Die Datenschutzwoche ist eine jährlich stattfindende Veranstaltung, die darauf abzielt, das Bewusstsein für die Bedeutung von Datenschutz und Datensicherheit zu schärfen. Ziel der Datenschutzwoche ist es, Einzelpersonen und Organisationen über die Bedeutung des Schutzes personenbezogener Daten aufzuklären und ihnen die Werkzeuge und Ressourcen an die Hand zu geben, die sie benötigen, um diesen Schutz wirksam zu gewährleisten.

We’ve brought together three opinion leaders to discuss the key data privacy challenges that face businesses around the world and how to overcome them.

Bill Mew, Data Privacy Champion and CEO of the Crisis Team is joined by Jakub Lewandowski – Global Data Governance Officer, Commvault and Thomas Bryant – Product Marketing Director, Commvault as they discuss;

• Aktuelle Trends und Herausforderungen im Bereich Datenschutz und Datensicherheit
• Gesetze und Vorschriften zum Datenschutz, wie beispielsweise die Datenschutz-Grundverordnung (DSGVO) in der Europäischen Union und der California Consumer Privacy Act (CCPA) in den Vereinigten Staaten sowie DORA und NIS2
• Best Practices for protecting data – including a modern (and tested) data protection strategy and conducting regular risk assessments
• The current state of Data Privacy policy and legislation compliance/ enforcement  

Erfahren Sie mehr zu diesen Themen in unserer Blog-Reihe zur Datenschutzwoche, die ab sofort verfügbar ist.

• 5 wesentliche Datenschutzvorschriften
• Die 10 wichtigsten Prioritäten für Unternehmen im Bereich Datenschutz und Datensicherheit im Jahr 2023
• Weckruf: Das Problem der Durchsetzung von Datenschutzvorschriften

Der Weltdatenschutztag, der jährlich am 28. Januar begangen wird, soll daran erinnern, wie wichtig der Schutz personenbezogener Daten im heutigen digitalen Zeitalter ist. Angesichts des technologischen Fortschritts und der zunehmenden Weitergabe persönlicher Daten im Internet müssen Einzelpersonen und Organisationen Maßnahmen ergreifen, um ihre Daten zu schützen.

New regulations, such as DORA (Digital Operational Resiliency ACT), mandate that organizations create plans for risk management, incident reporting, and resilience testing. These regulations outline policies for data management, including encryption, data locality, and data lifecycles. Gartner prognostiziert, “by 2023, 65% of the world’s population will have its personal data covered under various privacy regulations, and companies need flexible solutions that can adapt to the multitude of legislation.” Navigating this complex environment can be challenging for both individuals and companies.

Data Privacy is protecting personal information and giving individuals control over how their data is collected, used, and stored.  On the other hand, data protection refers to the technical and organizational measures put in place to protect data (including personal data) from unauthorized access, use, alteration, or destruction. Data protection encompasses Data Privacy and other areas, including backup & recovery, disaster recovery, data security, and a host of other areas.

To help address that complexity, let’s spend some time reviewing the Top 10 topics to consider when managing Data Privacy and Data Protection.

1.Data Protection Strategy
2.Verschlüsselung
3.Multi-Person Authentication
4.Unveränderliche Speicherung
5.Datenhoheit
6.Data Governance & Discovery
7.Classification of data
8.Datenspeicherung
9.Resilience plan testing & incident response
10.Risk Assessment

1. Data Protection Strategy

Organizations should start by creating or updating a Data Privacy, Backup & Recovery, and Disaster Recovery plan as part of an overall data protection strategy. There are many facets to a reliable data protection plan and how it specifically relates to protecting the private data your customers have shared with your organization.

