1 Zusammenfassung... 3

Transkript

1

2 12. Mai 2014 R 035 Inhaltsverzeichnis 1 Zusammenfassung Auftrag und Prüfungsdurchführung Ausgangslage und Abgrenzung Rechtsgrundlagen Prüfungsumfang und -grundsätze Untersuchungsmethode Risikoannahmen Prüfungsergebnisse Ausgangslage am Beispiel eines Kreditorenbeleges Ausgangslage am Beispiel eines e-dossier Beschreibung der wichtigsten technischen Komponenten SAP-System OpenText Archiv Lösung NetApp Compliance Speicher Prüfung der gesetzlichen Anforderungen Vergleich von Aufbewahrungssystemen Schlussbesprechung Interviewpartner /18

3 12. Mai 2014 R Zusammenfassung In dieser Revision wurde die Möglichkeit des Verzichts der physischen Aufbewahrung von Kreditorenbelegen der Finanzen V und e-dossiers des Personal V untersucht. Im besten Fall könnte auf die anfallenden und (meist) für zehn Jahre aufzubewahrenden Papierbelege verzichtet, und ausschliesslich auf das elektronische Aufbewahrungssystemen der FUB gesetzt werden. Die Informationssicherheit der aufzubewahrenden Dokumente wurde mittels einer Einhalteprüfung der rechtlichen Anforderungen beurteilt. Zur Bewertung der Informationssicherheit wurden die Schutzziele Vertraulichkeit, Verfügbarkeit und Integrität herangezogen. Weiter wurden organisatorische Aspekte der Aufbewahrungsabläufe in der FUB untersucht. Die Resultate der einzelnen Prüfpunkte wurden anschliessend mit den Lösungen von anderen Verwaltungseinheiten ( und der Privatwirtschaft ( und verglichen. Vertraulichkeit Alle Kreditorenbelege und e-dossiers befinden sich auf demselben physischen Aufbewahrungssystem und werden durch eine restriktive Vergabe von Fachbenutzerberechtigungen geschützt. Eine Trennung auf Speicherebene ist aus Sicht des Inspektorats VBS daher nicht notwendig. Das Aufbewahrungssystem befindet sich in einem zutrittsgeschützten Rechenzentrum. Zur weiteren Verbesserung der Vertraulichkeit sollten die IT-Administratorenzugriffe protokolliert und personalisiert werden. Dies erfolgt durch Verwendung von persönlichen IT- Administratoren Accounts sowie durch das Protokollieren der Zugriffe. Insbesondere im Bereich der e-dossiers sollte eine Verschlüsselung beim Datentransport in Betracht gezogen werden. Im Vergleich mit den untersuchten Lösungen von und kann das VBS mithalten: Die Zugriffe werden ähnlich restriktiv gehandhabt, die IT-Administratoren haben privilegierte/kritische Rechte und eine Verschlüsselung beim Datentransport wird nicht anwendet. Verfügbarkeit Die stetige Verfügbarkeit der elektronisch aufbewahrten Daten über den gesamten Aufbewahrungszeitraum wird im VBS durch Mehrfachauslegung des Aufbewahrungssystems und durch präventive Massnahmen zur Wiederherstellung im Ereignisfall (wie Backup von relevanten Tabellen und Puffern) sichergestellt. Ein Löschen der Kreditorenbelege innerhalb des Aufbewahrungszeitraums wird systemseitig verhindert. Die e-dossiers können nicht systemseitig geschützt werden, da beim Zeitpunkt der Aufbewahrung noch keine Aufbewahrungsdauer bekannt ist. Die langzeitige Lesbarkeit der aufbewahrten Dokumente ist durch das standardisierte und international anerkannte PDF-Dateiformat gegeben. Ein Löschen von systemseitigen Verknüpfungen kann zum Verlust (Verwaisung) von Dokumenten führen. Dieses Risiko kann durch geeignete Massnahmen wie das Verhindern oder Erschweren des Löschens von Verknüpfungen oder einer Ausweitung der Protokollierung vermindert werden. Einem kleinen Team von vier IT-Administratoren ist es möglich, das gesamte elektronische Aufbewahrungssystem unwiderruflich zu löschen. Dieses Risiko kann mit einem zusätzlichen Backup des Aufbewahrungssystems oder durch eine Softwareumstellung minimiert werden. Vergleicht man die VBS Lösung mit den Lösungen des und der zeigt sich ein Handlungsbedarf für das VBS: Bei diesen existiert ein zusätzliches Backup von dieser Speicherlösung. Damit kann ein unwiderrufliches Löschen des elektronischen Aufbewahrungs- 3/18

