Dieser Blog wurde ursprünglich auf der Aware-Website veröffentlicht, aber mit der Übernahme von Aware durch Mimecast stellen wir sicher, dass er auch für Besucher der Mimecast-Website zugänglich ist.
Die Compliance-Überwachung in Slack ist unerlässlich, um sensible Daten zu schützen, Verstöße zu verhindern und die Einhaltung von Vorschriften zu gewährleisten.
Zu den bewährten Praktiken gehören die Festlegung klarer Nutzungsrichtlinien, die Schulung der Mitarbeiter, die Aktivierung von Datenaufbewahrungskontrollen und der Einsatz von Echtzeit-Überwachungstools.
Da immer mehr Unternehmen Echtzeit-Kollaborationstools wie Slack nutzen, um moderne Arbeitsabläufe zu unterstützen, sind Sicherheit und die Einhaltung gesetzlicher Vorschriften ein Bereich, der sowohl für Behörden als auch für Führungskräfte zunehmend an Bedeutung gewinnt. In diesem Beitrag erfahren Sie alles, was Workspace-Administratoren über die Einhaltung von Vorschriften in Slack und die Sicherung ihrer Unternehmensdaten wissen müssen, um das Risiko von Geldstrafen, Bußgeldern und anderen gesetzlichen Maßnahmen zu minimieren.
Was ist die Überwachung der Einhaltung der Vorschriften?
Die Überwachung der Einhaltung von Richtlinien bezieht sich auf den fortlaufenden Prozess, mit dem sichergestellt wird, dass eine Organisation die relevanten Gesetze, Vorschriften und internen Richtlinien zur akzeptablen Nutzung einhält. Um dies zu erreichen, setzen Unternehmen eine Reihe von Maßnahmen ein, um die Aktivitäten ihrer Mitarbeiter in den von der Arbeit genehmigten Tools und Apps zu verfolgen und zu bewerten. Diese Maßnahmen zielen darauf ab, nicht konformes oder risikoreiches Verhalten aufzudecken und die Risiken von Bußgeldern und Strafen zu mindern. Eine wirksame Überwachung der Einhaltung von Vorschriften trägt dazu bei, Risiken zu verringern, ethische Praktiken aufrechtzuerhalten und den Ruf des Unternehmens zu schützen.
Warum ist die Überwachung der Einhaltung von Vorschriften für moderne Unternehmen so wichtig?
Da ein Großteil der heutigen Arbeit online in Cloud-basierten Tools und in verteilten Teams stattfindet, ist die Überwachung der Compliance wichtiger denn je, um die sensiblen Daten zu schützen, die ein Unternehmen verarbeitet. Diese Daten können regulierte Daten wie persönliche Gesundheitsinformationen (PHI) und Daten der Zahlungskartenindustrie (PCI) sowie geistiges Eigentum und andere geschützte und vertrauliche Informationen enthalten.
In der Vergangenheit wären diese sensiblen und regulierten Informationen auf On-Premise-Lösungen wie Papierakten oder geschlossene Computernetzwerke beschränkt gewesen, was die Notwendigkeit einer Überwachung der Einhaltung von Vorschriften verringert hätte. Da immer mehr Informationen ungehindert zwischen Geräten und Anwendungen fließen, müssen Unternehmen rund um die Uhr Lösungen an allen Orten einsetzen, an denen ihre Mitarbeiter arbeiten:
Schutz von Daten und Privatsphäre
Schutz vor Cybersicherheitsrisiken
Verhindern Sie Verstöße und damit verbundene Geldstrafen
Verwandte Tags
Data Governance
Teilen
Unternehmenskultur unterstützen
Was sind einige der Herausforderungen bei der Einhaltung von Vorschriften bei der Verwendung von Slack?
Slack ist ein äußerst beliebtes Tool für die Zusammenarbeit, aber es birgt auch Herausforderungen für Compliance-Beauftragte. Dazu gehören:
Gemeinsame Nutzung sensibler Daten: Mitarbeiter nutzen Slack, um ihre Arbeit zu beschleunigen, indem sie vertrauliche Informationen und Dateien austauschen, die dann auf unbestimmte Zeit in bezahlten Slack-Instanzen gespeichert werden.
eDiscovery und Suche: Das Auffinden von Informationen in Slack kann eine Herausforderung sein, da Nachrichten unterschiedliche Sichtbarkeitseinstellungen haben, je nachdem, ob sie in öffentlichen Channels, privaten Channels oder Direktnachrichten gesendet wurden.