2. Encryption

Verschlüsselung ist ein wesentlicher Bestandteil des Datenschutzes und des Schutzes privater Daten. Die Verschlüsselung von Daten im Ruhezustand und während der Übertragung trägt dazu bei, unbefugten Zugriff auf personenbezogene Daten zu verhindern. Dies ist besonders wichtig für Organisationen, die große Mengen an privaten Daten verarbeiten, wie beispielsweise Gesundheitsdienstleister und Finanzinstitute. Daten befinden sich nicht mehr ausschließlich in unseren Unternehmensrechenzentren, da die meisten Organisationen über eine oder mehrere öffentliche Clouds verfügen, in denen Workloads und Daten gespeichert sind. Die Absicherung durch Verschlüsselung über die gesamte Lebensdauer der Daten hinweg trägt dazu bei, potenzielle Angreifer abzuwehren.

3. Multi-person authentication

Über den Schutz von Daten durch Verschlüsselung hinaus müssen Unternehmen ihre Systeme vor böswilligen Angriffen schützen. Der Einsatz der Mehrpersonen-Authentifizierung (MPA) für Ihre Datensicherheitssysteme stellt sicher, dass kritische Aufgaben mehrere Genehmigungen von vorab genehmigten Benutzern erfordern. Dies wird oft übersehen, ist jedoch eine der einfachsten Möglichkeiten, Aufgaben wie Datenexfiltration oder -löschung zu verhindern.

4. Immutable Storage

Unveränderlicher Speicher ermöglicht es, Daten – ob privat oder anderweitig – so zu speichern, dass sie nicht mehr weiter geändert oder gelöscht werden können. Daten, die nicht manipuliert oder verändert werden können, gewährleisten die Aufrechterhaltung der Datenintegrität. Anforderungen an unveränderlichen Speicher werden zunehmend zu einem festen Bestandteil von Vorschriften zur Datenverwaltung wie der DSGVO, HIPAA und anderen. In Kombination mit MPA können Sie hochsichere Datenspeicherebenen schaffen, die sich perfekt für die Speicherung vertraulicher und privater Daten eignen.

5. Data Sovereignty

Organizations should consider regulations surrounding private data storage when developing a data protection strategy. This includes the location of data storage and compliance with regulations regarding data sovereignty. For example, a cloud-based workload on GCP in Europe or containing EU citizens’ data must comply with EU regulations. Anywhere that private data may reside, even if temporary, may be required to be in a specific region under regulatory requirements. Commvault helps to address this concern in its latest release, allowing customers to select which specific region they will leverage for snapshot & data protection storage vs. multiple regions that cost more and may have different regulatory requirements.

6. Data Governance & Discovery

In a recent survey, 57 % der CISOs admit they don’t know where some or all their data is or how it is protected! As this amount of private data continues to grow, the sheer number of regulations expands exponentially, and we are confused about what and how we should protect our data.  As a result, organizations need to understand their data, where it is, and what is at risk.  Being able to prioritize data based on your organization’s policies, priorities, and applicable regulations is critical to protecting the data. You cannot protect what you don’t know about!

7. Classification of data

Zu wissen, welche Daten vorhanden sind und wo sie sich befinden, ist nur ein Teil der Lösung. Unternehmen müssen berücksichtigen, welche Daten vertrauliche Kundendaten sind, welche geschäftskritisch sind usw., und zwar im Hinblick auf ihre Bedeutung für Ihr Unternehmen und Ihre Kunden. Wenn Sie nur Daten vor Ort schützen, könnten einige kritische Kundendaten übersehen werden, die sich in Ihrer SaaS-basierten CRM-Lösung befinden. Apropos: Sie müssen sich beim Datenschutz für Ihre Daten auf etwas anderes als Ihren SaaS-Anbieter oder sogar Ihre IaaS-Cloud-Anbieter verlassen. Diese bieten zwar möglicherweise einige SLAs und ein gewisses Maß an Redundanz, doch das ist kein Ersatz für einen soliden Datenschutzplan. Die Verwaltung der Datenklassifizierung ist kein einmaliger Vorgang, da die Datenmenge jedes Jahr exponentiell wächst.

