Dr. Martin Meints, ULD 29. August 2005

Transkript

1 Infobörse 2 Dr. Martin Meints Unabhängiges Landeszentrum für Datenschutz Schleswig-Holstein Sommerakademie, 29. August 2005 Agenda Datensicherheit / Datenschutz wo liegen die Unterschiede? Welche Bedeutung hat IT-Grundschutz für die öffentliche Verwaltung? IT-Sicherheitsprozess Vorgehensmodell des IT-Grundschutzhandbuches Wie kann ich IT-sicherheitsbezogene Anforderungen des Datenschutzes integrieren? Wie kann man den organisatorischen Aufwand begrenzen? Weiterführende Informationen und Hilfsmittel Sommerakademie "Datenschutzgerechtes E-Goverment",

2 Unterschied Datenschutz / Datensicherheit Datenschutz legt fest, Unter welchen Voraussetzungen Welche Daten Ggfs. wie verarbeitet werden dürfen Dies beinhaltet Maßnahmen zur Datensicherheit Datensicherheit trifft Maßnahmen, folgendes bei verarbeiteten oder zu verarbeitenden Daten sicherzustellen: Vertraulichkeit Verfügbarkeit Integrität Datensicherheit kann bei der Anforderungsanalyse auch den Datenschutz berücksichtigen. Warum IT-Sicherheit? Gesetzliche Anforderungen z.b. aus den Datenschutzgesetzen Oft legt das Arbeitsumfeld fest, welches IT- Sicherheitskriteriensystem zu verwenden ist z.b.: Zahlstellen der EU: IT-Grundschutz, ISO oder CoBit Z.B.: Verordnung (EG) Nr. 465 / 2005 Dienststellen, die das Testa-Netz nutzen wollen: IT-Grundschutz Länder- und Bundespolizei: IT-Grundschutz Das geltende Datenschutzrecht trifft hier keine Festlegungen, IT-Grundschutz ist eindeutig geeignet, die aus dem Datenschutz abzuleitenden IT-Sicherheitsanforderungen abzubilden Sommerakademie "Datenschutzgerechtes E-Goverment",

3 Übersicht über IT-Sicherheitskriteriensysteme Aus: Sicherheitskriterien im Vergleich, Studie der Arbeitsgruppe 5 der Was Initi@tive bietet D21 der IT-Grundschutz für die Verwaltung? Anwendungsobjekt des IT-GSHB IT-Verbund Ursprünglich: Alle Technik, die für die Abbildung eines Verfahrens eingesetzt wird bis zu gesicherten Netzübergängen Ergänzungen: IT-Verbünde dürfen nie entlang nur einer Schicht (also z.b. nur Netze) entwickelt werden Teilsichten (z.b. nur ausgewählte Verfahren, nicht gesamte IT) zulässig Outsourcing definiert über den Baustein 3.10 möglich Sommerakademie "Datenschutzgerechtes E-Goverment",

4 Der IT-Sicherheitsprozess Störeinflüsse - neue Technik - unerwartete Fehler - Update GSHB - etc. Das Vorgehensmodell Netzplan, Anwendungsübersicht etc. Gliederung des IT-Verbundes in: 1. Anwendungen 2. IT-Systeme 3. Kommunikationsverb. 4. IT-Räume Sommerakademie "Datenschutzgerechtes E-Goverment",

5 Beispiel: BOV Wichtiger Aspekt: Wer hat wo die Kontrolle über: 1.Die Technik 2.Das nutzende Personal? Das Vorgehensmodell (2) Bisher: Risikoanalyse 1. Gefährdungsanalyse 2. Eintrittswahrscheinlichkeit 3. Auswahl von Maßnahmen 4. Abschätzung des Restrisikos Neu: Definition des Schutzbedarfes für Daten und Systeme in 3 Kategorien: 1. niedrig bis mittel 2. hoch 3. sehr hoch Sommerakademie "Datenschutzgerechtes E-Goverment",

6 Vorgehen bei der Schutzbedarfsfeststellung Basis: Regelwerk über Schutzbedarfskategorien und deren Bedeutung (GSHB S. 41 ff.) Schritt 1: Zuordnungen Zuordnung folgender Schadensszenarien: Verlust der Vertraulichkeit Verlust der Integrität Verlust der Verfügbarkeit Vorgehen bei der Schutzbedarfsfeststellung (2) Zuordnung von möglichen Schadensfällen: Verstoß gegen Gesetze, Vorschriften und Verträge Beeinträchtigung des informationellen Selbstbestimmungsrechtes Beeinträchtigung der persönlichen Unversehrtheit Beeinträchtigung der Aufgabenerfüllung negative Außenwirkung Finanziellen Auswirkungen Sommerakademie "Datenschutzgerechtes E-Goverment",