Komplexität der Daten: Die von Kollaborationsplattformen wie Slack erzeugten Datensätze sind riesig - jeder Mitarbeiter an einem durchschnittlichen Arbeitsplatz sendet 30-40 Nachrichten pro Tag, was bedeutet, dass selbst kleine Slack-Instanzen Millionen von Nachrichten und Dateien enthalten können.
Bearbeitungen und Löschungen: Slack-Benutzer (Custodians) behalten die volle Kontrolle über die von ihnen gesendeten Nachrichten und können diese jederzeit bearbeiten oder löschen. Dadurch wird es für die Compliance-Beauftragten schwieriger zu verstehen, wann mögliche Verstöße stattgefunden haben könnten.
Integrationen von Drittanbietern: Slack ist mit Tausenden von verschiedenen Apps und Tools verbunden, von denen jedes einzelne das Datensicherheitsrisiko erhöhen könnte, indem es sensible Informationen weitergibt. Administratoren müssen sicherstellen, dass alle Integrationen die gleichen Compliance-Standards erfüllen wie Slack.
Welche nativen Compliance-Kontrollen gibt es bei Slack?
Slack unterstützt Compliance- und Infosec-Teams, indem es eine Reihe von Funktionen und Kontrollen für die Verwaltung sensibler Informationen in Slack-Nachrichten bietet. Erstens ist Slack mit einer Reihe von globalen Sicherheits- und Datenschutzstandards konform, darunter ISO 27001, SOC 2, SOC 3, APEC PRP und APEC CBPR. Darüber hinaus ermöglicht Slack seinen Administratoren, die Software auf eine Weise zu nutzen, die mit den wichtigsten Compliance-Vorschriften wie GDPR, CCPA/CPRA, HIPAA, FINRA, FedRAMP und anderen konform ist.
Um Unternehmen die Einhaltung von Vorschriften zu ermöglichen, bietet Slack Kontrollen für die Datenresidenz, die es Administratoren ermöglichen, die geografische Region auszuwählen, in der ihre Daten gespeichert werden. Slack bietet auch ein Addendum zur Datenverarbeitung an, das die Verpflichtungen und Anforderungen von Slack gemäß GDPR, CCPA und ähnlichen Gesetzen in Bezug auf die Verarbeitung von Nutzerdaten darlegt. Zusammengenommen können diese Funktionen Administratoren von Arbeitsbereichen dabei helfen, die Einhaltung von Richtlinien in Slack zu unterstützen und aufrechtzuerhalten. Sie bieten jedoch nicht alle Kontrollen, die zur Durchsetzung der Compliance in der gesamten Slack-Umgebung erforderlich sind.
Die Compliance innerhalb von Slack sollte durch Compliance-Tools von Drittanbietern verstärkt werden, die Slack-Nachrichten in Echtzeit überwachen können, sowie durch regelmäßige Mitarbeiterschulungen, um die versehentliche Offenlegung sensibler oder eingeschränkter Informationen zu begrenzen.
Wie schützt Slack vor Phishing und anderen Angriffen?
Die Absicherung von Slack gegen den unbefugten Zugriff von Drittnutzern ist entscheidend für den Schutz der darin enthaltenen Unternehmensdaten. Beispiele für Datenverluste und Compliance-Verstöße, die durch Slack verursacht wurden, sind:
Material zu Grand Theft Auto VI wurde veröffentlicht, nachdem Rockstar Games' Slack gehackt wurde
Der Quellcode für FIFA 21 und andere Daten wurden von EA Games über einen Slack-Einbruch gestohlen
Ein Hacker verschaffte sich Zugang zu vertraulichen Finanzdaten und Konto-Logins von Uber und gab dies auf dem firmeneigenen Slack bekannt
Slack ergreift Maßnahmen, um zu verhindern, dass böswillige Akteure auf die Arbeitsbereiche von Unternehmen zugreifen, z. B. durch die Beschränkung der Anmeldung auf firmeneigene Konten und die weitere Kontrolle des Zugriffs über das Encryption Key Management. Für zusätzliche Sicherheit ermöglicht Slack auch eine Zwei-Faktor-Authentifizierung, die von Administratoren im gesamten Arbeitsbereich durchgesetzt werden kann. Auch wenn 2FA nicht zwingend vorgeschrieben ist, müssen Administratoren und Eigentümer 2FA verwenden, wenn sie sich bei ihren Konten anmelden. Alternativ können Administratoren eine einmalige Anmeldung (Single Sign-On, SSO) verlangen, um mit einem Identitätsanbieter (IDP) wie Azure Active Directory (jetzt Microsoft Entra ID), Google Workspace (SAML), Okta oder OneLogin eine zusätzliche Sicherheitsebene zu schaffen.