4

5 12. Mai 2014 R Auftrag und Prüfungsdurchführung 2.1 Ausgangslage und Abgrenzung Bis heute werden zahlreiche Belege in den Bereichen Finanzen V und Personal V gescannt. Aufgrund zunehmend enger werdender Platzverhältnisse möchte man in naher Zukunft die physischen Belege der Kreditorenrechnungen und der Personaldossiers physisch vernichten und ausschliesslich auf das elektronische Aufbewahrungssystem setzen. Das Programmmanagement BLSV / ar beantragt die technische Datenaufbewahrung in den Bereichen Finanzen V und Personal V durch das Inspektorat VBS auf Rechtmässigkeit prüfen zu lassen. Das Inspektorat VBS prüft, ob das im VBS durch die FUB betriebene Aufbewahrungssystem den gesetzlichen Anforderungen entspricht und mit Lösungen von anderen Verwaltungseinheiten sowie der Privatwirtschaft vergleichbar ist. Der Prozessteil, welcher in der Verantwortung der Fachbereiche Finanzen und Personal liegt, wurde nicht untersucht. Das heisst, die Übereinstimmung der Geschäftsbücher und die Buchungsbelege mit den zugrunde liegenden Geschäftsvorfällen und Sachverhalten war nicht Gegenstand dieser Untersuchung. Das SAP-System als solches wurde nicht geprüft. Teilweise wurden jedoch auf Teilfunktionalitäten (wie ArchiveLink-Tabelle 1 und Fachbenutzerberechtigungsverwaltung) abgestützt. Unter dem Begriff «Archivierung» verstehen wir die Langzeitarchivierung im Bundesarchiv gemäss Bundesgesetz über die Archivierung. Diese Langzeitarchivierung ist nicht Gegenstand dieser Revision. Im Fokus dieser Revision steht die «elektronische Aufbewahrung» von Kreditorenbelegen und Personaldossiers (e-dossiers) 2 gemäss OR, GeBüV und weiteren Vorgaben, welche im folgenden Kapitel 2.2 erwähnt werden. In der Praxis werden die Begriffe «Archivierung» und «Aufbewahrung» nicht sauber getrennt und fälschlicherweise gleichbedeutend verwendet. Der Begriff «Archivierung» findet sich auch in den Rechtsgrundlagen und bezieht sich dabei nicht die Langzeitarchivierung sondern auf die Aufbewahrung der Geschäftsbücher und die Buchungsbelege nach Art. 958f Abs 1 OR. Im vorliegenden Bericht werden wir darum weitgehend 3 nur noch den Begriff «(elektronische) Aufbewahrung» verwenden. Das hierfür verwendete System wird «(elektronisches) Aufbewahrungssystem» genannt. 2.2 Rechtsgrundlagen Folgende Grundlagen wurden für die Revision beigezogen, deren Gültigkeit und Vollständigkeit wurde durch die EFK bestätigt: Obligationenrecht, Führung und Aufbewahrung der Geschäftsbücher (Art 958f OR) Obligationenrecht, Pflicht zur Buchführung und Rechnungslegung (Art 957 ff OR) Verordnung über die Führung und Aufbewahrung der Geschäftsbücher vom 24. April 2002 (Art 3, 4, 5, 6, 7, 8, 9, 10 GeBüV) Bundesgesetz über den Datenschutz (Art. 7 DSG) 1 Die Verbindung der einzelnen SAP-Objekte zu den aufbewahrten PDF-Dateien erfolgt mittels der SAP-internen ArchiveLink- Tabelle. 2 Im Falle von elektronischen Personaldossiers sprechen wir von e-dossiers 3 Dies ist nicht überall möglich. Zum Beispiel wird OpenText Lösung vom Hersteller als «OpenText Archiv» bezeichnet. Wir verwenden darum den Begriff «OpenText Archiv Lösung». 5/18

