Wie können Sie die Einhaltung des Datenschutzes in SAP verbessern?

Das Ziel eines jeden Datenschutzprojekts ist es, die Einhaltung der erforderlichen Datenschutzgesetze im Zuständigkeitsbereich des Unternehmens zu verbessern. Die Struktur von SAP macht die Einhaltung des Datenschutzes besonders schwierig. Einer der zwingendsten Gründe für die Einhaltung des Datenschutzes sind die Bußgelder; die neuen Gesetze sehen hohe finanzielle Sanktionen vor, die von den Behörden verhängt werden können. 

Wir führen seit über 20 Jahren Datenschutzprojekte in verschiedenen Branchen rund um den Globus durch und haben wesentliche Schritte für einen einheitlichen Projektansatz identifiziert:

• Identifizieren Sie Ihre Risiken: Folgen- und Risikobewertung
• Finden und Kategorisieren Ihrer PII
  Überprüfung der Zugriffsrisiken und -kontrollen
• Aufräumen des Rückstands in der Produktion
• Verwalten von PII in Produktionskopien
• Bearbeitung von Anträgen auf Zugang zu personenbezogenen Daten (DSARs)
• Bearbeitung einzelner Anträge auf Löschung
• Proaktive Identifizierung der betroffenen Personen
• Laufendes Audit und Überprüfung

Reagieren Sie auf das Recht auf Auskunft/Entfernung in Produktionssystemen

Unabhängig davon, ob Sie sich an das PDPA in Thailand, an eines der bundesstaatlichen Gesetze in den USA oder an die DSGVO in Europa halten, sind Sie verpflichtet, eine Antwort auf das Recht auf Auskunft und Löschung personenbezogener Daten aus Ihrer Datenbank zu geben.

Das Recht auf Löschung setzt keine Ihrer anderen rechtlichen und gesetzlichen Anforderungen außer Kraft, wie z. B. die Aufbewahrung von Unterlagen für Steuerprüfungen. Sie müssen nun einen Weg finden, um zu überprüfen, ob die Daten aus einem anderen rechtlichen Grund benötigt werden, und wenn nicht, sensible Daten aus Ihrem System entfernen.

SAP stellt bei der Datenlöschung eine Herausforderung dar: Als relationale Datenbank sind die sensiblen Daten untrennbar mit Ihren Geschäftsvorgängen verbunden. Herkömmliche Methoden zur Archivierung oder Löschung bedeuten also, dass Sie Ihre Transaktionen und Stammdaten vollständig entfernen müssen.

EPI-USE bietet mit Data Redact eine Alternative, bei der die PII aus den Datensätzen entfernt werden, die referenzielle Integrität der Lösung jedoch erhalten bleibt. Und Data Disclose bietet ein effektives PII-Mapping in einer PDF-Ausgabe, das einen effizienten Prozess zur Beantwortung von Auskunftsansprüchen ermöglicht.

Daten in Nicht-Produktionssystemen verschlüsseln

Jedes Unternehmen muss seine Prozesse testen, ganz gleich, ob es sich um die jährliche Aktualisierung der Gehaltsabrechnung, ein Service Pack-Upgrade oder neue Anpassungen handelt. Sie wollen nicht plötzlich feststellen, dass Sie mit den neuen Prozessen in der Produktion ein Problem haben. Deshalb nehmen die meisten Unternehmen eine Kopie ihrer Produktionssysteme und erstellen Testumgebungen.

Die Anzahl der Testumgebungen variiert je nach Unternehmen, aber ein typischer Aufbau sieht folgendermaßen aus:

• Entwicklung mit begrenzten oder keinen echten Daten
• Qualität eine reduzierte Datenkopie aus der Produktion
• Pre-Production eine vollständige Kopie der Produktionsdatenbank.

Die neuen Datenschutzgesetze schreiben vor, dass Sie eine fundierte und ausdrückliche Zustimmung für die Verwendung der Daten der betroffenen Personen haben müssen. Unserer Erfahrung nach verfügen die meisten Unternehmen nicht über diese Zustimmung zur Verwendung von Daten zu Testzwecken. Und selbst wenn Sie eine Einwilligung hätten, besteht eine zusätzliche Herausforderung darin, zu verstehen, was zu tun ist, wenn eine betroffene Person ihre Einwilligung verweigert.

Wir empfehlen die Anonymisierung der Daten mit Data Secure, das eine direkte Anonymisierung der Daten an der Quelle ermöglicht, oder die Daten beim Verlassen des Systems zu verschlüsseln, wenn sie mit Client Sync, einem Teil der Data Sync Manager Suite, verbunden sind.

Verbessern und verstehen Sie Ihre Datenschutz- und Sicherheitsrisiken

Um ein Problem zu lösen, müssen Sie zunächst das Problem verstehen. Sowohl für den Datenschutz als auch für die Sicherheit müssen Sie die Risiken verstehen, die Sie in Ihren Geschäftsprozessen und in Ihrem IT-Bestand haben.

Betrachten Sie Ihre Geschäftsprozesse und Sicherheitsrisiken. Machen zum Beispiel Ihre Mitarbeiter an der Rezeption oder in der Personalabteilung während eines Gesprächs Notizen? Wenn ja, wie sieht der Sicherheitsprozess für diese Notizen aus? Halten Sie sich in Ihrem Unternehmen an bewährte Verfahren für die Datensicherheit? 

In Bezug auf Ihren IT-Bereich gibt es drei wesentliche Überlegungen:

• Externe Bedrohung: Netzwerk- und Infrastruktursicherheit wie Firewalls oder VPN-Schutz.
• Interne Bedrohung: Das Risiko des Zugriffs auf Daten im Netzwerk/SAP-System.
• Risiko der Einhaltung von Vorschriften: Wo befinden sich Ihre personenbezogenen Daten und wie werden sie verwaltet?

Unser umfassender Service zur Bewertung des SAP-Datenschutzes schafft Transparenz über die internen und rechtlichen Risiken für Ihr Unternehmen.

Unternehmensorientiertes GRC für SAP vorantreiben

Lösungen für Governance, Risiko und Compliance (GRC) berücksichtigen viele Aspekte des Zugangsrisikos. Wir sind Partner von Soterion und bieten eine schnelle, effiziente Analyse Ihrer GRC-Risiken mit standardmäßig bereitgestellten Regelsätzen, die folgendes abdecken:

• Trennung der Zuständigkeiten (SoD)
  Datenschutz: Benutzer, die auf sensible Daten zugreifen
• Gerichtsbarkeitsübergreifender Datenzugriff
• Kritisches Transaktionsrisiko

Diese Lösungen können zwischen SAP- und Cloud-Anwendungen (z. B. SAP SuccessFactors) integriert werden, um eine ganzheitliche Sicht auf Ihr Zugriffsrisiko zu ermöglichen.

Soterion bietet auch eine Bewertung Ihrer Systemlizenzen, Zugriffsprozesse für Feuerwehrleute und mehr.