Was ist ein Private Content Network?

Ohne die richtigen Sicherheits- und Compliance-Kontrollen und eine Nachverfolgung der Kommunikation mit sensiblen Inhalten besteht ein höheres Sicherheitsrisiko. Private Content Networks können helfen, die Einhaltung gesetzlicher Vorgaben und den Datenschutz zu gewährleisten und Angriffe zu verhindern.

Was ist ein Private Content Network? Ein Private Content Network ist ein Netzwerk für interne und externe digitale Kommunikation, das einen Zero-Trust-Schutz und Compliance für die sensibelsten Informationen eines Unternehmens gewährleistet.

Was bedeutet Risiko- und Content-Management?

Falls Ihr Unternehmen kein Risikomanagement-Programm implementiert hat, sind Sie höchstwahrscheinlich einem erheblichen Sicherheitsrisiko ausgesetzt. Die meisten Compliance-Rahmenwerke und Sicherheitsvorschriften verlagern sich zunehmend von einer Checklisten-basierten Sicherheit hin zu einem integrierten Risikomanagement.

Risikomanagement ist ein Sicherheitsansatz, der einem abstrakten, aber einfachen Konzept folgt, das das National Institute of Standards and Technology (NIST) in seinem Risk Management Framework formuliert hat:

• Die Kategorisierung von Technologie- und Sicherheitskontrollen, die mit regulierten oder sensiblen Informationen umgehen. Kategorisierung bedeutet, zu verstehen, wie diese Kontrollen den Compliance-Anforderungen entsprechen und welche Schritte das Unternehmen einleiten muss, um diese Standards zu erfüllen.

  Beachten Sie, dass es bei der Kategorisierung im Rahmen des integrierten Risikomanagements  nicht einfach darum geht, eine Technologie aus einer Liste auszuwählen. Es geht darum, diese Technologien mit den Compliance-Anforderungen und den Geschäftszielen in Einklang zu bringen und zu bestimmen, welcher Datenschutz benötigt wird und welche Schutzmaßnahmen angesichts des Risikos, das sie entschärfen sollen, erforderlich sind.

• Die Auswahl und Implementierung dieser Kontrollen basiert darauf, wie sie in die Infrastruktur und den betrieblichen Kontext eines Unternehmens passen.
• Eine Bewertung der Umsetzung dieser Kontrollen, um sicherzustellen, dass sie ordnungsgemäß funktionieren, das tun, was sie tun sollen und die beabsichtigten Ergebnisse liefern.
• Die Ermächtigung der Beteiligten im Unternehmen, risikobasierte Entscheidungen auf der Grundlage der in den vorangegangenen Schritten gewonnenen Informationen zu treffen.
• Eine kontinuierliche Überwachung, um festzustellen, welche Schritte erforderlich sind, um die Sicherheitskontrollen zu aktualisieren, zu verbessern, außer Betrieb zu nehmen oder zu ersetzen.

Ein wesentliches Merkmal des integrierten Risikomanagements ist, dass es ein Unternehmen dazu zwingt, zu verstehen, wie sich seine Daten durch die technische Infrastruktur bewegen und ob diese tatsächlich so sicher ist, wie angenommen.

Dies bestimmt natürlich, wie die einzelnen Mitarbeiter des Unternehmens Inhalte austauschen. Datenschutz und Vertraulichkeit sind zentrale Aspekte der meisten Compliance-Standards, einschließlich wichtiger Vorgaben wie dem Payment Card Industry Data Security Standard (PCI DSS), SOC 2, der Cybersecurity Maturity Model Certification (CMMC), der General Data Protection Regulation (GDPR / DSGVO) und aller US-Bundesvorschriften (NIST 800-53, FedRAMP usw.).

Das wiederum stellt eine Herausforderung dar: Wie kann ein Unternehmen Informationen effektiv und ungehindert austauschen, sowohl intern als auch mit externen Akteuren, ohne seine Sicherheitsstandards zu verletzen?

