Workshop: Mit Sicherheit Datenschutz in der Gesetzlichen Unfallversicherung 04 - Datenschutz-Referenzarchitekturen

1. 0EU-DSGVO-Workshop für die Träger der Gesetzlichen Unfallversicherung, 26.04.2018, Berlin © 2018 FUJITSU
Datenschutz-Referenzarchitekturen
Die neue EU Datenschutz-Grundverordnung:
Britta Laatzen
Strategisches IT-Consulting
Öffentliche Auftraggeber Deutschland

2. 1EU-DSGVO-Workshop für die Träger der Gesetzlichen Unfallversicherung, 26.04.2018, Berlin © 2018 FUJITSU
Herausforderungen der neuen DSGVO
Befragungsergebnis
 13 % der befragten Firmen
arbeiten aktiv an der Umsetzung.
 49 % der Befragten beschäftigen
sich mit dem Thema.
 33 % der Befragten gaben an, sich
bislang nicht mit den Vorgaben der
Verordnung befasst zu haben.
Herausforderungen
 32%: Mangelnde praktische
Umsetzungshilfen
 43%: Rechtsunsicherheit
 52 %: Schwer abzuschätzender
Implementierungsaufwand
Laut Bitkom-Studie glaubt nur eine Minderheit, pünktlich zum 25. Mai 2018 fit für die EU-DSGVO zu sein.
Gründe
Quelle: https://www.bitkom.org/Presse/Presseinformation/Jedes-fuenfte-IT-Unternehmen-ignoriert-bislang-Datenschutzgrundverordnung.html

3. 2EU-DSGVO-Workshop für die Träger der Gesetzlichen Unfallversicherung, 26.04.2018, Berlin © 2018 FUJITSU
Rechtsunsicherheit
0III000IIIII0I0I0000IIIIII0III000II00I0
0IIIIII0I0I00III00I0III00I00I0III000II0
0000I0II0III0I0000III0II00II0II000III0
00II00I00IIIIIIII0I0I00III000III00I00I0
III00000II0II0I00III00III00I00I0III000
II0I00I00I00I0III000II00000I0II0III0I
0000II0II00II0II000III000II00I00IIIIIII
0I0I00III00III0I0I00III0I0I0III00I00I0I
II000II00000I0II0III0I0000IIII00III0I0
I00III0I0I0III00I00I0III000II00000I0II
0III0I0000II0II00II0II000III000III00I0
0IIIIIII0I0I00III000I0II00II0II000III00
0III00I00IIIII00II0II000III000II00I00II
IIIII0I0I00III00III0I0I00III0I0I0III00I0
0I0III000II00000I0II0III0I0000IIII00II
I0I0I00III0I0I0III00I00I0III000II0000I
Rechtsverträgliche
Technikgestaltung
?abstrakt konkret
§
Grundsätze der EU-DSGVO
Art. 5 Absatz 1
Personenbezogene Daten
müssen ..
a. .. in einer .. nachvollziehbaren Weise
verarbeitet werden (Transparenz).
b. .. Für festgelegte und legitime Zwecke
erhoben werden ..(Zweckbindung).
c. Für die Zwecke der Verarbeitung
notwendige Maß beschränkt sein
(Datenminimierung).
d. .. Daten, die .. unrichtig sind, gelöscht
oder berichtigt werden.
f. .. Schutz vor Verlust, .. Integrität und
Vertraulichkeit durch geeignete
technische und organisatorische
Maßnahmen ..
Rechtliche Anforderungen

4. 3EU-DSGVO-Workshop für die Träger der Gesetzlichen Unfallversicherung, 26.04.2018, Berlin © 2018 FUJITSU
Anwendung des Standard-Datenschutzmodells
Das Standard-Datenschutzmodell (SDM) ist eine Methode zur Datenschutzberatung und -prüfung auf Basis
einheitlicher Gewährleistungsziele und
 überführt datenschutzrechtliche Anforderungen in einen Katalog von Gewährleistungszielen,
 gliedert die betrachteten Verfahren in die Komponenten Daten, IT-Systeme und Prozesse,
 berücksichtigt die Einordnung von Daten in drei Schutzbedarfsabstufungen und
 bietet einen hieraus systematisch abgeleiteten Katalog mit standardisierten Schutzmaßnahmen.
Quelle: SDM – Das Standard-Datenschutzmodell, Erprobungsfassung V1.0, 2016