8. Retention

It is paramount to know what data exists and how important it is, but how long does it stay relevant? This is a hard question to answer for most organizations and one that can be seen every year when buying ever-increasing storage systems to house corporate data. The ability to assign an expected lifespan to data can significantly impact your organization’s bottom line AND protect your customers’ private data. Having systems in place to automatically find, classify, and set retention will reduce the likelihood of data sprawl, reduce the amount of time to recover unused data, and reduce costs. If you are looking for a great place to start efficiently managing your governance, risk, and compliance, read through Commvault’s unique approach to einheitlichen Datenmanagement.

9. Resilience plan testing & incident response

Resilience plan testing often referred to as a runbook, is an often-overlooked area of a data protection strategy. Creating or updating an outdated plan can take time and effort. Partnering with solution providers or strategic data protection companies with experience in creating a plan can significantly reduce the time it takes to get current. While it may be trivial to think runbooks are passe, I’ve found that when an actual DR event or ransomware attack hits, they are the GO-TO asset you want in your arsenal of tools. A regular cadence of updates creates an organizational posture that is ready to face data security threats head-on.

10.  Risk Assessment

As mentioned with runbook, consider working with strategic vendors to perform a risk assessment semi-annually or annually. Scheduled reviews can help build the muscle memory for a solid data protection and data privacy mindset. The benefit of working with well establish data protection & data privacy vendors is they are up to date on the latest security threats and mitigation strategies.

By implementing this list of considerations and routinely refreshing your resilience plan, you can be confident that personal information is secure and compliant with the latest privacy regulations. If you aren’t sure where to start but need help from a company that can answer all these questions.

Commvault steht Ihnen gerne zur Seite! Wir erweitern unser Angebot kontinuierlich um neue Funktionen, darunter unsere neuesten Verbesserungen im Bereich der regionalen Datenhoheit für Backup-Snapshots, Branchenzertifizierungen, Funktionen für unveränderlichen Speicher und vieles mehr.

Head over to our community to Mehr erfahren or take a test drive today https://www.commvault.com/request-demo

Happy 2023 Data Privacy Week!

Just as everyone started to get more or less cozy with the regulatory landscape in data privacy/protection and individuals and businesses learned to navigate the shallow waters of data subject requests, risk management, and impact assessments – BOOM – another tidal wave of regulatory requirements and new challenges rushed in!

2023 is the perfect moment to start internalizing new acronyms (get ready for #NIS2, #DORA, #DPDPB, #CPRA, #CCPA, #CPA, #CDPA, #UCPA, #VCDPA, #ADPPA, #PrivacyPenaltyBill) and legislative acts they stand for.

Das zugrunde liegende Motiv der bevorstehenden Änderungen besteht darin, die Cybersicherheitsmaßnahmen verschiedener Organisationen zu stärken und zu verbessern sowie sich wandelnde Cyberrisiken effektiver zu bewältigen.

Hier ein Überblick über ausgewählte rechtliche Entwicklungen weltweit:

• EU – Directive (EU) 2022/2555 on measures for a high common level of cybersecurity across the Union (NIS2)
• EU – Regulation on digital operational resilience for the financial sector (DORA)
• US – State & Federal privacy laws
• India – Digital Personal Data Protection Bill (DPDPB)
• Australia – Privacy Penalty Bill & overhaul of the Privacy Act 1988

NIS2

According to ENISA, the general spending on cybersecurity is 41 % lower by organisations in the EU than by their US counterparts. With the arrival of NIS2, this ratio is expected to shift to cover this enormous gap at least partially. Conservative estimates are that NIS2 entry in force will translate into a ~22% increase in ICT spending over a 3–4-year period.