Es gibt einige Ansätze, diese Herausforderung zu meistern:

• E-Mail: E-Mails sind grundsätzlich nicht sicher, und die meisten gesetzlichen Bestimmungen verbieten die Verwendung von E-Mails für den Informationsaustausch, sofern nicht ein garantierter Standard für die Ende-zu-Ende-Verschlüsselung von E-Mails vorhanden ist. Dies ist seltener der Fall, als man denkt, denn die Koordination der Verschlüsselung zwischen Anbietern und Nutzern ist eine Herausforderung, wenn nicht gar unmöglich.
• Sicherer Portalzugang: Eine Alternative zur E-Mail ist die Verwendung von sicheren Links zu Servern, über die sich Benutzer in eine verschlüsselte, geschützte Umgebung einloggen können, um vertrauliche Informationen einzusehen. Diese Lösung funktioniert zwar, stellt aber auch einige Interaktionsebenen zwischen den Benutzer und seine Informationen. So muss der Benutzer ein weiteres Konto erstellen, sich die Anmeldedaten merken und für alle Interaktionen auf Websites externer Unternehmen wechseln.
• Managed File Transfer: MFTs sind Kombinationen aus sicherer Dateiübertragung (in der Regel SFTP und andere Protokolle) und Unternehmensfunktionen wie Automatisierung der Dateiverwaltung, Stapelverarbeitung, datengesteuerte CISO-Dashboards und Analysen. Sie unterstützen sowohl die sichere interne als auch die externe Freigabe von Dateien.
• Virtual Private Networks: VPNs sind eine Software-Verschlüsselungs- und Tunneling-Methode, die es externen Benutzern ermöglicht, auf LANs zuzugreifen, als ob sie Teil dieses Netzwerks wären, selbst wenn sie sich über öffentliche Internetzugänge verbinden.

VPNs sind effektiv, aber etwas komplex und werden in der Regel in Unternehmen eingesetzt, in denen Mitarbeiter für ihre Arbeit remote auf Unternehmensressourcen zugreifen müssen (d.h. sie sind nicht unbedingt für Verbraucher gedacht). Außerdem mangelt es ihnen an Skalierbarkeit, da die meisten VPNs die Installation von Agenten auf den Geräten erfordern, um auf das VPN zugreifen zu können, was bei der Kommunikation mit externen Partnern weitgehend unrealistisch ist.

• Content Services: Auch bekannt als Enterprise Content Management (ECM), sind Content Services eine Sammlung von Prozessen, Plattformen und Technologien, die das Content Management in einem Unternehmen unterstützen. Dazu gehören Dokumentensicherheit, Automatisierung, Backups, Audits und externe Freigabefunktionen. Dazu können auch Integrationen mit anderen wichtigen Partnern gehören, z. B. mit Anbietern von Dateispeichern, Produktivitätssoftware oder Sicherheitslösungen.
• Collaboration-Plattformen: Eine sichere Collaboration-Plattform kann für den geschützten Austausch von Dateien verwendet werden. Dies ist jedoch nicht ohne Abstriche möglich, da diese Art von Tools nicht unbedingt für das Content Management entwickelt wurden.. 

Der Einsatz solch unterschiedlicher Lösungen für sämtliche Bereiche kann zu großen Problemen führen. Die Arbeit mit diversen Plattformen schränkt die Fähigkeit eines Unternehmens ein, Sicherheit und Governance effektiv zu verwalten. Darüber hinaus sind nützliche Technologien wie die Ende-zu-Ende-Verschlüsselung in der Regel nicht anwendungsübergreifend, geschweige denn unternehmensweit einsetzbar.

Es gibt zwar eine Reihe von Lösungen, die eine gewisse Form der sicheren Verwaltung von Inhalten ermöglichen, aber der heilige Gral der Verwaltung sensibler Inhalte besteht darin, einen nahtlosen Raum zu schaffen, in dem Content-Kanäle in einem einzigen, einheitlichen Ansatz konsolidiert werden, der Ende-zu-Ende-Sicherheit, zentralisierte Verwaltung und Prüfung sowie eine durchgängig automatisierte Verarbeitung umfasst.

An dieser Stelle kommt das Private Content Network (PCN) ins Spiel.

Was ist ein Private Content Network?

Ein Private Content Network vereinheitlicht die Kommunikation sensibler Inhalte durch zentralisierte und automatisierte Governance, Compliance und Sicherheit. Es optimiert das digitale Senden, Freigeben, Empfangen und Speichern vertraulicher Informationen innerhalb und über die Grenzen eines Unternehmens hinaus. Noch wichtiger ist jedoch, dass die Nachverfolgung, Kontrolle und der Schutz vertraulicher Inhalte im Hintergrund erfolgt: Es ist nur eine minimale Koordination von Verschlüsselungsstandards, keine Anpassung von sicheren Servern oder Anwendungen und keine zusätzliche Belastung der Anwender erforderlich, die täglich mit vertraulichen Informationen arbeiten.

