Der Grundpfeiler, den die meisten Souveränitätsstrategien außer Acht lassen

Die wichtigsten Erkenntnisse

• Bei der operativen Souveränität geht es darum, wer Zugriff auf Systeme hat und unter welcher Rechtshoheit diese betrieben werden.
• Der Zugriff von Anbietern, Telemetriedatenströme und Supportprozesse können zu versteckten Souveränitätslücken führen.
• Die operative Souveränität lässt sich schwerer nachweisen, da sie eine kontinuierliche Überwachung und Prüfung erfordert.
• Unternehmen müssen in der Lage sein, jeden Zugriffsweg in geschützte Umgebungen nachzuweisen und zu dokumentieren.

Fragt man die meisten Unternehmen, wo ihr Souveränitätsprogramm am stärksten ist, lautet die Antwort meist in etwa gleich: Datenlokalisierung und Verschlüsselung. Sie wissen, wo sich ihre Primärdaten befinden. Sie haben „Bring-your-own-Key“- oder „Hold-your-own-Key“-Regelungen eingeführt. Sie können auf Zertifizierungen verweisen.

Fragt man sie jedoch, wer in den letzten neunzig Tagen auf ihre geschützte Umgebung zugegriffen hat, aus welchen Ländern und unter welcher Rechtsordnung – dann schwindet das Vertrauen meist schnell. Operative Souveränität ist die am schwersten zu prüfende Säule, die am ehesten unterschätzt wird und der häufigste Bereich, in dem eine Souveränitätsstrategie, die auf dem Papier solide aussieht, in der Praxis zusammenbricht. Der „Digital Sovereignty Readiness Report“ nennt sie als eine der vier Säulen – dieser Beitrag geht noch einen Schritt weiter. Die Frage, die die meisten Unternehmen nicht beantworten können: „Wer hat in den letzten 90 Tagen auf Ihre geschützte Umgebung zugegriffen, aus welchen Ländern und unter welcher Rechtsordnung?“

Was operative Souveränität eigentlich bedeutet

Bei der betrieblichen Souveränität geht es nicht darum, wo sich Daten befinden. Es geht darum, wer die Umgebung betreibt – und wer darauf zugreifen kann. Sie umfasst drei Aspekte, die in den meisten Souveränitätsprogrammen eher als Umsetzungsdetails denn als vorrangige Anliegen behandelt werden:

• Zugriff durch Mitarbeiter und gerichtliche Zuständigkeit. Jede Person, die Zugriff auf Ihre souveräne Umgebung hat – sei es für Support, Wartung, Überwachung oder die Reaktion auf Vorfälle –, unterliegt einer festgelegten gerichtlichen Zuständigkeit. Wenn ein Support-Techniker in einem Land, das einem ausländischen Gesetz zum Datenzugriff unterliegt, auf Ihre Systeme zugreifen kann, ist die Souveränität Ihrer Infrastruktur nur so stark wie der rechtliche Schutz dieses Technikers.

Die meisten Organisationen stellen bei ihrer ersten Überprüfung fest, dass es mindestens einen Zugangsweg gibt, der eine Zuständigkeitsgrenze überschreitet, die sie bisher nicht erfasst hatten.

• Zugriff durch Dritte und Anbieter. Ihre Hoheitsgrenze erstreckt sich auf jeden Anbieter, Managed-Service-Provider und jede Plattform, die Zugriff auf Ihre hoheitliche Umgebung hat. ITSM-Plattformen, Überwachungstools, SIEM-Systeme – wenn diese außerhalb Ihrer Hoheitsgrenze liegen, aber Zugriff auf Daten oder Metadaten innerhalb dieser Grenze haben, besteht eine Lücke, die durch Kontrollen zur Datenlokalität nicht geschlossen werden kann.
• Telemetrie-, Abrechnungs- und Control-Plane-Datenverkehr. Programme zur Datenhoheit konzentrieren sich auf Primärdaten. Operative Souveränität erfordert eine Erfassung dessen, wohin alles andere fließt: die von Ihrer Infrastruktur generierten Telemetriedaten, die von Ihren Überwachungssystemen erfassten Metadaten und die von Ihrem Anbieter verarbeiteten Abrechnungsdaten. Diese Datenströme können Rechtsraumgrenzen überschreiten, auch wenn dies bei den Primärdaten nicht der Fall ist – und sie werden selten erfasst.

Warum diese Säule schwieriger zu zertifizieren ist – und warum das von Bedeutung ist

Die Datenlokalität lässt sich relativ einfach dokumentieren. Man kann auf eine Speicherregion, eine Vereinbarung zur Datenresidenz oder ein Audit durch Dritte verweisen. Für die operative Souveränität gibt es keine vergleichbare Papierspur. Es gibt keine Zertifizierung, die den rechtlichen Status jedes Support-Technikers garantiert, der möglicherweise auf Ihre Umgebung zugreift.

