nach Technischen Richtlinien des Bundesamtes für Sicherheit in der Informationstechnik

Transkript

1 Zertifikat nach Technischen Richtlinien des Bundesamtes für Sicherheit in der Informationstechnik BSI-K-TR Scan-Prozess Ersetzendes Scannen für DATEV Unternehmen online nach TR-RESISCAN bei der DATEV eg der Konformität zu: DATEV eg gültig bis: 19. März 2018 BSI TR Technische Richtlinie Ersetzendes Scannen (TR-RESISCAN) Die Konformität des Prüfgegenstands 'Ersetzendes Scannen für DATEV Unternehmen online nach TR-RESISCAN bei der DATEV eg' zur Technischen Richtlinie BSI TR wurde von dem vom BSI zertifizierten Auditor für ISO Audits auf der Basis von IT-Grundschutz, Herrn Martin Steger, intersoft certification services GmbH, überprüft und vom Bundesamt für Sicherheit in der Informationstechnik (BSI) bestätigt. Als Prüfgrundlage für die Konformitätsprüfung dienten: BSI TR Technische Richtlinie Ersetzendes Scannen Version 1.0 vom 20. März 2013 BSI TR Technische Richtlinie Ersetzendes Scannen Anlage P: Prüfspezifikation, Version 1.1 vom 04. Dezember 2014 Der Prüfgegenstand erfüllt die Anforderungen der Technischen Richtlinie BSI TR Dieses Zertifikat gilt nur in Verbindung mit dem vollständigen Konformitätsreport BSI-K-TR Die Gültigkeit ist ausschließlich auf die geprüfte und im Konformitätsreport angegebene Version bzw. Konfiguration des Prüfgegenstands beschränkt. Das Zertifizierungsverfahren wurde in Übereinstimmung mit den Bestimmungen des BSI-Schemas zur Zertifizierung nach Technischen Richtlinien durchgeführt. Dieses Zertifikat ist keine Empfehlung des genannten Prüfgegenstands durch das Bundesamt für Sicherheit in der Informationstechnik. Eine Gewährleistung für den genannten Prüfgegenstand durch das Bundesamt für Sicherheit in der Informationstechnik ist weder enthalten noch zum Ausdruck gebracht. Bonn, den 19. März 2015 Bundesamt für Sicherheit in der Informationstechnik Im Auftrag Bernd Kowalski Abteilungspräsident Bundesamt für Sicherheit in der Informationstechnik Godesberger Allee , D Bonn s Postfach , D Bonn Tel.: +49 (0) s Fax: +49 (0) s Infoline: +49 (0) s Internet:

2 Konformitätsreport BSI-K-TR Ersetzendes Scannen für DATEV Unternehmen online nach TR-RESISCAN bei der DATEV eg der DATEV eg Paumgartnerstraße 6-14, Nürnberg, Deutschland

3 Bundesamt für Sicherheit in der Informationstechnik Godesberger Allee , D Bonn s Postfach , D Bonn Tel.: +49 (0) s Fax: +49 (0) s Internet:

4 BSI-K-TR Konformitätsreport Inhaltsverzeichnis 1 Vorbemerkung Grundlagen des Zertifizierungsverfahrens Hinweise für den Antragsteller Antrag Prüfbereich und Prüfgrundlage Auditor Prüfgegenstand Beschreibung des Prüfgegenstands Komponenten des Prüfgegenstands Implementation Conformance Statement Konformitätsprüfung Ergebnis der Konformitätsprüfung Ergebnis des Zertifizierungsverfahrens nach TR / 15