Die Vorteile eines PCN sind zahlreich, und viele tragen direkt zu einer nahtlosen und sicheren Kommunikation bei:

Einheitliche Sicherheit und Compliance

Der vielleicht wichtigste Aspekt des PCN ist die Vereinheitlichung von Anwendungen und Diensten unter einer einzigen, sicheren Kommunikations-Domain. Innerhalb dieses Frameworks kann ein Unternehmen die gesetzlich notwendigen Compliance- und Sicherheitskontrollen und –standards effektiv vereinheitlichen. Noch wichtiger ist, dass dies für alle relevanten Kommunikationskanäle gilt, von der E-Mail über File-Sharing bis zur Online-Zusammenarbeit.

Sichere E-Mails

Ferner ermöglicht ein PCN die Nutzung der wichtigen Verschlüsselung während der Übertragung und im ruhenden Zustand (TLS, S/MIME, AES-256 usw.) über Ihren bestehenden E-Mail-Anbieter, ohne dass Sie außerhalb Ihrer E-Mail (oder der Ihrer Kunden) agieren müssen. Dazu gehören auch das integrierte Scannen von Anhängen, die Benutzerzugriffskontrolle sowie der Schutz vor Datenverlust.

File-Sharing

Ein PCN bietet zuverlässige, sichere File-Sharing-Services über eine gemeinsame Schnittstelle, ohne die Sicherheit oder den Datenschutz zu beeinträchtigen. Dazu können mit Wasserzeichen versehene schreibgeschützte Dateien, die Integration von Produktivitätsanwendungen (E-Mail, Microsoft 365 usw.) und sichere Online-Zusammenarbeit gehören.

Managed File Transfer (MFT)

MFT-Lösungen können versehentlich Daten isolieren, wenn sie nicht mit E-Mail-, File-Sharing- oder anderen Systemen integriert sind. Mit einem PCN kann ein Unternehmen jedoch im Wesentlichen alle Enterprise-Funktionen der MFT-Plattform, wie E-Mail und Enterprise File-Sharing, innerhalb derselben Pipeline nutzen.

Sichere APIs

APIs (Application Programming Interfaces), die auf Daten zugreifen, fallen unter die gleiche Rechtsprechung wie jeder andere Teil Ihrer Code-Basis oder File-Sharing-Infrastruktur. Die PCN-Architektur verwendet sichere APIs innerhalb eines gehärteten Systems.

Gehärtet bezieht sich in diesem Fall auf sichere Systeme. Die geschützte PCN-Infrastruktur verwendet gehärtete virtuelle Appliances mit integrierter Firewall-Technologie, die alle regelmäßigen Penetrationstests unterzogen werden. Verschlüsselung, granular abgestufte Berechtigungen und eine solide Zugriffsverwaltung sind hier die Norm. Das System lässt sich problemlos in Ihr bestehendes Sicherheitssystem einbinden, einschließlich Data Loss Prevention, Authentifizierungsmechanismen, Security Information and Event Management (SIEM) und erweitertem Schutz vor Bedrohungen.

Web-Formulare

Unternehmen sammeln regelmäßig Daten von Nutzern über Umfragen und Formulare. Die Herausforderung besteht jedoch darin, sensible Daten, die über Formulare übermittelt werden, zu verwalten, ohne dass dies außerhalb des Unternehmens geschieht. Mit einem PCN können Unternehmen interne und externe Formulare und Umfragen erfassen, diese mit E-Mail-Eingaben verknüpfen und sie mithilfe der Automatisierung über MFT-, File-Sharing- und E-Mail-Plattformen verbinden – und das alles unter Einhaltung der Sicherheits- und Compliance-Anforderungen.

Optimieren Sie die Kommunikation sensibler Inhalte mit Kiteworks-fähigen Private Content Networks

Die Zeiten uneinheitlicher, voneinander isolierter Unternehmenslösungen sind vorbei. Integration, Datenaustausch und Sicherheit sind Teil eines einheitlichen Frameworks, das moderne Unternehmen für echte datengesteuerte Abläufe nutzen.