Genau das macht diesen Bereich sowohl zur am schwierigsten zu prüfenden Säule als auch zur wichtigsten, die es richtig zu gestalten gilt. Dies steht zudem in direktem Zusammenhang mit der Herausforderung der „Minimum Viable Sovereignty“: Um die richtigen operativen Kontrollen auf die richtigen Workloads anzuwenden, muss man wissen, um welche Kontrollen es sich handelt – und gerade im Bereich der operativen Souveränität fehlt dieses Wissen meist.

Die Dimension der Lieferkette

NIS2, das die Cybersicherheitsverpflichtungen auf die Sektoren Energie, Verkehr, Gesundheitswesen und digitale Infrastruktur ausweitet, verpflichtet Organisationen nun dazu, die Cybersicherheitspraktiken ihrer Technologieanbieter zu bewerten. Für Souveränitätsprogramme hat dies direkte Auswirkungen: Die Haltung der Anbieter in Bezug auf Souveränität ist nicht länger nur eine nette Geste bei der Beschaffung. Sie ist eine überprüfbare Anforderung.

Das bedeutet, dass Sie jedem Anbieter innerhalb Ihrer Souveränitätsgrenzen neue Fragen stellen müssen: Wo befindet sich Ihr Supportpersonal? Unter welcher rechtlichen Zuständigkeit arbeitet es? Was geschieht mit den Zugriffsrechten auf meine Umgebung, wenn Ihr Unternehmen von einem Nicht-EU-Unternehmen übernommen wird?

So sieht es gut aus

Ein operativ souveränes Umfeld weist vier Merkmale auf, die sich nicht nur dokumentieren, sondern auch nachweisen lassen:

• Jeder Zugangsweg in die geschützte Umgebung wird erfasst – nicht nur der primäre Zugang, sondern auch der Zugang für Anbieter, der Support-Zugang und der Zugang zum Überwachungssystem.
• Der Zugriffsstatus jeder Person oder jedes Systems mit diesem Zugriff wird dokumentiert und in festgelegten Abständen überprüft.
• Telemetrie-, Metadaten- und Control-Plane-Datenströme werden erfasst und entweder innerhalb der Hoheitsgrenze gehalten oder ausdrücklich geprüft und als außerhalb des Geltungsbereichs liegend akzeptiert.
• Die Organisation kann die Frage bezüglich des neunzigtägigen Zugriffs beantworten – und zwar präzise und mit Belegen.

Noch etwas: Die operative Souveränität endet nicht bei der Zugriffskontrolle. Wenn für die Wiederherstellung Personal benötigt wird, das außerhalb Ihrer Souveränitätsgrenze tätig ist, versagt die Sicherheitsstrategie im Moment eines Vorfalls. Das ist das Thema des vierten Beitrags dieser Reihe. Der „Digital Sovereignty Readiness Report“ enthält eine direkte Bewertungsfrage zur operativen Souveränität.

FAQs

F: Was ist operative Souveränität?

A: Die operative Souveränität bezieht sich darauf, wer eine Umgebung verwaltet und darauf zugreift, einschließlich Personal, Lieferanten und Support-Systeme. Sie geht über den Ort der Datenspeicherung hinaus.

F: Warum wird die operative Souveränität häufig übersehen?

A: Viele Organisationen konzentrieren sich in erster Linie auf den Speicherort und die Verschlüsselung der Daten. Zugriffswege, Support-Mitarbeiter und Telemetrie-Datenströme werden oft nicht vollständig überprüft.

F: Wie wirken sich Anbieter auf die Souveränitätslage aus?

A: Anbieter und Managed-Service-Provider haben möglicherweise Zugriff auf sensible Systeme oder Metadaten. Ihre rechtlichen Rahmenbedingungen und betrieblichen Praktiken können sich auf die Einhaltung der Souveränitätsvorschriften insgesamt auswirken.

F: Warum sind Telemetriedaten und Metadaten wichtig?

A: Auch wenn Primärdaten lokal verbleiben, können Telemetrie- und Metadaten Rechtsraumgrenzen überschreiten. Diese Datenströme können Compliance-Risiken mit sich bringen, wenn sie nicht entsprechend verwaltet werden.

F: Was umfasst ein starkes Modell der operativen Souveränität?

A: Dazu gehören zugeordnete Zugriffspfade, dokumentierte Zuständigkeitskontrollen, geprüfte Lieferantenzugriffe sowie Transparenz hinsichtlich aller Telemetrie- und Metadatenströme.

Alex Zinin ist Vice President und General Manager für Managed Service Provider bei Commvault.