5 Konformitätsreport BSI-K-TR Tabellenverzeichnis Tabelle 1: Konformitätsprüfung BSI TR / 15

6 BSI-K-TR Konformitätsreport 1 Vorbemerkung Die Zertifizierung von IT-Produkten oder -Systemen im Folgenden Prüfgegenstand genannt nach Technischen Richtlinien (TR) wird auf Veranlassung des Herstellers/Betreibers im Folgenden Antragsteller genannt durchgeführt. Technische Richtlinien, die vom Bundesamt für Sicherheit in der Informationstechnik (BSI) erstellt und veröffentlicht werden, bilden die Grundlage für Konformitätsprüfungen. Anhand einer Konformitätsprüfung wird sichergestellt, dass ein Prüfgegenstand die (sicherheits-) technischen, funktionalen und qualitativen Anforderungen einer TR erfüllt. Konformitätsprüfungen werden von den vom BSI gemäß DIN ISO/IEC anerkannten Prüfstellen oder zertifizierten Auditoren für ISO Audits auf der Basis von IT-Grundschutz gemäß den in der jeweiligen TR definierten Prüfspezifikationen und Tests durchgeführt. Die Konformitätsprüfung eines Prüfgegenstands erfolgt in Übereinstimmung mit den Bestimmungen des entsprechenden BSI-Schemas zur Zertifizierung nach Technischen Richtlinien. Für jedes Zertifizierungsverfahren nach TR führt das BSI eine Prüfbegleitung durch, um einheitliches Vorgehen, einheitliche Interpretation der Kriterienwerke und einheitliche Bewertungen sicherzustellen. Das Ergebnis eines Zertifizierungsverfahrens nach TR wird in einem abschließenden Konformitätsreport zusammengefasst. Das im Rahmen einer Zertifizierung nach TR ausgestellte Zertifikat ist keine Empfehlung des Prüfgegenstands durch das Bundesamt für Sicherheit in der Informationstechnik. Eine Gewährleistung für den Prüfgegenstand durch das BSI ist weder enthalten noch zum Ausdruck gebracht. 5 / 15

7 Konformitätsreport BSI-K-TR Grundlagen des Zertifizierungsverfahrens Das Zertifizierungsverfahren wurde vom Bundesamt für Sicherheit in der Informationstechnik nach Maßgabe der folgenden Vorgaben durchgeführt: BSI-Gesetz Gesetz über das Bundesamt für Sicherheit in der Informationstechnik (BSI-Gesetz - BSIG) vom 14. August 2009, Bundesgesetzblatt Teil I Nr. 54, S BSI-Zertifizierungs- und Anerkennungsverordnung Verordnung über das Verfahren der Erteilung von Sicherheitszertifikaten und Anerkennungen durch das Bundesamt für Sicherheit in der Informationstechnik (BSIZertV), vom 17. Dezember 2014, Bundesgesetzblatt Teil I Nr. 61, S BSI-Kostenverordnung Kostenverordnung für Amtshandlungen des Bundesamtes für Sicherheit in der Informationstechnik (BSI-Kostenverordnung-BSI, KostV) vom 3. März 2005, Bundesgesetzblatt I, S. 519 BSI-Zertifizierung nach Technischen Richtlinien Verfahrensbeschreibung und Informationen zum Schema 6 / 15

8 BSI-K-TR Konformitätsreport 3 Hinweise für den Antragsteller I. Das vom BSI erteilte Zertifikat nach Technischen Richtlinien BSI-K-TR ist nur in Zusammenhang mit dem vollständigen Konformitätsreport gültig. II. Die Gültigkeit des Zertifikats erstreckt sich ausschließlich auf die geprüfte Version bzw. Konfiguration des Prüfgegenstands. Alle geprüften Komponenten des Prüfgegenstands und deren Versionsstände sind in Kapitel 7 des Konformitätsreports festgeschrieben. III. Die Gültigkeit eines Zertifikats nach der Technischen Richtlinie BSI TR (TR-RESISCAN) beträgt drei Jahre. IV. Werden während der Gültigkeitsdauer wesentliche Änderungen (wie z. B. größere Änderungen am Scan-System/-Prozess, Änderungen im Managementsystem, der Organisation, im Outsourcing, Standortwechsel,...) am zertifizierten Prüfgegenstand vorgenommen, sind diese dem BSI schriftlich mitzuteilen. Das BSI entscheidet dann, ggf. unter Einbeziehung der Prüfstelle/des Auditors, ob eine vorzeitige Re-Zertifizierung erforderlich ist. V. Nur dem Zertifikat entsprechende Ausführungen des Prüfgegenstands dürfen als vom BSI zertifiziert bezeichnet und als solche beworben werden. Stellt das BSI diesbezüglich eine Zuwiderhandlung fest, erfolgt eine Abmahnung des Antragstellers. Daneben ist das BSI berechtigt, den Eintrag des Prüfgegenstands von der Veröffentlichungsliste der nach Technischen Richtlinien erteilten Zertifikate auf der BSI-Webseite zu streichen sowie die weitere Verwendung von Zertifizierungsbutton und Prüfsiegel zu untersagen. VI. Das BSI kann den Antragsteller jederzeit auffordern, ein dem Zertifikat entsprechendes Exemplar des Prüfgegenstands aus der laufenden Produktion zur Überprüfung bereitzustellen. Kommt der Antragsteller der Aufforderung nicht innerhalb einer gesetzten Frist nach, ist das BSI berechtigt, den Eintrag des Prüfgegenstands von der Veröffentlichungsliste der nach Technischen Richtlinien erteilten Zertifikate auf der BSI-Webseite zu streichen sowie die weitere Verwendung von Zertifizierungsbutton und Prüfsiegel zu untersagen. 7 / 15