NIS2 wurde kurz vor Jahresende veröffentlicht, und die EU-Mitgliedstaaten haben nun 21 Monate Zeit, die darin beschriebenen Anforderungen und Mechanismen in nationales Recht umzusetzen. Die NIS-Richtlinie von 2016 diente – trotz ihrer Mängel – als Eckpfeiler für den Ausbau der Cybersicherheitskapazitäten der Mitgliedstaaten. Nun wird die NIS2 den Anwendungsbereich und die Liste der betroffenen Organisationen erweitern. Es wird erwartet, dass bis zu 160 000 Organisationen dieser neuen Rechtsvorschrift unterliegen werden, darunter Anbieter digitaler Dienste (Plattformen und Rechenzentrumsdienste), Anbieter elektronischer Kommunikationsnetze und -dienste sowie Unternehmen aus den Bereichen Fertigung, Lebensmittel und dem öffentlichen Sektor.

NIS2 zielt darauf ab, die Cybersicherheit unter anderem durch folgende Maßnahmen zu stärken: Verbesserung der Cybersicherheits-Governance, Gewährleistung der Sicherheit von Lieferketten, Straffung der Meldepflichten (Frühwarnungen/verkürzte Meldefristen) sowie Einführung strengerer Aufsichtsmaßnahmen und strengerer Durchsetzungsanforderungen.

Was kannst du jetzt sofort tun?

• First, try to understand which obligations will apply to your organization and in which compliance bucket your organization will fall into: “Essential Entity,” “Important Entity,” or maybe “other.”
• Prüfen Sie als Nächstes, ob Sie Synergien schaffen und bereits bestehende technische und organisatorische Maßnahmen nutzen können, die im Rahmen früherer Compliance-Maßnahmen (z. B. DSGVO, NIS1 usw.) umgesetzt wurden.
• Beginnen Sie mit der Suche nach den richtigen Partnern, die Ihre Compliance-Bemühungen angemessen unterstützen können. Beziehen Sie Ihre Lieferanten in die Diskussion über den Ansatz ein, der am besten zu Ihrer Organisation passt.
• Zu guter Letzt sollten Sie mit der Planung erhöhter Ausgaben beginnen, um verbleibende Lücken zu schließen. Verstöße gegen die Vorschriften können zu Bußgeldern von bis zu 10 Millionen Euro oder bis zu 2 % des weltweiten Jahresumsatzes der Organisation führen.

DORA

DORA aims to achieve “a high common level of digital operational resilience,” mitigating cyber threats and ensuring resilient operations across the EU financial sector. It will become directly applicable from Jan 17th, 2025. It will impact the financial sector (banks, insurance companies, investment firms) and its ICT providers (i.e., cloud platforms) – roughly around 22 000 organizations.

Die neuen Anforderungen von DORA laufen im Wesentlichen darauf hinaus, die Risikomanagementpraktiken zu überprüfen und anzupassen. Kunden aus dem Finanzsektor müssen so viele regulatorische Risiken wie möglich auf ihre IKT-Anbieter übertragen oder andere Strategien zur Risikominderung anwenden. In jedem Fall müssen IKT-Anbieter in der Lage sein, die Einhaltung der DORA-Anforderungen zu gewährleisten. Die gesamte Branche wird zudem ihre Vertragsbeziehungen zu Lieferanten neu bewerten müssen. DORA wird Anforderungen an Verträge zwischen Finanzunternehmen und ihren kritischen IKT-Anbietern enthalten, darunter den Ort der Datenverarbeitung, Beschreibungen der Service Level Agreements, Berichtspflichten, Zugriffsrechte sowie Umstände, die zu einer Vertragskündigung führen würden.

In a separate post – Commvault’s Product Team will perform a more technical deep-dive into DORA’s requirements related to detection (art. 10), response and recovery (art. 11), and backup (art. 12).

US-Datenschutzgesetze – CPRA/CCPA, CPA, CDPA, UCPA, VCDPA, ADPPA

As of January 1st, 2023, California Privacy Rights Act (CPRA) amendments to the California Consumer Privacy Act 2018 went into effect. Many temporary exemptions in place expire, imposing additional obligations on companies dealing with California residents’ personal information, e.g., regarding employment-related personal data, opt-out from selling personal information.