Neben den nativen Slack-Sicherheitsmaßnahmen können Unternehmen ihre Slack-Instanz mit Anwendungen von Drittanbietern verbinden, um das Risiko bösartiger Angriffe zu verringern. Zu den verfügbaren Lösungen gehören DLP- und CASB-Dienste zum Schutz von Daten und zur Beschränkung des Zugriffs sowie Überwachungs- und Alarmierungssoftware in Echtzeit, die Insider-Vorfälle sofort erkennen kann.
Insgesamt können diese Maßnahmen die Bedrohung durch Hacker und andere schlechte Akteure innerhalb von Slack verringern, aber die Mitarbeiter sollten auch routinemäßig darin geschult werden, Phishing- (E-Mail) und Smishing-Angriffe (SMS) zu erkennen, sobald sie auftreten. Der Uber-Angriff war zum Beispiel das Ergebnis eines MFA-Müdigkeitsangriffs, bei dem der Hacker wiederholt Login-Anfragen an das 2FA-Gerät des Mitarbeiters sendet, bis dieser schließlich zustimmt.
4 Schritte zur Reduzierung von Sicherheits- und Compliance-Risiken in Slack
Schritt 1: Legen Sie klare Richtlinien für Slack fest
Jedes Arbeitsmittel sollte vor der Verwendung auf seine Sicherheit geprüft werden. Die proaktive Festlegung von Richtlinien zur akzeptablen Nutzung kann Mitarbeitern helfen, zu verstehen, wie ein Tool zu verwenden ist - und welche Verhaltensweisen zu vermeiden sind. Dies kann nicht-konforme Aktivitäten reduzieren und das Risiko für die Organisation begrenzen.
Schritt 2: Schulung der Mitarbeiter zur akzeptablen Nutzung
Es hat keinen Sinn, Richtlinien zu erstellen, ohne die Mitarbeiter darin zu schulen, wie sie zu befolgen sind. Begraben Sie die Richtlinien zur akzeptablen Nutzung nicht, sondern machen Sie Schulungen und Erinnerungen zu einem regelmäßigen Bestandteil Ihrer Infosec-Strategie und setzen Sie ein Tool zur Moderation von Inhalten ein, das Mitarbeiter in Echtzeit unterstützen und coachen kann.
Schritt 3: Richtlinien zur Datenaufbewahrung einrichten
Eine wichtige Komponente der Einhaltung von Vorschriften ist die Aufbewahrung. Wie lange Unternehmen Informationen aufbewahren und wie leicht sie zugänglich sind, sind zentrale Bestimmungen von Vorschriften wie HIPAA, FINRA und GDPR. Unternehmen müssen einen Plan zur Einführung und Durchsetzung von Aufbewahrungsanforderungen in Slack haben.
Schritt 4: Aktivieren Sie die Echtzeit-Überwachung von Slack
Verwenden Sie ein Tool, das Slack-Nachrichten in Echtzeit überwachen und analysieren kann, um nicht konforme und riskante Aktivitäten sofort zu erkennen und Korrekturmaßnahmen zu ergreifen, um das Risiko in Slack zu verringern.
Wie Mimecast Aware Echtzeit-Compliance für Slack ermöglicht
Mimecast Aware macht es Administratoren leicht, Compliance und akzeptable Nutzung in Slack zu etablieren und durchzusetzen. Die KI-gestützte Plattform von Mimecast Aware wurde entwickelt, um Risiken zu reduzieren und einen Mehrwert aus den Kollaborationsdaten von Mitarbeitern in Slack und anderen Tools zu ziehen. Dabei kommt eine proprietäre natürliche Sprachverarbeitung (NLP) zum Einsatz, die mehr Ereignisse mit weniger Fehlalarmen aufdeckt.
