Datenschutz mit Process Mining verbessern: Ein strategischer Ansatz

Schnell nachgedacht: Wie oft teilen Sie Informationen über sich selbst jede Woche, oder sogar jeden Tag? Wenn man bedenkt, wie oft man seine E-Mail-Adresse auf verschiedenen Websites eingibt oder anderswo persönliche Daten angibt, wird schnell klar, dass es noch mehr ist, als man denkt.

Heute ist Ihre Online-, digitale Sicherheit genauso wichtig wie das Abschließen Ihrer Türen nachts, was bedeutet, dass alle Unternehmen alles tun müssen, um ihre Cybersicherheitsbemühungen zu verbessern.

Neue Vorschriften, neuer Fokus auf Cybersicherheit

Viele Regierungen und Branchen schaffen jetzt neue Gesetze und Vorschriften zum Schutz von Bürger- und Verbraucherdaten. Beispielsweise führte die Europäische Union kürzlich die Datenschutz-Grundverordnung (DSGVO) ein, um bessere Datenschutzkontrollen für EU-Bürger zu schaffen. Angesichts potenziell enormer Bußgelder mussten Unternehmen aller Größen – und weltweit – neue Strategien entwickeln, um den Datenschutzanforderungen der DSGVO nachzukommen.

Dieser Fokus auf Cybersicherheit hat zu einem aktuellen Szenario geführt, in dem prácticamente jede neue Software-Implementierung nun eine gründliche Evaluierung aus Sicherheits-Perspektive erfordert. Klar ist: Es ist oberste Priorität, Datenverletzungen und den Verlust vertraulicher Kunden-, Mitarbeiter- und Unternehmensdaten zu verhindern. Obwohl es so viele spezialisierte Cybersicherheitslösungen und Nischenanwendungen gibt, ist es wichtig sicherzustellen, dass Unternehmenssysteme und Business Process Management (BPM) Lösungen, wie Process Mining, sicher sind.

Dieser Blogartikel wird das Konzept von Process Mining vorstellen und genauer untersuchen, welche Sicherheitsaspekte bei der Initiierung von Process-Mining-Initiativen zu beachten sind.

Was ist Process Mining?

Process Mining ist eine innovative Technologie, die es Nutzern ermöglicht, einen zuverlässigen visuellen Prozess basierend auf den digitalen Aktivitäten eines Unternehmens zu erstellen. Wenn beispielsweise Mitarbeiter und Software-Roboter mit Unternehmens-IT-Systemen interagieren, werden ihre Aktivitäten von diesen Systemen erfasst. Process Mining transformiert diese Daten in ein Event-Log und erstellt dann neue Visualisierungen des End-to-End-Prozesses.

Indem man einen gegebenen Prozess durch ein Process-Mining-Tool untersucht, können Nutzer eine völlig neue Perspektive und wertvolle neue Erkenntnisse gewinnen. Das Ergebnis? Nutzer haben die Einblicke, die nötig sind, um bestehende Prozesse zu verbessern und bessere Entscheidungen zu treffen. Spezifischer können Unternehmen jetzt Process Mining nutzen, um interne Effizienzen zu steigern und Komplexität zu reduzieren. Beides sind kritische erste Schritte, um die Organisation in die Lage zu versetzen, ihren Ansatz zur Cybersicherheit zu verbessern.

Es ist auch erwähnenswert, dass da Process Mining von Dritten bereitgestellt werden kann, die im Prozess generell Zugriff auf Unternehmensinformationen erhalten, es wichtig ist, Process-Mining-Anbieter mit sicheren Produkten und Prozessen zu wählen.

Teams sollten auch darauf achten, sensible Informationen bei jedem Schritt zu schützen – sogar in Bereichen, die nicht offensichtlich scheinen. Beispielsweise können Process-Mining-Tools alle Details über die Arbeit eines Mitarbeiters zeigen, sodass, wenn ein Mitarbeiter nicht auf hohem Niveau performt, diese Daten verschlüsselt sein sollten. So sieht nur der Manager des Mitarbeiters diese Informationen und kann mit dem Mitarbeiter daran arbeiten, diese Ergebnisse zu verbessern.

Privacy by Design

Bevor man versucht, Process Mining zur Verbesserung der Cybersicherheit (oder eines anderen Prozesses) zu nutzen, müssen Nutzer zunächst durchdenken, was für Transparenz nötig ist und wie Workflows und andere Ergebnisse am besten optimiert werden können. Genauer müssen sie berücksichtigen:

• Die Daten, die sie benötigen werden

• Wie man diese Daten extrahiert

• Wie man sicherstellt, dass diese Daten durch jeden Schritt des Prozesses geschützt sind und Compliance-Anforderungen erfüllen

Da Process-Mining-Tools mit Unternehmensinformationen arbeiten, kann es herausfordernd sein, die Privatsphäre aller Stakeholder unter Kontrolle zu halten. Die Herausforderung ist besonders groß, wenn man bedenkt, dass Unternehmensdaten persönlich identifizierbare Informationen (PII) von Mitarbeitern und Verbrauchern enthalten, einschließlich Namen, Adressen, Abteilungen, Benutzer-IDs und vielem mehr.