Kitework-fähige PCNs schaffen eine einzigartige Infrastruktur, die die Verwaltung von Inhalten und Daten vereinheitlicht, von E-Mails und File-Sharing bis hin zu MFT-Vorgängen, API-Integration und Formularerstellung. Die Zero-Trust-Content-Protection von Kiteworks trägt zum Schutz sensibler Daten und zur allgemeinen Compliance mit einigen der strengsten Regelwerke und Regulierungen der Welt bei.

Mit Kiteworks können Sie auf die folgenden Funktionen zählen:

• Sicherheit und Compliance: Kiteworks verwendet AES-256-Verschlüsselung für Daten im ruhenden Zustand und TLS 1.2+ für Daten während der Übertragung. Die gehärtete virtuelle Appliance der Plattform, die granularen Kontrollen, die Authentifizierung, die Integration weiterer Security Stacks sowie umfassende Protokollierung und Audit-Reports ermöglichen es Unternehmen, die Umsetzung von Sicherheitsstandards einfach und schnell nachzuweisen.

  Die Kiteworks-Plattform verfügt über eine sofort einsatzbereite Compliance-Reporting-Funktion für branchenspezifische und staatliche Vorschriften und Standards wie den Health Insurance Portability and Accountability Act (HIPAA), PCI DSS, SOC 2 und GDPR (DSGVO).

  Darüber hinaus kann Kiteworks mit der Zertifizierung und der Einhaltung verschiedener Standards überzeugen, darunter FedRAMP, FIPS (Federal Information Processing Standards), FISMA (Federal Information Security Management Act), CMMC (Cybersecurity Maturity Model Certification) und IRAP (Information Security Registered Assessors Program).

• Audit-Protokollierung: Mit den unveränderlichen Audit-Protokollen der Kiteworks-Plattform können sich Unternehmen darauf verlassen, dass Angriffe früher erkannt werden und die korrekte Beweiskette zur Durchführung forensischer Untersuchungen sichergestellt ist.

  Da das System die Einträge aller Komponenten zusammenführt und standardisiert, sparen die Teams des Security Operations Center mit Kiteworks’ vereinheitlichtem Syslog und Warnhinweisen viel Zeit und unterstützen die Compliance-Teams bei der Vorbereitung auf Audits.

• SIEM-Integration: Kiteworks unterstützt die Integration mit den wichtigsten SIEM-Lösungen (Security Information and Event Management), darunter IBM QRadar, ArcSight, FireEye Helix, LogRhythm und andere. Es verfügt außerdem über den Splunk Forwarder und enthält eine Splunk App.

• Transparenz und Management: Das CISO Dashboard in Kiteworks verschafft Unternehmen einen Überblick über ihre Informationen: wo sie sich befinden, wer darauf zugreift, wie sie verwendet werden und ob die gesendeten, freigegebenen oder übertragenen Daten den Vorschriften und Standards entsprechen. Das CISO Dashboard ermöglicht es Führungskräften, fundierte Entscheidungen zu treffen und bietet gleichzeitig einen detaillierten Überblick über die Erfüllung der gesetzlichen Vorgaben.
• Single-Tenant-Cloud-Umgebung: Dateiübertragungen, Dateispeicherung und Benutzerzugriff erfolgen auf einer dedizierten Kiteworks-Instanz, die entweder vor Ort, auf den Infrastructure-as-a-Service-Ressourcen eines Unternehmens oder als private Single-Tenant-Instanz von Kiteworks in der Cloud auf dem Kiteworks Cloud-Server gehostet wird. Das bedeutet, dass es keine gemeinsame Laufzeit, keine gemeinsamen Datenbanken oder Repositorys, keine gemeinsamen Ressourcen und kein Potenzial für Cloud-übergreifende Datenschutzverletzungen oder Angriffe gibt.

Kiteworks PCN ist die nächste Stufe des Content Managements für Unternehmen – einheitlich, nahtlos und sicher über alle Ihre Kommunikationskanäle.

Erfahren Sie, wie Kiteworks ein Private Content Network bereitstellt, indem Sie sich unser Erklärvideo ansehen. Oder fordern Sie einfach eine individuelle Demo an.