5. 4EU-DSGVO-Workshop für die Träger der Gesetzlichen Unfallversicherung, 26.04.2018, Berlin © 2018 FUJITSU
Rechtsverträgliche Technikgestaltung
§
Grundsätze der EU-DSGVO
Art. 5 Absatz 1
Personenbezogene Daten
müssen ..
a. .. in einer .. nachvollziehbaren Weise
verarbeitet werden (Transparenz).
b. .. Für festgelegte und legitime Zwecke
erhoben werden ..(Zweckbindung).
c. Für die Zwecke der Verarbeitung
notwendige Maß beschränkt sein
(Datenminimierung).
d. .. Daten, die .. unrichtig sind, gelöscht
oder berichtigt werden.
f. .. Schutz vor Verlust, .. Integrität und
Vertraulichkeit durch geeignete
technische und organisatorische
Maßnahmen ..
Nichtverkettbarkeit
• Rechte- und Rollenkonzept
• Mandantentrennung der Daten bei
gemeinsamer Verarbeitung
• Frühestmögliche Anonymisierung
• Zweckbezogene
Pseudonymisierung
• Beschränkung der
Datenschnittstellen
• Beschränkung der Funktionalität
• ...
Transparenz ..
Datenminimierung ..
..
Rechtliche Anforderungen
(Auszug)
Sollvorgaben zur
Technikgestaltung (Auszug)
 Vertraulichkeit
 Integrität
 Verfügbarkeit
 Zweckbindung
 Nichtverkettbarkeit
 Transparenz
 Datenminimierung
 Intervenierbarkeit
Gewährleistungsziele
Gemeinsame Sprache, die Juristen
und Techniker gleichermaßen
verstehen
Quelle: angelehnt an das SDM – Das Standard-Datenschutzmodell, Erprobungsfassung V1.0, 2016

6. 5EU-DSGVO-Workshop für die Träger der Gesetzlichen Unfallversicherung, 26.04.2018, Berlin © 2018 FUJITSU
Mit Sicherheit Datenschutz in der Gesetzlichen UV
Informations-
sicherheit
Datenschutz
Datenminimierung
Transparenz
Nichtverkettbarkeit
Intervenierbarkeit
Vertraulichkeit
Integrität
Verfügbarkeit
Artikel 32 DSGVO, Sicherheit der Verarbeitung: Unter Berücksichtigung des Stands der Technik, der
Implementierungskosten und der Art, des Umfangs, der Umstände und der Zwecke der Verarbeitung sowie
der unterschiedlichen Eintrittswahrscheinlichkeit und Schwere des Risikos für die Rechte und Freiheiten
natürlicher Personen treffen der Verantwortliche und der Auftragsverarbeiter geeignete technische und
organisatorische Maßnahmen, um ein dem Risiko angemessenes Schutzniveau zu gewährleisten.”
Fokus: personenbezogene Daten
Datenschutz unterstellt methodisch:
Jede Organisation ist ein Angreifer!
Fokus: Unternehmensdaten
IT-Sicherheit unterstellt methodisch:
Jede Person kann ein Angreifer sein!

7. 6EU-DSGVO-Workshop für die Träger der Gesetzlichen Unfallversicherung, 26.04.2018, Berlin © 2018 FUJITSU
IT-Managementsysteme effektiv verbinden
Informations-
sicherheits-
Management
Datenschutz
Management
Enterprise
Architektur
Management Datenschutz darf nicht als isolierte Aufgabe betrachtet
werden, sondern muss integraler Bestandteil einer
Digitalisierungs- und Umsetzungsstrategie sein.
Digitale
Transformation

8. 7EU-DSGVO-Workshop für die Träger der Gesetzlichen Unfallversicherung, 26.04.2018, Berlin © 2018 FUJITSU
Datenschutz-Referenzarchitektur integraler Bestandteil
einer Digitalisierungs- und Umsetzungsstrategie
Enterprise Architektur Datenschutz-
gewährleistende IT-Bausteine
Sicherheits-gewährleistende
IT-Bausteine
Prävention
Reha &
Leistungen
Applikation 2 Applikation nApplikation 1
Storage NetzwerkServer
RZ-Standort 1 RZ-Standort 2
Mitglieder &
Beiträge
Anonymisierung,
Pseudonymisierung
Löschfunktionen
Change
Management
Revisionssichere
Protokollierung
Gefährdungen, Risikobewertungen,
Referenzmaßnahmen des
Standard-Datenschutzmodells / DSA
Gefährdungen, Risikobewertungen,
Referenzmaßnahmen der
IT-Grundschutzkataloge / BSI
Anti-Virus Notfallmanagement
Identity & Access
Management
IT Sicherheits-
Vorfallsmanagement
……
Enterprise Architektur-, Datenschutz-, Informationssicherheits-Management

9. 8EU-DSGVO-Workshop für die Träger der Gesetzlichen Unfallversicherung, 26.04.2018, Berlin © 2018 FUJITSU