Das Privacy-by-Design-Prinzip fokussiert darauf, die Balance zwischen transparenter Datenbereitstellung und dem Schutz der Privatsphäre der Stakeholder zu finden. Dieser Engineering-Ansatz ermutigt Technologieanbieter, Privatsphäre vor allem anderen zu betonen. Daher sollte jeder Privacy-by-Design-Ansatz Privatsphäre proaktiv und präventiv behandeln, bevor irgendwelche anderen Überlegungen zu anderen Workflows, Prozessen oder Fähigkeiten angestellt werden.

Datenschutz-Entscheidungen bei Process Mining

Um sicherzustellen, dass kein neuer Prozess mit persönlichen Datenrichtlinien kollidiert und Anforderungen erfüllt, gibt es einige Punkte zu beachten:

• Zugriff auf Rohdaten: Als erster Schritt sollte der gesamte Datenextraktionsprozess sorgfältig bedacht werden, ob er aus dem IT-System des Unternehmens oder dem Data Warehouse stammt. Das Process-Mining-Implementierungsteam benötigt Zugriff auf diese Unternehmensdaten, um sich auf die Extraktion des für die Analyse Wichtigsten zu konzentrieren. Daher ist es wichtig, dass das Unternehmen wählt, welche Daten es für weitere Analysen freigibt – ein Schritt, der auch die gesamte Implementierung beschleunigt und vereinfacht.

• Die richtige Strategie wählen: Filtern, pseudonymisieren oder anonymisieren. Danach muss das Process-Mining-Team an der Übersetzung der Rohdaten arbeiten. Sie können diese Informationen in verständliche Begriffe umwandeln und ein für Process Mining geeignetes Format entwickeln. Letztlich werden die Daten dann in Dashboards transformiert, die das Team nutzt, um zu entscheiden, worauf man sich fokussieren soll.

An diesem Punkt gibt es drei Optionen zum Umgang mit persönlichen Informationen: Filtern, Anonymisieren oder Pseudonymisieren.

• Filtern: Manchmal muss das Unternehmen Informationen verfolgen, die für eine spezifische Prozessanalyse nicht benötigt werden. In diesem Fall würde das Team einfach empfehlen, sie zu entfernen. Wenn die Daten sensibel sind und das Analyseergebnis nicht beeinflussen, können Nutzer sie löschen, besonders da der Fokus auf validen und relevanten Daten liegen sollte.

• Pseudonymisierung: Dies ist der häufigste Weg, sensible Daten zu behandeln. Einfach ausgedrückt ist es eine Methode, die Informationen zu verschlüsseln, sodass Nutzer sie nicht mit realen Daten – spezifischen Namen, Adressen oder anderen PII-Daten – korrelieren können.

In diesem Fall kann das Team wählen, beliebige PII-Daten wo immer möglich durch Pseudonym-Informationen zu ersetzen. Wenn das Unternehmen beispielsweise nicht möchte, dass Analysten die Namen von Mitarbeitern sehen, die prozessbezogene Aufgaben ausführen. In diesem Fall kann das Team diese Namen durch Nummern ersetzen. Nur ausgewählte Nutzer könnten auf die „Übersetzungstabelle“ zugreifen, um die tatsächlichen Namen zu identifizieren.

• Anonymisierung: Dies ist nahezu identisch mit dem Pseudonymisierungsverfahren, bei dem das Team PII-Daten durch einzigartige Pseudonyme ersetzt. Aber diesmal gibt es keine Übersetzungstabelle. Somit sind die Originaldaten sicher, da Re-Identifizierung unmöglich ist. Aber diesmal gibt es keine Übersetzungstabelle. Auf diese Weise können unbefugte Nutzer die vertraulichen Informationen von Individuen nicht mithilfe der verfügbaren Daten identifizieren.

Eine Überlegung: Anonymisierte Daten können die Prozessanalyse komplizieren, besonders wenn das Unternehmen die Daten so stark absichert, dass die Enderkenntnisse nicht mehr nützlich sind.

Zugriff auf finalisierte Daten

Wenn die Daten bereit und als „final“ betrachtet werden, ist es wichtig zu bedenken, wie die Daten im neuen Kontext zugegriffen werden. Das Process-Mining-Team sollte Business-User definieren, die Zugriff auf Dashboards, Prozessgraphen, Berichte und andere Informationen haben.

Die richtigen Process-Mining-Tools, wie UiPath Process Mining, liefern wertvolle Self-Service-Tools, die IT-Teams Zugriff geben, während Eigentum und Kontrolle bei Business-Usern bleiben. Beide Gruppen können unabhängig auf ein gemeinsames Ziel hinarbeiten: neue Einblicke in bestehende Prozesse zu gewinnen.

Interessiert an mehr über Process Mining? Sehen Sie unser Video zu UiPath Process Mining oder laden Sie unser Whitepaper herunter: Accelerating RPA with End-to-End Process Understanding and Monitoring.