7 Vorgehen bei der Schutzbedarfsfeststellung (3) Schritt 2: Anwendung der Schadensfälle und -Szenarien auf den IT-Verbund Was wäre, wenn...? Festlegung und Detaillierung der Schutzbedarfe auf Basis der Sicherheitspolitik und auf Basis der Regeln des IT-GSHBs Betrachtung von Wechsel- und Zusammenwirken Maximum-Prinzip (höchster Teilschutzbedarf bestimmt den Gesamtschutzbedarf) Kumulationseffekte (Verstärkungseffekte bei Schäden und damit Schutzbedarfen) Verteilungseffekte (Systemredundanzen verringern Gesamtschutzbedarfe) Vorgehen bei der Schutzbedarfsfeststellung (4) Schritt 3: Dokumentation in vier Kategorien: Anwendungen (s. nächstes Beispiel) Systeme Kommunikationsverbindungen IT-Räume Sommerakademie "Datenschutzgerechtes E-Goverment",

8 Beispiel 1: Anwendung Kundendatenbank Eine Landesdienststelle führt eine Datenbank mit Namen, Anschriften und privaten Telefonnummern von Antragstellern Schritt 1: Zuordnungen Verlust von Vertraulichkeit führt zu: Verstoß gegen Gesetze (Datenschutz) Beeinträchtigung des informationellen Selbstbestimmungsrechtes Negative Außenwirkung Finanzielle Auswirkungen Verlust der Verfügbarkeit führt zu: Beeinträchtigung der Aufgabenerfüllung Verlust der Integrität führt zu: Beeinträchtigung der Aufgabenerfüllung Beispiel 1: Anwendung Kundendatenbank (2) Schritt 2: Ermittlung der Schutzbedarfe Verlust von Vertraulichkeit führt zu: Verstoß gegen Gesetze (Datenschutz) Beeinträchtigung des informationellen Selbstbestimmungsrechtes Negative Außenwirkung Finanzielle Auswirkungen Verlust der Verfügbarkeit führt zu: Beeinträchtigung der Aufgabenerfüllung Verlust der Integrität führt zu: Beeinträchtigung der Aufgabenerfüllung Schritt 3: Dokumentation s.o. Hoch Hoch Niedrig / Mittel Niedrig / Mittel Niedrig / Mittel Niedrig / Mittel Sommerakademie "Datenschutzgerechtes E-Goverment",

9 Beispiel 3: Dokumentation beim BOV Das Vorgehensmodell (3) Ziel: Festlegung der benötigten Elemente für den Soll-Ist- Vergleich Vermeidung von Dubletten Bündelung von Zuständigkeiten Leichtere Aktualisierung möglich Auswahl benötigter Bausteine Sommerakademie "Datenschutzgerechtes E-Goverment",

10 Aufbau des Handbuchs Für jede Schicht sind die angebotenen Bausteine in jeweils einem Kapitel angeordnet: Schicht 1: Kap. 3: Übergeordnete Komponenten Kap. 3.0 IT-Sicherheitsmanagement... Kap Outsourcing Kap. 9.1 Standardsoftware Kap. 9.5 Archivierung Schicht 5: Sicherheit in Anwendungen Kap. 7.1 Datenträgertausch... Kap. 9.4 Novell edirectory Grundregeln zur Modellierung neuer IT-Komponenten (Kap ) Inhalt der Kapitel Kapitel enthalten Beschreibung des Teilmodells Beispiel Kap. 3.0: Was ist IT-Sicherheitsmanagement, welche Bedeutung hat es? Gefährdungslagen Wogegen helfen die vorgeschlagenen Maßnahmen in diesem Kapitel? Beispiel Kap. 3.0: Unzureichendes IT-Sicherheitsmanagement Empfohlene Maßnahmen Beispiel Kap. 3.0: Aufbau einer geeigneten Struktur für das IT-Sicherheitsmanagement Sommerakademie "Datenschutzgerechtes E-Goverment",

11 Kap. 3.5 Datenschutz Vorschlag für den Baustein vom Bundesbeauftragten für den Datenschutz Dieser Baustein bildet das BDSG mit seinen Anforderungen ab Landesgesetze oder Verordnungen mit den daraus folgenden Maßnahmen sind nicht berücksichtigt und müssen zusätzlich umgesetzt werden DSVO SH: Detailregelungen zur Protokollierung Das Vorgehensmodell (4) 1. Organisatorische Vorarbeiten 2. Soll-Ist-Vergleich 3. Dokumentation (z. B. Tabelle oder GSTOOL) Sommerakademie "Datenschutzgerechtes E-Goverment",

