Make data security a top priority when selecting SaaS solutions

Software-as-a-Service-Lösungen (SaaS) haben in den letzten Jahren einen regelrechten Boom erlebt. Dieser Trend scheint vorerst nicht nachzulassen. Ganz im Gegenteil: Der SaaS-Markt wird in den kommenden Jahren weiter wachsen. laut einem Bericht von Gartner. Ihr Unternehmen hat wahrscheinlich bereits SaaS-Lösungen eingeführt, aber ich kann Ihnen garantieren, dass Sie in Zukunft noch mehr SaaS-Lösungen nutzen werden. Und das aus gutem Grund, denn so erhalten Sie Zugang zu einer schnellen, stabilen, innovativen und kosteneffizienten Technologie- und Anwendungsinfrastruktur.

TL;DREinem Bericht von Dell Technologies zufolge geben 71 % der IT-Entscheidungsträger an, dass neue Technologien wie KI und 5G den Datenschutz komplexer machen, dennoch setzen Unternehmen mehr SaaS-Lösungen ein als je zuvor. Acubiz vertritt die Ansicht, dass bei der Auswahl cloudbasierter Software die Sicherheit ebenso gründlich geprüft werden muss wie die Funktionalität und der Preis und nicht erst im Nachhinein berücksichtigt werden darf.

Ihr Unternehmen sollte mehrere Faktoren berücksichtigen, bevor es sich für die Investition in eine SaaS-Lösung entscheidet. Dorthe, eine unserer erfahrenen Beraterinnen, hat bereits einen Artikel zum Thema verfasst, Artikel über Voraussetzungen, die zu einer erfolgreichen Implementierung einer SaaS-Lösung beitragen. Es ist sicherlich wichtig zu prüfen, wie die Software umgesetzt wird, aber die Faktoren Funktionalität, Wirtschaftlichkeit und Datensicherheit sind gleichermaßen wichtig. Welche Anforderungen muss die Lösung support erfüllen, wie sieht die wirtschaftliche Lage aus und werden die Daten vom Anbieter sicher verarbeitet?

In diesem Artikel gehe ich speziell auf den Sicherheitsaspekt ein. Es kann schnell zu einer unangenehmen und kostspieligen Erfahrung werden, wenn der ausgewählte Anbieter der Aufgabe nicht gewachsen ist und seiner Verantwortung in Bezug auf die Datensicherheit nicht gerecht wird.

Neue Technologien, mehr Daten, erhöhtes Risiko

Dänische Unternehmen setzen in großem Umfang auf neue Technologien und Lösungen. Damit fließt eine immer größere Datenmenge durch diese Lösungen. Die großen Datenmengen stellen laut dem Bericht auch eine größere Herausforderung für die Datensicherheit dar. „Global Data Protection Index“ von Dell Technologies.

71 % der im Bericht befragten IT-Entscheidungsträger geben an, dass neue Technologien wie künstliche Intelligenz, 5G und Edge-Infrastruktur den Datenschutz komplexer machen. Sie antworten zudem, dass die neuen Technologien potenziell eine echte Bedrohung für die Datensicherheit darstellen.

Dies trägt dazu bei, die Glaubwürdigkeit des Blogbeitrags zu unterstreichen; Informieren Sie sich gründlich darüber, wie SaaS-Anbieter Ihre Daten verarbeiten.

Wer ist für die Datensicherheit verantwortlich?

Datensicherheit ist ein weit gefasster Begriff und umfasst alles von Firewalls über Passwortverwaltung und Software-Updates bis hin zu Datensicherungen und personenbezogenen Daten usw. In diesem Blogbeitrag werde ich mich in erster Linie mit dem Schutz der Daten befassen, die über die betreffende SaaS-Lösung verarbeitet werden.

Verschiedene Systeme verwalten unterschiedliche Arten von Daten. So verwalten beispielsweise CRM-Systeme Kundendaten, während Gehaltssystem… verwalten Gehalts- und Personaldaten. Bei Acubiz verwalten wir Kreditkartendaten, Rechnungsdaten und Daten zum Zeitaufwand der Mitarbeiter, wenn unsere Lösung für die digitale Zeiterfassung, Acubiz Time, wird verwendet.