9 Konformitätsreport BSI-K-TR Antrag Für den in Kapitel 7 genannten Prüfgegenstand wurde vom Antragsteller DATEV eg Paumgartnerstraße Nürnberg Deutschland Ansprechpartner: Walter Leonhardt (walter.leonhardt@datev.de) mit Antragsdatum 22. Oktober 2014 beim BSI eine erstmalige Zertifizierung nach Technischen Richtlinien beantragt. 8 / 15

10 BSI-K-TR Konformitätsreport 5 Prüfbereich und Prüfgrundlage Beantragt wurde eine Zertifizierung nach der Technischen Richtlinie: BSI TR Technische Richtlinie Ersetzendes Scannen Die Konformitätsprüfung nach der Technischen Richtlinie BSI TR erfolgt für den Prüfbereich: BSI TR Ersetzendes Scannen (TR-RESISCAN) Die Prüfgrundlage für Konformitätsprüfungen in diesen Prüfbereichen bilden folgende Dokumente: BSI TR Technische Richtlinie Ersetzendes Scannen, Version 1.0 vom 20. März 2013 BSI TR Technische Richtlinie Ersetzendes Scannen, Anlage P: Prüfspezifikation, Version 1.1 vom 04. Dezember / 15

11 Konformitätsreport BSI-K-TR Auditor Die Konformitätsprüfung erfolgte durch folgenden vom BSI zertifizierten Auditor für ISO Audits auf der Basis von IT-Grundschutz: Martin Steger intersoft certification services GmbH Frankenstraße 18a Hamburg Tel.: +49 (0) Mobil: +49 (0) msteger@intersoft-certification.de D msteger@intersoft-certification.d .de 10 / 15

12 BSI-K-TR Konformitätsreport 7 Prüfgegenstand 7.1 Beschreibung des Prüfgegenstands Prüfgegenstand ist das IT-Produkt/-System: Ersetzendes Scannen für DATEV Unternehmen online nach TR-RESISCAN bei der DATEV eg Bei dem Prüfgegenstand handelt es sich um eine Muster-/Referenzimplementierung eines Scanprozesses bei der DATEV eg am Standort Paumgartnerstraße 6-14, Nürnberg. Der betrachtete Scanprozess umfasst die Digitalisierung der für den Prozess DATEV Unternehmen Online (DUO) erforderlichen Belege dezentral angebundener Mandanten und Kanzleien. An Stelle der dezentralen Komponenten umfasst der Prüfgegenstand die beispielhafte Implementierung eines Mustermandanten (Resi GmbH) bei der DATEV eg. 7.2 Komponenten des Prüfgegenstands Die einzelnen Komponenten des Prüfgegenstands (IT-Systeme, Hard-/Software, Kommunikationsverbindungen, Datenobjekte, ) wurden im Rahmen einer Strukturanalyse identifiziert. Der Prüfbericht ( Kapitel 9) des Auditors enthält eine vollständige Aufstellung aller Komponenten. 7.3 Implementation Conformance Statement Das Implementation Conformance Statement (ICS) enthält die für die Durchführung der Konformitätsprüfung benötigten Informationen zum Prüfgegenstand und ist zur Festlegung des Prüfumfangs erforderlich. Im Falle der TR-RESISCAN ergibt sich der Prüfumfang aus der Schutzbedarfsanalyse des Prüfgegenstands. Der Schutzbedarf des Prüfgegenstands wurde insgesamt als normal eingestuft. Daraus ergibt sich für die Konformitätsprüfung folgender Prüfumfang: Basismodule Aufbaumodule - A.G, A.O, A.P, A.T, A.DV, A.SC, A.NB, A.IS 11 / 15