2023 is also the year when the Colorado Privacy Act (CPA), The Connecticut Data Privacy Act (CDPA), The Utah Consumer Privacy Act (UCPA), and The Virginia Consumer Data Privacy Act (VCDPA) will become effective. Legislative fragmentation risk is imminent and substantial, and this is the kind of risk that caused the European Union to harmonize the regulatory approach. Let us see whether the same will be true in 2023 in the case of the American Data Privacy and Protection Act (‘ADPPA’) – a proposal for a federal and general data privacy law.

India – DPDPB

Indian legislators plan to introduce a very ambitious Digital Personal Data Protection Bill (DPDPB) this year. When enacted, long-awaited legislation will undoubtedly impact all kinds of organizations due to India’s role as a tech powerhouse and a global outsourcing hub.

Australia – Privacy Penalty Bill & overhaul of the Privacy Act

Australian authorities announced yet another complete overhaul of the Privacy Act dated 1988. The current legislation was summarized as “out of date and not fit for purpose in the digital age.”

In der Zwischenzeit, noch im Jahr 2022, verabschiedete Australien den „Privacy Penalty Bill“, mit dem die Sanktionen im Bereich des Datenschutzes auf ein Niveau angehoben wurden, das mit den durch die DSGVO eingeführten Vorgaben vergleichbar ist (bis zu 50 Millionen AUD), und die Regulierungsbefugnisse des Office of the Australian Information Commissioner (OAIC) sowie der Australian Communications and Media Authority (ACMA) erweitert wurden.

Summary

Die unerbittliche Compliance-Uhr hat gerade wieder zu ticken begonnen. Funktionsübergreifende Teams, bestehend aus IT-Experten, Compliance- und Datenschutzbeauftragten, Juristen und Geschäftsanalysten, werden viel Zeit damit verbringen, die Auswirkungen der Flut von Gesetzesänderungen zu analysieren, die Ende letzten Jahres aufkam und sich im Laufe des Jahres 2023 konkretisieren wird.

Bitte beachten Sie, dass die hier vorgestellten gesetzlichen Entwicklungen noch umfassender ausfallen könnten. Sie können jedoch sicher sein, dass sie nicht nur im Jahr 2023, sondern auch in den kommenden Jahren zu festen Gesprächsthemen werden.

Im Rahmen einer dreiteiligen Artikelserie zum Datenschutztag 2023 (siehe die begleitenden Artikel vonJakub LewandowskiundThomas Bryant ), Bill Mew argues that there is a real enforcement problem – it’s like the ‘Wild West’ out there.

Richtlinien, Rahmenbedingungen und Vorschriften sind nur dann hilfreich, wenn sie eingehalten werden – genauso wie Vorschriften und Gesetze ohne Durchsetzung bedeutungslos sind. Das Problem im Bereich Datenschutz und Cybersicherheit besteht darin, dass dort, wo Vorschriften gelten sollten, diese häufig ignoriert werden, und dass dort, wo Gesetze eingeführt wurden, deren Durchsetzung verstärkt werden muss.

CISOs (Chief Information Security Officers) haben eine undankbare Aufgabe. Die Mitarbeiter zögern meist, sich an die von einem CISO durchgesetzten Maßnahmen zur Cyberhygiene zu halten, doch wenn ihre mangelnde Disziplin zu einer Sicherheitsverletzung führt, sind diese Kollegen nur allzu schnell dabei, dem CISO die Schuld zu geben. Hinzu kommt, dass zwar kostspielige und komplexe Vorschriften einzuhalten sind und strenge Regeln für die Meldung von Sicherheitsverletzungen gelten, die Behörden jedoch, anstatt bei der Bewältigung von Vorfällen zu helfen oder die tatsächlichen Täter zu fassen, die Meldungen lediglich dazu nutzen, die Höhe der Bußgelder festzulegen.

