschung oder Verlust zu schützen.
Schon lange ist unbestritten, dass Verschlüsselung die Vertraulichkeit und Korrektheit wichtiger Daten garantiert. Und zwar nicht nur dann, wenn die Daten gespeichert sind, sondern insbesondere auch während ihrer Übertragung. Daher rührt auch die AIIM-Empfehlung, die Sicherheit mittels Verschlüsselung in die Dokumente einzubauen anstatt digitale und analoge Schutzwälle um sie herum zu errichten.
Um zu verstehen, wie ein DMS bzw. ECM-System die geschäftlichen Dokumente und Daten schützen kann, ist die Unterscheidung zwischen Zugriffskontrolle und Datensicherung entscheidend.
Schutz vor unbefugtem Zugriff
Typischerweise arbeiten die Mitarbeiter eines Unternehmens, insbesondere die Knowledge Worker, auch in komplexen Prozessen, die strikten Regeln und Vorschriften unterliegen. Um ihr tägliches Arbeitspensum zu schaffen, brauchen sie daher Zugang zu bestimmten, nicht allgemein zugänglichen Ressourcen – etwa zu vertraulichen Dokumenten oder bestimmten IT-Funktionen. Ein Berechtigungskonzept sorgt dafür, dass nur autorisiertes Personal bestimmte Dinge tun kann (etwa ein Dokument lesen oder bearbeiten), ohne dass die Transparenz für alle anderen verloren geht.
Im ECM-System erhalten deshalb einzelne User, Benutzergruppen oder auch Rollen – etwa der Systemadministrator – entsprechende Zugriffsberechtigungen. In einem guten System gibt es flexible Filter, um den Zugriff bis auf jedes einzelne Dokument einfach und schnell zu regeln beziehungsweise die Berechtigungen auch zu ändern. Außerdem ist es möglich, bestimmte Aktionen wie Lesen, Editieren, Markieren, Exportieren oder Erstellen genau zu regulieren und ganz detailliert zu kontrollieren und zu dokumentieren. Für besonders sensible Daten sollte das ECM-System über einen Hochsicherheits-Modus verfügen, in dem die Dokumente so verschlüsselt werden, dass selbst ein Systemadministrator nicht mehr darauf zugreifen kann.
Die Kommunikation über das Internet – sei es zwischen Browser-Client und DMS-Server, sei es zwischen verschiedenen Modulen des Dokumentenmanagement-Systems oder mit anderen Anwendungen – wird tunlichst über die Protokolle HTTPS und SSL abgesichert.
Schutz vor Datenverlusten
Backups der Daten sind die Grundvoraussetzung für den Schutz vor Katastrophen wie Feuer oder Hochwasser, die das Firmengebäude und die Server darin zerstören könnten. Allerdings reicht allein eine Sicherheitskopie der Daten im ECM-System nicht aus; wer nicht die zugehörigen Datenbanken und Index-Kriterien mit sichert, steht im Fall der Fälle vor einem undifferenzierten Wust digitaler Dokumente, in dem das Gesuchte kaum zu finden ist.
Die meisten ECM-Systeme speichern die Dokumente und Index-Kriterien in ein- und derselben Datenbank, was Nachteile bei Geschwindigkeit und Performance zur Folge hat. Nutzen die ECM-Lösungen für den Index eine eigene Datenbank, verwenden sie oft proprietäre Systeme und machen den Kunden so abhängig von ihrem Produkt. Am besten ist es, wenn Dokumente und Index in unterschiedlichen Datenbanken gesichert werden – und zwar unter Verwendung standardisierter Datenformate. Damit wird es möglich, normale Backup-Tools für die Sicherung des DMS zu nutzen.
Andere Strategien der DMS-Sicherung sehen die Duplikation der Index-Daten oder eine Replikation des Archivs vor. Im seltenen Fall eines Datenbankfehlers ist mit einer Kopie der Index-Daten die Wiederherstellung eines Archivs recht einfach. Bei einer Archiv-Replikation dagegen wird ein zweiter Dokumentenbestand irgendwo auf der Welt parallel geführt und regelmäßig mit dem eigentlichen Archiv synchronisiert. Diese Strategie hilft dann weiter, wenn das gesamte DMS zerstört ist oder verloren gehen sollte. Eine weitere Option bei der Datensicherung ist ein Transfer der Dokumente auf externe Datenträger wie DVDs, als systemunabhängiges Archiv inklusive Datenbank und Suchfunktion.
Das Risiko reduzieren
Zugriffskontrolle und Backup sind also essentiell für den Datenschutz im Unternehmen. Beide unterliegen dementsprechend auch gesetzlichen Vorgaben und branchenspezifischen Regulierungen. Wirksame Mechanismen der Zugriffskontrolle sorgen dafür, dass Unbefugte keinen Zugriff auf eine Information im ECM-System haben, während eine sorgfältige Datensicherung den Datenverlust selbst im Fall eines technischen Versagens oder bei Katastrophen verhindert. Ist beides – Zugriffskontrolle und Datensicherung – richtig implementiert, sind die Unternehmensdaten bestmöglich aufgehoben. Denn auf diese Weise wird das Risiko deutlich reduziert, dass Daten in falsche Hände geraten oder verloren gehen.
Wozu mit einem ECM-System Geschäftsprozesse und Workflows optimieren? Antworten darauf gibt unser Ratgeber „7,5 Anzeichen dafür, dass Sie Ihr Dokumenten-Management umstellen sollten“.