Ich habe diesen Satz bereits in einigen meiner früheren Blogbeiträge erwähnt. Aber er ist wichtig, und deshalb wiederhole ich ihn bei jeder Gelegenheit: Die Verantwortung für die Datensicherheit teilen Sie sich mit Ihrem SaaS-Anbieter. Der Anbieter kümmert sich um alle Aspekte der zugrunde liegenden Infrastruktur, während Sie für die ordnungsgemäße, sichere und schadensfreie Nutzung der Anwendung verantwortlich sind.

Das bedeutet, dass die SaaS-Anbieter selbstverständlich die Verantwortung dafür übernehmen, die Daten der Kunden in einer sicheren Umgebung zu verwahren. Das heißt, sie müssen sicherstellen, dass die Serverkonfiguration sicher ist, dass Firewall-Maßnahmen installiert sind, dass die Daten verschlüsselt werden, dass Verfahren zur Datensicherung und -wiederherstellung vorhanden sind, dass die Software kontinuierlich aktualisiert wird, dass die internen Prozesse zur Datenverarbeitung ordnungsgemäß ablaufen usw. Das Unternehmen muss dafür sorgen, dass die Nutzer Passwörter nicht wiederverwenden oder an zugänglichen Orten notieren. Stattdessen muss es sicherstellen, dass die Nutzer wissen, wie sie sich selbst, ihre Identität, ihren Benutzernamen und ihr Passwort schützen können.

Welche Sicherheitsaspekte müssen Sie berücksichtigen?

SaaS-Lösungen können große Mengen an geschäftlichen und persönlichen Daten enthalten. Und da viele Nutzer gleichzeitig von jedem beliebigen Gerät aus darauf zugreifen können, stellen sie potenziell ein erhebliches Sicherheitsrisiko dar. Daher ist es wichtig, dass Sie Ihre Vorbereitungsarbeit nicht vernachlässigen und den Ansatz des SaaS-Anbieters in Bezug auf Datensicherheit prüfen. Ich kann dies gar nicht genug betonen. Tatsache ist, dass es sowohl für den SaaS-Anbieter als auch für Sie als Unternehmen wünschenswert ist, eine Sicherheitsverletzung zu vermeiden.

SaaS-Anbieter sind sich dessen durchaus bewusst. Deshalb verfügt die überwiegende Mehrheit sowohl über solide als auch strenge Sicherheitsmaßnahmen und legt großen Wert auf Datensicherheit. Oft nutzen sie ausgefeilte und sichere Cloud-Infrastrukturen, die rund um die Uhr überwacht und kontrolliert werden. Lassen Sie uns einige Aspekte durchgehen, die Sie berücksichtigen können, wenn Sie auf der Suche nach einer neuen SaaS-Lösung sind.

1. Wie sehen die internen Prozesse der Anbieter zur Datenverarbeitung aus?

Die meisten sind sich wohl einig, dass E-Mails mit Kunden- oder Personaldaten nicht ohne entsprechende Sicherheitsmaßnahmen zwischen Mitarbeitern oder Partnern hin- und hergeschickt werden sollten. SaaS-Anbieter müssen ihre eigenen Prozesse kontinuierlich prüfen und validieren, um den korrekten Umgang mit Ihren Daten zu gewährleisten. Gleichzeitig müssen sie Anforderungen an Hosting-Partner, Geschäftspartner und andere Anbieter stellen, mit denen sie möglicherweise zusammenarbeiten. Es ist wichtig festzulegen, wer und wie viele Personen Zugriff auf bestimmte Kundendaten haben. Ebenso wichtig ist es, über dokumentierte Datenverwaltungsprozesse zu verfügen, um die richtige Datensicherheit zu gewährleisten.

Dann denkst du vielleicht: „Wie finden wir das heraus?“. Und das ist eine gute Frage, auf die es eine einfache Antwort gibt: Man sollte den Anbieter nach seinen internen Prozessen fragen. Oder prüfen, ob der Anbieter externe Audits seiner Verfahren durchführen lässt und somit Zertifizierungen vorweisen kann, die einen sicheren Ansatz bei der Datenverarbeitung belegen. Bei der Zertifizierung kann es sich beispielsweise um eine ISAE 3402 Typ II-, ISAE 3000- oder eine ISO 27001-Zertifizierung handeln. Ersteres ist eine Zertifizierung, die Acubiz seit 2016 erhalten hat. Die Zertifizierung ist ein internationaler Standard, der von IT-Dienstleistern angewendet wird, bei denen ein hohes Maß an Sicherheit und Kontrolle erforderlich ist.