Functional, Cultural Mismatch

Auf Nachfrage würden die meisten Mitarbeiter zustimmen, dass Cyberbedrohungen ein erhebliches Problem darstellen, doch in ihrer täglichen Arbeit konzentrieren sie sich auf umsatz- oder gewinnorientierte ROI-Kennzahlen (Return on Investment). Anhand dieser Kennzahlen werden ihre individuelle Leistung und die ihrer Abteilung gemessen, und darauf sind auch die unternehmensweiten Anreizsysteme ausgerichtet.

The CISO is instead focused on return on risk (ROR). Based on the allocated budget and the organisation’s risk appetite, the CISO focuses on maximising security and minimising risk.

The mismatch between the CISO’s ROR orientation and just about everyone else’s ROI orientation can put the CISO at odds with the rest of the management team. They may not only become isolated (what I term CISOlation) but can also be a scapegoat when things go wrong – even when warnings are ignored.

Perverse regulatory incentives

In an accompanying article, Jakub Lewandowski [LINK] has explored the raft of new privacy and cybersecurity laws expected to add to a considerable regulatory burden. The problem is that regulation without enforcement is not just pointless but counter-productive. After all, only responsible companies will comply with these regulations, and for them, it represents a cost or compliance tax. Meanwhile, irresponsible ones often choose not to abide by the rules. If they believe that there is little or no risk of enforcement, then this is a cost-saving and risk-free source of competitive advantage.

Die Nichteinhaltung von Vorschriften ist weit verbreitet und geht von der Unternehmensspitze aus, was sich in häufigen Schlagzeilen über Datenvorfälle bei Big-Tech-Unternehmen oder gegen diese verhängte Bußgelder widerspiegelt. Solche Bußgelder scheinen keine abschreckende Wirkung zu haben, sondern werden von Big-Tech-Unternehmen und vielen anderen, die das Pech hatten, einen Datenvorfall zu erleiden, vielmehr als zusätzliche Geschäftskosten angesehen.

Again, responsible firms that did their best to take reasonable measures but were unfortunately unable to prevent mistakes or attacks run the risk of being fined once they notify the local regulator. Meanwhile, irresponsible ones who choose not to comply will simply avoid reporting incidents and attempt to cover them up instead to avoid fines. Fines have, therefore, become more of a lagging indicator of misfortune for responsible firms rather than of misbehaviour by irresponsible ones.

Record of Regulatory Inaction

Most BigTech firms, attracted by a favourable tax regime, have opted to base their European headquarters in Ireland. The local regulator, DPC Ireland, is therefore responsible for ensuring that they comply with GDPR and other such regulations. Whether down to inadequate funding, reluctance to rock the boat, or simply out-gunned and out-lobbied by the BigTech firms, DPC Ireland has been seen as ineffective in holding them to account.

In one notable case, measures it failed to take against Facebook were eventually resolved in the European High Court under the Schrems I and Schrems II rulings. When it still failed to take action and apply these rulings, DPC Ireland was sanctioned by the European Parliament in a 451 zu 1 Stimmensanktioniert. Als sie schließlich durch weitere Lobbyarbeit von Regulierungsbehörden aus ganz Europa nach einer zweijährigen Verzögerung zum Handeln gezwungen wurde, war die gegen Facebook verhängte Geldbuße so niedrig, dass sie auf Drängen der anderen Regulierungsbehörden (um das Zehnfache) erhöht werden musste.

The EU Ombudsman Emily O’Reilly eventually opened an inquiry into the European Commission’s monitoring of how data protection rules are applied in Ireland. Eight months later, the Irish Council of Civil Liberties (ICCL) criticised the EU for its continued failure to properly monitor Ireland’s GDPR enforcement while “the fundamental rights of all Europeans hang in the balance.” There are now moves afoot to strip Ireland of its responsibility for regulating the BigTech firms and centralise such enforcement instead.

Ineffective Global Policing

Meanwhile, the number and sophistication of cyber-attacks are increasing exponentially, as is the cost of remediation. The World Economic Forum (WEF) has recently not only called for more widespread use of „Cyber-Übungen“ to test cybersecurity and incident response capabilities but is also championing the Notwendigkeit globaler Regeln to crack down on cybercrime.

