Windows Server 2008 Sicherheit – Die technische Referenz - Gattner

Einsetzen von RMS, um bestimmte Anforderungen zu erfüllen 313
Der Privacy Act aus dem Jahr 1974 verpflichtet Regierungseinrichtungen, Datensätze zu
schützen, die Personendaten enthalten. Allerdings gibt der Freedom of Informationen Act
(FOIA) Personen das Recht, ihre Daten zu prüfen. Daher suchen Regierungseinrichtungen
nach Möglichkeiten, Daten vor unautorisiertem Zugriff zu schützen, ohne dabei jedoch die
gesetzlichen Verpflichtungen zu behindern. Der Financial Modernization Act aus dem Jahr
1999 (auch als Gramm-Leach-Bliley Act bekannt) und der Health Insurance Portability and
Accountability Act (HIPAA) aus dem Jahr 1996 schreiben kommerziellen und Regierungseinrichtungen
den Schutz von Finanz- beziehungsweise Gesundheitsdaten vor. Diese Gesetze
haben Auswirkungen darauf, wie Banken, Krankenhäuser, Ärzte und andere Beteiligte die
Datensätze ihrer Kunden verwalten. Auf den ersten Blick fordert HIPAA genau das Gegenteil,
weil dieses Gesetzespaket versucht, einerseits den Schutz der Daten zu verbessern,
dabei aber auch Organisationen vorschreibt, die Daten von Patienten einfacher als Organisationen
weiterzugeben, die vom Patienten dazu autorisiert wurden.
Der Federal Information Security Management Act (FISMA) betrifft nicht nur alle Regierungseinrichtungen,
sondern auch viele Organisationen, die mit ihnen in Geschäftsbeziehungen
stehen. FISMA deckt einen weiten Bereich der Computersicherheit ab, wobei ein Teil
davon Anforderungen für den Schutz vertraulicher Daten gegen unautorisierten Zugriff
definiert.
Gesetze in einzelnen US-Staaten
Viele Staaten in den USA haben Gesetze verabschiedet, die Organisationen, die mit ihren
Bürgern Geschäftsbeziehungen unterhalten, vorschreiben, Schutzmaßnahmen gegen den
Diebstahl persönlicher Daten zu implementieren. Diese Vorschriften gehen teils über das
hinaus, was die Bundesgesetze vorschreiben. Kalifornien ist führend in diesem Bereich.
Zum Beispiel schreiben SB 1386 und Civil Code Section 1798.81.5 Unternehmen vor, die
Sicherheit der persönlichen Daten kalifornischer Bürger sicherzustellen, zum Beispiel
Sozialversicherungsnummern und Führerscheindaten.
Andere Länder
Viele Länder in Europa, dem Nahen Osten und Asien haben irgendwelche Gesetze zum
Schutz von Daten verabschiedet. Diese Gesetze schreiben normalerweise den Schutz von
Personendaten ihrer Bürger vor, unabhängig davon, wo und wie sie aufgezeichnet wurden.
Konsequenzen, wenn die Anforderungen nicht erfüllt werden
Viele bekannte Datenlecks wurden von der Presse ausführlich breitgetreten. Zum Beispiel
wurden fünf der größten Investmentbanker der Welt zu einer Strafe von 8.000.000 US-
Dollar verurteilt, weil sie E-Mails nicht wie im Securities Exchange Act gefordert archiviert
hatten. Ein anderer jüngerer Fall könnte für einen kalifornischen Anbieter von Gesundheitsdienstleistungen
eine Strafe von 250.000 US-Dollar und 10 Jahre Gefängnis bedeuten, weil
er die HIPAA-Anforderungen nicht erfüllt hat. Neben der Gefahr von Gefängnis- und hohen
Geldstrafen setzen Organisationen, die Daten über ihre Angestellten, Partner und Kunden
nicht richtig schützen, auch ihre Umsätze und Börsenkurse einem hohen Risiko aus, wenn
sich bei einem Vorfall die öffentliche Meinung gegen das Unternehmen richtet.