2. Erstellen Datenschutzvereinbarungmit dem SaaS-Anbieter

Dieser Aspekt steht im Zusammenhang mit dem vorherigen, bei dem geprüft wird, ob der SaaS-Anbieter die geltenden Sicherheitsanforderungen und -standards einhält – einschließlich der Anforderungen an die Speicherung und Verarbeitung personenbezogener Daten, vgl. die EU-Datenschutz-Grundverordnung.

Ich empfehle Ihnen dringend, unbedingt Datenverarbeitungsvereinbarungen mit Ihren SaaS-Anbietern abzuschließen. Eine Datenverarbeitungsvereinbarung ist eine Vereinbarung zwischen zwei Unternehmen, in der festgelegt ist, wie das Unternehmen, das die Daten verarbeitet, diese Daten zu verarbeiten hat. Beachten Sie, dass die Datenverarbeitungsvereinbarung den verschiedenen Anforderungen und Auslegungen entsprechen muss, die in den Ländern gelten, in denen Sie geschäftlich tätig sind. Der Auftragsverarbeiter kann ebenfalls Datenverarbeitungsvereinbarungen mit Unterauftragnehmern abschließen.

Ohne eine Datenverarbeitungsvereinbarung könnten Sie in eine schwierige Lage geraten, falls die Datensicherheit des Anbieters verletzt wird. Verstöße und Sicherheitsverletzungen müssen der dänischen Datenschutzbehörde gemeldet werden. Natürlich hängen die Folgen einer Datenschutzverletzung für die Betroffenen von der Art der Verletzung ab. Dies kann unter anderem zu Identitätsdiebstahl, finanziellen Verlusten, der Aufhebung der Pseudoanonymisierung oder dem Verlust der Vertraulichkeit führen.

Natürlich verhindert eine Datenverarbeitungsvereinbarung nicht, dass es zu einer Datenschutzverletzung kommt, aber sie stellt sicher, dass es ein Verfahren zur Bewältigung solcher Vorfälle gibt und dass beschrieben ist, wie die Daten verarbeitet werden.

3. Welche zusätzlichen Maßnahmen zur Verbesserung der Sicherheit bietet der SaaS-Anbieter an?

Prüfen Sie, ob der SaaS-Anbieter Dienste anbietet, die die Sicherheit weiter verbessern können. Die Zugriffskontrolle über Single Sign-On ist ein Beispiel für einen Dienst, der zur Datensicherheit beiträgt.

Single Sign-On ist eine Zugriffskontrolle für mehrere miteinander verbundene, aber unabhängige IT-Systeme und Anwendungen. Das Unternehmen kann dem Benutzer mit nur einer Anmeldung Zugriff auf mehrere Systeme gewähren. Dies erhöht die Datensicherheit, da die Identitäts- und Zugriffskontrolle sowohl zentral als auch intern gesteuert werden kann. Gleichzeitig reduziert Single Sign-On die Anzahl der unterschiedlichen Benutzernamen und Passwörter bei den Benutzern, den Zeitaufwand für die Eingabe von Anmeldedaten und die Anzahl der Anfragen an die IT-Abteilung wegen vergessener Passwörter. Bei Acubiz bieten wir sowohl Single Sign-On für unsere Web- als auch für unsere mobile Anwendung an, was sowohl unseren Nutzern als auch unseren Kunden Vorteile bringt.

Für die Konfiguration von Single Sign-On ist der Zugriff auf Ihre Active Directory Federation Services (ADFS)-Infrastruktur erforderlich. Single Sign-On ist für sich genommen keine umfassende Sicherheitsmaßnahme, die Ihre Datensicherheit auf einen Schlag erheblich erhöht. In Verbindung mit anderen Sicherheitsmaßnahmen trägt es jedoch dazu bei, Ihre allgemeine Datensicherheit zu verbessern und zu stärken.

