Information Rights Management – Zentralisierter Schutz der Information

Information Rights Management (IRM) ist die Verknüpfung von Informationen und ihrem Schutzbedarf mit dem Ziel, eine Vielzahl von detaillierten Steuer- und Schutzmechanismen zu etablieren.
Mit IRM werden alle Informationen, für die ein Schutzbedarf bezüglich ihrer Vertraulichkeit besteht, den Richtlinien einer starken Kryptierung entsprechend verschlüsselt.
Bei der Dokumentenerstellung wird aus dem Schutzbedarf der Information abgeleitet und verknüpft, wer später mit dem Dokument welche Aktionen durchführen darf, beispielsweise öffnen, bearbeiten, weiterleiten, kopieren, löschen, Screenshots anfertigen oder drucken darf. Zusätzlich lässt sich festlegen, wo (z. B. auf welchen Geräten, in welchen Netzsegmenten, in welchen Gebäuden oder Liegenschaften) diese Aktionen jeweils erlaubt sind. Mit Hilfe des IRM lässt darüber hinaus ein wirkungsvoller Mechanismus zur Data Leakage Prevention (DLP) implementieren.
Mit der Einführung eines IRM in einer Organisation kann somit ein weiterreichender Schutz von Informationen, über die Grenzen der Organisation hinaus erreicht werden. Der Einsatz von Kryptografie und die granulare Berechtigungsvergabe erlauben es, Informationen sowohl an einen expliziten Kreis zu adressieren, diese im Internet als Kampagne zu streuen und trotzdem jederzeit Kontrolle über die Inhalte und deren Verbreitung zu haben.

Die wesentlichen Fragestellungen mit Start unseres GreenLabs

Marktanalyse:Welche IRM-Systeme oder Implementierungen gibt es heute?

• Welche Hersteller bieten lieferfähige Lösungen im Kontext IRM an?
• Wie sind die verfügbaren Lösungen technisch aufgebaut und in Systemen implementiert?
• Welcher Funktionsumfang wird mit diesen Lösungen abgedeckt?
• Welche Rahmenbedingungen sind für den Einsatz zu beachten?
• Gibt es bereits Referenzen und welche Ziele wollten die Referenzkunden mit IRM erreichen?

 Kontext: Ist ein IRM realistisch zeitnah einsetzbar und zu welchem Zweck?

• Lassen sich betriebssystembezogene, anwendungsübergreifende Implementierungen absehen?
• Bestünde die Möglichkeit, leistungsfähige Middleware einzusetzen, die anwendungsübergreifend IRM-Funktionalität bereitstellt?

Welche Schritte sind heute einzuleiten, um morgen ein IRM zu nutzen?

• Welche Voraussetzungen sind für ein IRM notwendig?
• Mit welchem Hersteller können erfolgversprechende Liaisons gebildet werden?
• Was sind sinnvolle Pilotierungsansätze?

Basierend auf den Fragestellungen haben wir einen strukturierten Ablauf unseres GreenLabs abgeleitet.  

Die untersuchten IRM-Systeme verfolgen unterschiedliche Ansätze und haben derzeit verschiedene Reifegrade. Alle Lösungen sind auf den Schutz von Informationen in Form von Dateien ausgelegt. Informationen in Datenbanksystemen können nur als Binary Large Objects (BLOB) durch IRM-Methodiken geschützt werden, alle anderen Datenbankfelder profitieren nicht vom Schutz der untersuchten IRM-Systeme.

Der secunet Secure Workflow ist containerbasiert und daher Dateityp-unabhängig. Dieser Ansatz genügt hohen Anforderungen an die Verschlüsselung und den Informationszugriff. Secure Workflow ist für die Arbeit mit einer geringen Anzahl von Dateien optimiert, bspw. hoch sicherheitskritisch eingestuften Informationen.
Microsoft Azure Rights Management und Adobe EAM Document Security sind auch für große Dateiablagen geeignet.
IRM erhöht die Sicherheit auf Fileebene bei konsolidierten und virtualisierten IT-Systemen. Informationen in Datenbanksystemen kann ein IRM nicht ausreichend schützen.

Die Konsolidierung von IT-Systemen hat ökonomische Vorteile, da die IT-Kosten (durch z. B. Reduzierung von Rechenzentren) einer Organisation gesenkt werden können, ohne den Schutz von Informationen zu vernachlässigen.

Von Adobe und Microsoft IRM-Lösungen werden die gängigen Office Dateiformate unterstützt. Beide Hersteller bieten Software Development Kits (SDK) an, somit wird die Anzahl der unterstützen Dateitypen in Zukunft erhöht werden bzw. Software-Entwickler in Organisationen können die IRM-Features selbst implementieren.
Die Cloudifizierung wird in den nächsten Jahren auch in Bereichen mit sensiblen Informationen fortschreiten. Der Einsatz eines IRM-Systems kann damit auch auf Anwendungsfälle mit schützenswerten Informationen, wie z. B. in der Medizin und die dort verwendeten Dateiformate erweitert werden. Mit einem IRM können Patienten die Kontrolle über z. B. über ihre Krankenakte behalten und den Zugriff durch Ärzte und anderes medizinisches Personal steuern.