Die durch alle Formen der Cyberkriminalität entstandenen Schäden, einschließlich der Kosten für Recovery und Behebung, beliefen sich Schätzungen zufolge im Jahr 2015 auf insgesamt 3 Billionen US-Dollar und im Jahr 2021 auf 6 Billionen US-Dollar; bis 2025 könnten sie jährlich bis zu 10,5 Billionen US-Dollar erreichen.

Cyber insurance isn’t the answer. Rapidly increasing premiums mean that it is out of reach to most buyers, but even those who can afford it often find it’s nicht lohnt. At the same time, cyber insurance cannot be expected to cover systemic problems, and in any case, it has the perverse effect of sie schwerwiegende Probleme möglicherweise noch verschlimmert.

While almost all nations have signed up for United Nations agreements on combatting crime, including Cyberkriminalität, some nations turn a blind eye and instead provide safe havens for cybercriminals to operate from. While most Cyberkriminalität originates from countries like Russia, Iran, or North Korea, such activities are not confined to these rogue nations and continue closer to home. In addition, countries like China have significant espionage operations, and the United States is responsible for a great deal of global mass surveillance – all of which contravenes GDPR and a host of other laws.

We need to start with mandatory data breaches and cyber theft reporting. This has begun in the US with 2022’s dem „Cyber Incident Reporting for Critical Infrastructure Act“ and in the EU with 2018’s der Richtlinie über die Sicherheit von Netz- und Informationssystemen. Still, there are also a Vielzahl weiterer Vorschriften that mandate telecom payment services, medical device manufacturers, and critical infrastructure providers to report breaches.

Once we have better data on the problem, we can focus on improving international investigation, prosecution, and adjudication efficiency and effectiveness. The Büro der Vereinten Nationen für Drogen- und Verbrechensbekämpfung is promoting a Cybercrime Programme which has the following aims:

• Steigerung der Effizienz und Wirksamkeit bei der Ermittlung, Strafverfolgung und gerichtlichen Aufarbeitung von Cyberkriminalität, insbesondere der sexuellen Ausbeutung und des Missbrauchs von Kindern im Internet, im Rahmen eines starken Menschenrechtsrahmens.
• Eine effiziente und wirksame langfristige, regierungsweite Reaktion auf Cyberkriminalität, einschließlich nationaler Koordinierung, Datenerhebung und wirksamer rechtlicher Rahmenbedingungen, die zu einer nachhaltigen Bekämpfung und einer stärkeren Abschreckung führt.
• Eine verstärkte nationale und internationale Kommunikation zwischen Regierung, Strafverfolgungsbehörden und der Privatwirtschaft sowie eine bessere Aufklärung der Öffentlichkeit über die Risiken der Cyberkriminalität.

These are laudable goals. However, we are a long way from victims of crime being able to pick up the phone to police at the local, national, or international level with any expectation of getting either practical assistance or justice. The reality is that when it comes to cybercrime, aside from private sector incident response specialists, you’re on your own.

• Die Mitarbeiter halten sich selten ausreichend an die Regeln der Cyberhygiene
• Die Aufsichtsbehörden gehen nicht proaktiv gegen Verstöße vor und bekämpfen diese nicht
• Kriminelle werden immer selbstbewusster, agieren immer aggressiver und gehen immer raffinierter vor
• Die Polizei ist nicht in der Lage, gegen Kriminelle vorzugehen, die von sicheren Rückzugsorten aus operieren
• Und wenn etwas schiefgeht, sind die CISOs automatisch die Sündenböcke.

In this ‘Wild West’ environment, there isn’t any cavalry going to the rescue, so you are expected to be adequately armed and ready to defend yourself. Take hints from Thomas Bryant’s article and learn how to deal with it best. There is no substitute for getting your cybersecurity and incident response right.