12 Das Vorgehensmodell (5) Maßnahmen wie -Risikoanalyse (nur für sehr hohe Schutzbedarfe zwingend) - Penetrationstests (Black- oder Whitebox) - Differenz-Sicherheitsanalyse Das Vorgehensmodell (6) Klassisches Projektmanagement: 1. Sichtung der Ergebnisse 2. Konsolidierung (z.b. durch Ergänzung, Konkretisierung) 3. Kosten- und Aufwandsschätzung 4. Festlegung der Umsetzungsreihenfolge 5. Festlegung der Verantwortlichkeit Sommerakademie "Datenschutzgerechtes E-Goverment",

13 Wie kann man den organisatorischen Aufwand begrenzen? Nutzung der Möglichkeiten, die das IT-GSHB selber bietet: Vereinheitlichung von IT-Infrastruktur und Verfahren (Gruppenbildung) Zusammenführung der Umsetzung ähnlicher Maßnahmen z.b. in Schicht 4 Netze: bestimmte Maßnahmen aus dem Baustein 6.8 Heterogenes Netz sind teilweise ähnlich wie andere Maßnahmen aus dem Baustein 7.11 Switches und Router Bezogen auf den Baustein 3.5 Datenschutz: Wie kann man den organisatorischen Aufwand begrenzen? (2) Aus Kap. 3.5 IT-GSHB: M 7.6: Verpflichtung / Unterrichtung der Mitarbeiter M 7.8: Führen von Dateien- und Geräteverzeichnissen (heute: Verfahrensverzeichnis) und Erfüllung der Meldepflicht M 7.9: Ergreifung von technisch-organisatorischen Maßnahmen entsprechend dem Stand der Technik M7.11: Datenschutzaspekte bei der Protokollierung M 7.13 Datenschutzrechtliche Freigabe M 7.15: Regelung der Auftragsdatenverarbeitung M 7.17: Einrichtung einer internen IT-Revision und Datenschutzkontrolle Sommerakademie "Datenschutzgerechtes E-Goverment",

14 Wie kann man den organisatorischen Aufwand begrenzen? (3) Aus Kap. 3.0, 3.1 und 3.2 IT-GSHB: M 2.197: Erstellung eines Schulungskonzeptes für die Mitarbeiter M3.2: Verpflichtung der Mitarbeiter auf die einschlägigen Gesetze, Regelungen und Vorschriften M 2.194: Erstellung einer Übersicht über vorhandene IT-Systeme M 2.195: Erstellung eines IT-Sicherheitskonzeptes M 2.198: Sensibilisierung der Mitarbeiter für IT-Sicherheit M 2.199: Aufrechterhaltung der IT-Sicherheit; diese Maßnahme beinhaltet u.a. regelmäßige anlassbezogene interne Überprüfungen, Aktualisierung und IT-Sicherheitsrevision Baustein 3.10 Outsourcing Aus Baustein 3.9 Hard- und Softwaremanagement des IT-GSHB: M 2.216: Genehmigungsverfahren für IT-Komponenten M 2.110: Datenschutzaspekte bei der Protokollierung, (Inhaltsgleich mit M 7.11) Wie kann man den organisatorischen Aufwand begrenzen? (4) Verbindung der Umsetzung mit anderen, sich inhaltlich überschneidenden Anforderungen oder vorhandenen Strukturen Integration von IT-Sicherheitsmaßnahmen, die z.b. die DSVO SH fordert Nutzung von Strukturen aus anderen prozessorientierten Best- Practice-Handbüchern wie z.b.: IT-Infrastructure Library (ITIL) Nutzung von Strukturen aus anderen prozessorientierten Normen z.b.: Qualitätsmanagement nach ISO 9000ff. Sommerakademie "Datenschutzgerechtes E-Goverment",

15 Weiterführende Informationen / Hilfsmittel IT-Grundschutzhandbuch des BSI IT-GSHB als PDF-Datei: ca. 37 MB Formulare als WinWord-Dateien Ca. 6 MB Hilfsmittel wie Muster, Beispiele etc. Vorschlag für Kapitel 3.5 Datenschutz vom BfD Informationen zur Auditierung Vielen Dank für Ihre Aufmerksamkeit! Dr. Martin Meints ULD SH Sommerakademie "Datenschutzgerechtes E-Goverment",