6 12. Mai 2014 R 035 Verordnung über den Schutz von Personendaten des Bundespersonals (Art 4, 13 und 28 BPDV) 2.3 Prüfungsumfang und -grundsätze Das Inspektorat VBS führte die Prüfungen bei der FUB vor Ort in Bern durch. Die Beauftragung wurde im Detail mit den Verantwortlichen des A Stab besprochen. 2.4 Untersuchungsmethode Die Prüfungen erfolgten nach anerkannten Revisionsgrundsätzen und stützen sich auf die im vorstehenden Abschnitt aufgeführten Rechtsgrundlagen. Einzelheiten über Art und Umfang der durchgeführten Prüfungen (Stichprobenprüfungen, Einsichtnahme in Dokumente und Interviews) gehen aus den Arbeitspapieren hervor. Die Prüfungsergebnisse wurden den Beteiligten vorgängig zur Stellungnahme zugestellt. Die Revision wird nach den allgemeinen Prozessen und Richtlinien des Inspektorats VBS durchgeführt. 2.5 Risikoannahmen Das Inspektorat VBS legte dieser Revision folgende Risikoannahmen zu Grunde: Die technische Lösung der FUB zur elektronischen Aufbewahrung entspricht nicht den gesetzlichen Vorschriften. Dies beinhaltet, dass die Vertraulichkeit, Verfügbarkeit und Integrität der aufbewahrten Daten nicht gewährleistet ist. Die Lösung und deren zugehörige Prozesse sind im Vergleich zu ähnlichen Verwaltungseinheiten und der Privatwirtschaft nicht angemessen. 6/18

7 12. Mai 2014 R Prüfungsergebnisse 3.1 Ausgangslage am Beispiel eines Kreditorenbeleges Im Bereich Finanzen V fallen pro Jahr ca Kreditorenbelege mit Beilagen an. Diese werden eingescannt und anschliessend sowohl elektronisch wie auch physisch aufbewahrt. Es folgt eine schematische Darstellung des Aufbewahrungsvorganges im Bereich Finanzen V: Die Zugriffsberechtigungen des Fachbereichs auf die aufbewahrten Dokumente sind im SAP PSN hinterlegt. Folgendes sind die Hauptschritte des Aufbewahrungsvorganges: Einscannen und Vorerfassen: Nach einer Vorprüfung wird der Papierbeleg durch den Fachbenutzer eingescannt. Auf dem BURAUT Client ist eine Applikation installiert, welche den Aufbewahrungsprozesses anstösst: Mittels vorgegebenem Workflow wird das eingescannte PDF via SAP-PSN an das OpenText Archiv weitergeleitet. Dazu wird die von SAP-System zur Verfügung gestellte ArchiveLink Schnittstelle verwendet. OCR Erkennung und Umwandlung Für jedes eingegangene PDF wird vom OpenText Archiv der Eingangszeitpunkt festgehalten. Dieser Eingangszeitpunkt dient als Basis für die Berechnung der Aufbewahrungszeitdauer (retention time). OpenText legt alle aufzubewahrenden PDF-Dokumente in einem Zwischenspeicher (Buffer) ab. Aufbewahrung Die zwischengelagerten Dokumente werden regelmässig an den NetApp Compliance Speicher zur Aufbewahrung gesendet. Dazu wird in der OpenText Datenbank ein Zeiger (Pointer) eingetragen. Dieser Zeiger dient zum Wiederauffinden des Dokumentes im NetApp Compliance Speicher. 7/18