Als einziger Slack-Anbieter, der sowohl für Data Loss Prevention als auch für eDiscovery zugelassen ist, bietet Mimecast Aware eine ganzheitliche Überwachung und Kontrolle von Slack-Daten und erfüllt damit die Anforderungen von Sicherheits-, Compliance- und Infosec-Teams. Mimecast Aware stellt über eine API eine Verbindung zu Slack her, um eine vollständige Aufzeichnung aller Nachrichten, einschließlich Änderungen und Löschungen, zu erfassen und sie in einem durchsuchbaren Archiv zu speichern, das mit KI/ML-Metadaten angereichert ist, um eine schnellere Entdeckung und bessere kontextbezogene Analyse des Wer, Was, Wo, Wann, Wie und Warum von Sicherheitsvorfällen zu ermöglichen.
Intelligente Automatisierungen ergreifen sofort Maßnahmen, wenn Verstöße und Datenrisiken entdeckt werden. Sie leiten Nachrichten zur Überprüfung in Tombstone weiter oder schulen Mitarbeiter automatisch in den Richtlinien zur akzeptablen Nutzung, um zukünftige Verstöße zu minimieren. Bidirektionale Aufbewahrungsrichtlinien gelten sowohl für die vorhandenen als auch für die archivierten Slack-Daten. Das bedeutet, dass Administratoren auf kontrollierte und vertretbare Weise den gesetzlichen Anforderungen und internen Richtlinien entsprechen können, unterstützt durch umfassende Audit-Protokolle.
Mit Mimecast Aware können Unternehmen schnell und einfach die Einhaltung von Richtlinien und die akzeptable Nutzung von Slack und anderen Collaboration-Tools über ein zentrales Dashboard durchsetzen, das speziell für die Komplexität dieses Datensatzes entwickelt wurde.
Die GDPR und verwandte Gesetze wie CCPA/CPRA, PIPEDA und LGPD legen fest, wie Unternehmen mit den Daten von Einzelpersonen, einschließlich Mitarbeitern, umgehen. Slack bietet Administratoren Kontrollen und Einstellungen, die helfen, diese Gesetzgebung in den Arbeitsbereichen von Unternehmen zu unterstützen. Erfahren Sie mehr über die Einhaltung der GDPR in Slack.
Ist Slack mit NIST 800-171 konform?
NIST SP 800-171 beschreibt die Verfahren, die nicht-bundesstaatliche Organisationen beim Umgang mit Controlled Unclassified Information (CUI) befolgen sollten. Slack ist NIST 800-171 zertifiziert.
Ist Slack CJIS-konform?
Die Sicherheitsrichtlinien für Strafjustiz-Informationsdienste (CJIS) gelten für alle Organisationen, die auf Strafjustizdaten wie biometrische Daten, Fallakten und Daten über Vorfälle zugreifen oder diese bearbeiten. Es wird hauptsächlich von Ersthelfern und verwandten Organisationen verwendet. Slack ist CJIS-zertifiziert.
Ist Slack für die Verwendung im DoD zugelassen?
Regierungs- und DoD-Behörden können GovSlack verwenden, eine sichere und konforme Version von Slack, die für den Einsatz in Behörden entwickelt wurde. GovSlack ist FedRAMP High, DoD SRG IL4 und FIPS 140-2 konform.
Verfügt Slack über eine AES 256-Bit-Verschlüsselung?
Slack bietet eine Reihe von Sicherheits- und Verschlüsselungsfunktionen, je nach Slack-Tarifstufe und Administratoreinstellungen. Dazu gehören TLS 1.2-Protokolle, AES256-Verschlüsselung, ECDHE_RSA-Schlüsselaustauschalgorithmus und SHA2-Signaturen, sofern unterstützt.
Wie erfüllt Slack die Anforderungen des PCI Security Standards Council?
Obwohl Slack kein PCI-zertifizierter Service Provider ist, bietet es Sicherheitsfunktionen, die Administratoren implementieren können, um PCI-Daten innerhalb von Slack als Teil einer umfassenderen Compliance-Strategie zu schützen. Slack hat außerdem den Selbstbewertungsfragebogen A (SAQ-A) des Payment Card Industry Data Security Standard ausgefüllt.
Was ist der Unterschied zwischen Slack und Slack Enterprise Grid?
Slack Enterprise Grid ist eine Mitgliedschaftsstufe von Slack, die eine detailliertere Kontrolle über eine Slack-Instanz ermöglicht, um Datensicherheit und Compliance-Richtlinien durchzusetzen. Benutzer des Enterprise Grid können ihre Slack-Instanz auch über eine API mit Compliance-, DLP-, eDiscovery- und anderen Sicherheitstools und -anwendungen von Drittanbietern verbinden.