Ich empfehle Ihnen, nach SaaS-Anbietern zu suchen, die über die reinen „Mindestanforderungen“ hinausgehende Sicherheitsmaßnahmen anbieten. Das kann beispielsweise Single Sign-On sein, aber auch eine Lösung für die digitale Archivierung.

Folgendes sollten Sie beachten

Sie sind auf dem besten Weg, einen SaaS-Anbieter zu finden, der seine Verantwortung für die Datensicherheit ernst nimmt, wenn Sie diesen Punkt abhaken können:

• Der SaaS-Anbieter hat die Kontrolle über die internen Datenverarbeitungsprozesse und verfügt möglicherweise über eine ISAE 3402 Typ-II-Zertifizierung oder eine vergleichbare Zertifizierung.
• Der SaaS-Anbieter bietet von vornherein an, eine umfassende Datenverarbeitungsvereinbarung abzuschließen.
• Der SaaS-Anbieter kann zusätzliche Sicherheitsmaßnahmen anbieten, die über das „unbedingt Notwendige“ hinausgehen.

Darüber hinaus ist es unerlässlich, dass der SaaS-Anbieter die „Grundlagen“ wie Firewall-Installationen, Datenverschlüsselung, Software-Updates usw. im Griff hat. Und dies ist bei der überwiegenden Mehrheit der Fall. Wir bei Acubiz sind uns unserer Verantwortung hinsichtlich der Datensicherheit unserer Kunden sehr bewusst. Wir sind davon überzeugt, dass ein solides Datensicherheitskonzept dazu dient, das Vertrauen und die Investition zu schützen, die unsere Kunden in unseren Service getätigt haben, um Kostenmanagement.

Häufig gestellte Fragen

Inwiefern hat die zunehmende Verbreitung von SaaS-Lösungen die Datensicherheitsrisiken für Unternehmen erhöht?

Jede SaaS-Lösung verarbeitet und speichert Unternehmensdaten auf einer externen Infrastruktur. Je mehr Tools Unternehmen einsetzen, desto mehr Daten entziehen sich ihrer direkten Kontrolle. Einem Bericht von Dell Technologies zufolge geben 71 % der IT-Entscheidungsträger an, dass Technologien wie KI und 5G den Datenschutz zunehmend komplexer machen.

Welche Fragen zur Datensicherheit sollten Sie einem SaaS-Anbieter stellen, bevor Sie einen Vertrag unterzeichnen?

Erkundigen Sie sich nach den Speicherorten der Daten und den Anforderungen hinsichtlich des Datenaufenthalts, der Verschlüsselung während der Übertragung und im Ruhezustand, den Zugriffskontrollen und der Protokollierung von Prüfungen, den Verfahren zur Reaktion auf Vorfälle, Sicherheitszertifizierungen durch Dritte, der Häufigkeit von Penetrationstests sowie der Einhaltung der DSGVO. Prüfen Sie außerdem, wie die Datenlöschung bei Vertragsende gehandhabt wird.

Welche Zertifizierungen zeigen, dass ein SaaS-Anbieter die Datensicherheit ernst nimmt?

Achten Sie auf eine Zertifizierung nach ISO 27001, SOC-2-Typ-II-Berichte und DSGVO-Datenverarbeitungsvereinbarungen. Diese stellen eine unabhängige Überprüfung der Sicherheitsmaßnahmen dar. Ein Anbieter, der nicht bereit ist, diese Dokumente offenzulegen oder offen über seine Sicherheitsvorkehrungen zu sprechen, ist ein deutliches Warnsignal.

Reicht es aus, sich ohne Überprüfung auf die Sicherheitsversprechen eines SaaS-Anbieters zu verlassen?

Nein. Die Folgen einer Datenpanne können schwerwiegend sein, sowohl in finanzieller Hinsicht als auch in Bezug auf den Ruf. Sicherheitsaussagen in Marketingmaterialien sollten durch Unterlagen und, soweit möglich, durch unabhängige Prüfungen bestätigt werden. Die Auswahl eines Anbieters ohne diese sorgfältige Prüfung birgt ein Risiko, das sich vollständig vermeiden lässt.