13 Konformitätsreport BSI-K-TR Konformitätsprüfung Die Konformitätsprüfung wurde im Zeitraum Dezember 2014 bis Januar 2015 von dem beauftragten Auditor durchgeführt. Der vom Auditor vorgelegte Prüfbericht enthält detaillierte Beschreibungen der durchgeführten Testfälle, der jeweils zu erfüllenden Anforderungen/Vorgaben sowie eine vollständige Aufstellung der erzielten Prüfergebnisse. Tabelle 1 enthält eine Zusammenfassung der durchgeführten Testfälle. Tabelle 1: Konformitätsprüfung BSI TR Nr Test Case ID Ergebnis Nr Test Case ID Ergebnis 01 Kap. 3.1 Pass 27 A.SC.8 Pass 02 Kap. 3.2 Pass 28 A.SC.9 Pass 03 A.G.1 Pass 29 A.SC.10 Pass 04 A.O.1 Pass 30 A.SC.11 Pass 05 A.O.2 Pass 31 A.NB.1 Pass 06 A.O.3 Pass 32 A.NB.2 Pass 07 A.O.4 Pass 33 A.NB.3 Pass 08 A.O.5 Pass 34 A.NB.4 Pass 09 A.P.1 Pass 35 A.NB.5 Pass 10 A.P.2 Pass 36 A.IS.1 Pass 11 A.P.3 Pass 37 A.AM.G.1 n.a. 12 A.P.4 Pass 38 A.AM.G.2 n.a. 13 A.P.5 Pass 39 A.AM.G.3 n.a. 14 A.T.1 Pass 40 A.AM.IN.H.1 n.a. 15 A.T.2 Pass 41 A.AM.IN.H.2 n.a. 16 A.T.3 Pass 42 A.AM.IN.H.3 n.a. 17 A.T.4 Pass 43 A.AM.IN.H.4 n.a. 18 A.DV.1 Pass 44 A.AM.IN.H.5 n.a. 19 A.DV.2 Pass 45 A.AM.IN.H.6 n.a. 20 A.SC.1 Pass 46 A.AM.IN.SH.1 n.a. 21 A.SC.2 Pass 47 A.AM.IN.SH.2 n.a. 22 A.SC.3 Pass 48 A.AM.IN.SH.3 n.a. 23 A.SC.4 Pass 49 A.AM.IN.SH.4 n.a. 24 A.SC.5 Pass 50 A.AM.VT.H.1 n.a. 25 A.SC.6 Pass 51 A.AM.VT.H.2 n.a. 26 A.SC.7 Pass 52 A.AM.VT.H.3 n.a. 12 / 15

14 BSI-K-TR Konformitätsreport Nr Test Case ID Ergebnis Nr Test Case ID Ergebnis 53 Kap n.a. 58 A.AM.VF.H.1 n.a. 54 A.AM.VT.SH.1 n.a. 59 A.AM.VF.H.2 n.a. 55 A.AM.VT.SH.2 n.a. 60 A.AM.VF.SH.1 n.a. 56 A.AM.VT.SH.3 n.a. 61 A.AM.VF.SH.2 n.a. 57 A.AM.VT.SH.4 n.a. 13 / 15

15 Konformitätsreport BSI-K-TR Ergebnis der Konformitätsprüfung Die vollständigen Ergebnisse der Konformitätsprüfung sind im folgenden Prüfbericht enthalten: Prüfbericht im Rahmen der Prüfung nach BSI TR BSI-K-TR-0202 Ersetzendes Scannen für DATEV Unternehmen online nach TR-RESISCAN bei der DATEV eg Version 1.1 Erstellungsdatum: Die Vollständigkeit und Widerspruchsfreiheit des vorgelegten Prüfberichts wurde durch das Bundesamt für Sicherheit in der Informationstechnik verifiziert und bestätigt. Die im Rahmen der Konformitätsprüfung erzielten Ergebnisse lassen sich wie folgt zusammenfassen: alle im Rahmen der Konformitätsprüfung untersuchten Testfälle der Basismodule gemäß BSI TR konnten mit Pass bewertet werden Das erzielte Gesamtergebnis der Konformitätsprüfung ist: Pass 14 / 15

16 BSI-K-TR Konformitätsreport 10 Ergebnis des Zertifizierungsverfahrens nach TR Die Konformität des Prüfgegenstands zur Technischen Richtlinie BSI TR wird vom Bundesamt für Sicherheit in der Informationstechnik für den untersuchten Prüfbereich mit dem Zertifikat nach Technischen Richtlinien BSI-K-TR vom bestätigt. Das Zertifikat nach Technischen Richtlinien ist gültig bis zum 19. März / 15