D , neue Perspektiven für die elektronische Kommunikation

Transkript

1 D , neue Perspektiven für die elektronische Kommunikation Referentin it-sa

2 Gesetzliche Rahmenbedingungen D -Gesetz zur Einführung einer sicheren und nachweisbaren elektronischen Kommunikation - Beschluss des Bundestages im Februar Zustimmung des Bundesrates im März Unterzeichnung des Bundespräsidenten, Gesetz tritt in Kraft am 3. Mai

3 Konzept D Ziele D s sind sichere s: einfache + Sicherheit + Datenschutz Ziele sind u.a. Sicherheit der Kommunikation Vertraulichkeit der Kommunikation Nachweisbarkeit der Kommunikation Identität der Kommunikationspartner ist sichergestellt dennoch einfache Bedienbarkeit 3

4 Konzept D Ziele werden sichergestellt durch D s dürfen nur von staatlich akkreditierten Diensteanbietern übertragen werden Die Aufgabe der Akkreditierung übernimmt das BSI Folgende Anforderungen muss ein potentieller D Diensteanbieter hierbei erfüllen: 4

5 Anforderungen an potentielle Diensteanbieter 17 D -Gesetz Diensteanbieter, die E- D -Dienste anbieten wollen, müssen sich aufmail schriftlichen Antrag von der zuständigen Behörde ( 2: BSI) akkreditieren lassen. Nachweise sind vorzulegen zu den Themen: technische und organisatorische Anforderungen IT-Sicherheit datenschutzrechtliche Anforderungen Zuverlässigkeit & Fachkunde des Personals Deckungsvorsorge 5

6 Anforderungen an potentielle Diensteanbieter technische und organisatorische Anforderungen IT-Sicherheit BSI zertifiziert IT-Sicherheitsdienstleister, die Testate ausstellen BSI zertifiziert Auditoren und anerkennt Prüfstellen, die die erforderlichen Prüfungen durchführen und Prüf-/Auditberichte erstellen 6

7 Anforderungen an potentielle Diensteanbieter 7

8 Anforderungen an potentielle Diensteanbieter Beispiele im Detail: Physikalische Sicherheit Nachweis von sicherem RZ-Betrieb (physikalisch geschützte Räumlichkeiten) Aktive Verhinderung von Feuer-, Hitze- bzw. Wasserschäden Zugang zu den jeweiligen Systemen / Räumlichkeiten nur durch autorisierte Personen Sicherheitsmanagement Notfallkonzept Verfügbarkeitskonzept 8

9 Anforderungen an potentielle Diensteanbieter datenschutzrechtliche Anforderungen Potentieller Diensteanbieter beauftragt: 9

10 Anforderungen an potentielle Diensteanbieter 18 Absatz 3, 1., D Gesetz Die erforderliche Zuverlässigkeit und Fachkunde wird durch Nachweise über die persönlichen Eigenschaften, das Verhalten und die entsprechenden Fähigkeiten der im Betrieb tätigen Personen nachgewiesen... Zuverlässigkeit Fachkunde Deckungsvorsorge Rollenkonzept der sicherheitskritischen Aufgaben im D -Betrieb: -IT-SiBe/ Sicherheitsbevollmächtigter -Admin -Datenschutzbeauftragter -Service-/ Support-Mitarbeiter -Ident-Mitarbeiter Absatz 3, 2., D -Gesetz Eine ausreichende Deckungsvorsorge wird durch den Abschluss einer Versicherung oder die Freistellungs- oder Gewährleistungsverpflichtung eines Kreditunternehmens mit einer Mindestdeckungssumme von jeweils Euro für einer verursachten Schaden nachgewiesen... 10

11 Anforderungen an potentielle Diensteanbieter Beispiele im Detail: Personelle Sicherheit Einsatz von vertrauenswürdigem und fachkundigem Personal (Nachweis über Schulungen, etc.) Rollentrennung (z.b. Zugriff auf Key-Management-Funktionen, aber nicht auf Daten und umgekehrt) Vier-Augen-Prinzip bei Ersterfassung / Änderungen von Identitätsdaten / Konfigurationen 11

12 Anforderungen an potentielle Diensteanbieter Ein antragstellender Diensteanbieter legt dem BSI folgende Unterlagen vor: Testate zur Funktionalität, Interoperabilität und ITSicherheit Zertifikat zum Datenschutz Nachweis Deckungsvorsorge Nachweis Zuverlässigkeit & Fachkunde Das BSI prüft Unterlagen auf Vollständigkeit & Plausibilität erteilt Akkreditierung 12

13 Vorteile und Sicherheitsgewinn für den Nutzer D ein geschlossenes System: Nachgewiesene Sicherheit & Vertrauenswürdigkeit durch definierte Anforderungen Unabhängige & sorgfältige VorabPrüfungen der angebotenen Dienste 13

14 Vorteile und Sicherheitsgewinn für den Nutzer Identität der Kommunikationspartner ist sichergestellt 14

15 Vorteile und Sicherheitsgewinn für den Nutzer Sicherheit und Vertraulichkeit durch Verschlüsselung und Prüfung Ende-zu-Ende-Verschlüsselung Kann durch den Nutzer jederzeit durchgeführt werden Wird durch den zentralen Verzeichnisdienst unterstützt und gefördert 15

16 Vorteile und Sicherheitsgewinn für den Nutzer Nachweisbarkeit der Kommunikation Mögliche Versandoptionen Absenderbestätigt Persönlich 16

17 Vorteile und Sicherheitsgewinn für den Nutzer Einfache Benutzung bzw. Anbindung an bestehende firmen-/behördeninterne -Infrastrukturen Nutzung von Privatpersonen und kleineren Unternehmen über Web-Oberfläche Einfache Bedienung Anbindung von größeren Unternehmen oder Behörden im Regelfall über bestehende -Systeme Anbindung erfolgt über eine zentrale Komponente ( Gateway ) Bei Anbindung des internen -Systems nutzen Mitarbeiter weiter ihre existierenden -Clients. 17

18 Aktueller Stand Staat und Wirtschaft haben gemeinsam den Rahmen definiert. Die Wirtschaft setzt D nun um: 18

19 Kontakt Bundesamt für Sicherheit in der Informationstechnik (BSI) Godesberger Allee Bonn Tel: +49 (0)