8 12. Mai 2014 R Ausgangslage am Beispiel eines e-dossier Im Bereich Personal Verteidigung sind derzeit um die e-dossiers vorhanden, welche wöchentlich mit rund neuen Seiten angereichert werden. Der Aufbewahrungsvorgang der e-dossiers ist weitgehend analog mit jenem der Kreditorenbelege. Die Aufbewahrung wird von OpenText Archiv gesteuert und die Ablage der aufbewahrten Dokumente erfolgt im selben NetApp Compliance Speicher. Jedoch sind bei den e-dossier folgende Unterschiede zum Vorgehen bei den Kreditorenbelegen festzuhalten: - Der Startpunkt der Aufbewahrungsdauer ist dynamisch (z.b. zehn Jahre nach Ablauf des Arbeitsverhältnis). Der Eingangszeitpunkt eines Dokumentes ist somit nicht relevant. - Unterschiedliche Aufbewahrungsdauer (z.b. fünf Jahre für Leistungsbeurteilungen) - Es sind auch Office Dokumente aufzubewahren. Diese werden durch OpenText 4 in PDF/A 5 Dokumente umgewandelt und dann aufbewahrt. 3.3 Beschreibung der wichtigsten technischen Komponenten Das SAP-System ist dem elektronischen Aufbewahrungssystem vorgelagert. Das elektronische Aufbewahrungssystem umfasst die «OpenText Archiv Lösung» und den «NetApp Compliance Speicher». Es folgt eine Beschreibung dieser drei technischen Komponenten: SAP-System Das SAP-System ist die zentrale und steuernde Komponente des Aufbewahrungssystems. Einerseits werden darüber die Berechtigungen der Fachbenutzer gehandhabt. Auf der andern Seite wird die Aufbereitung und Darstellung der aufbewahrten Dokumente in die entsprechenden Betriebsprozesse integriert. Die zu einem Geschäftsfall zugehörigen SAP- Buchungen werden direkt mit den entsprechenden elektronisch aufbewahrten Dokumenten verknüpft. Diese Verknüpfung erfolgt durch die SAP ArchiveLink Schnittstelle. Das SAP System wird mit Datenbank Backup und File System täglich gesichert und 14 Tage aufbewahrt OpenText Archiv Lösung Die OpenText Archiv Lösung 6 beinhaltet eine Applikation mit zugehöriger Datenbank und bildet die Verbindungsstelle zwischen dem SAP-System und dem NetApp Compliance Speicher. Sie ist für das Aufbewahrungsmanagement zuständig. Dies umfasst die Umwandlung und Zwischenspeicherung von Dokumenten, die Verlinkung der Dokumente in den NetApp Compliance Speicher sowie das Management der Aufbewahrungsdauer. 4 Der OpenText Rendition Server führt die Umwandlung durch. 5 PDF/A = PDF/A ist ein Format zur Langzeitarchivierung digitaler Dokumente, das von der International Organization for Standardization (ISO) als Subset des Portable Document Format (PDF) genormt wurde. Es wird im VBS derzeit das PDF/A-1b Format verwendet. 6 Folgende Version wird in der FUB betrieben: «OpenText Archive Version 9.7.1» Ein Upgrade auf die Version 10.5 ist für 2014 geplant. 8/18

9 12. Mai 2014 R 035 Applikation: Die OpenText Applikation hält den Eingangszeitpunkt jedes aufzubewahrenden Dokumentes fest. Dieser Eingangszeitpunkt gilt als Startpunkt für die jeweilige Aufbewahrungsdauer, die sogenannte «retention-time». Damit wird sichergestellt, dass fachseitig im SAP-System keine Dokumente vor Ablauf der jeweiligen Aufbewahrungsdauer gelöscht werden können. Die aufzubewahrenden Dokumente werden in einem Buffer 7 gesammelt und regelmässig 8 mit den zugehörigen Verwaltungsinformationen (wie die retention-time) an den NetApp Compliance Speicher übergeben. Datenbank: Damit die OpenText Applikation auf die Daten aus dem NetApp Compliance Speicher zugreifen kann, existiert für jedes aufbewahrte Dokument ein Verbindungspfad (Pointer) zum Datenspeicher. Diese Verbindungspfade werden in der OpenText Datenbank verwaltet. Backup: Für die OpenText Archiv Lösung wird die Standard Backup Prozedur angewendet: Wöchentliches Full-Backup und täglich Incremental-Backup 9. Die Backups werden drei Wochen aufbewahrt. Damit ist die (Wiederherstellungs-)Funktion sichergestellt NetApp Compliance Speicher Der NetApp Compliance Speicher 10 besteht aus einem physischen Speicher und einer logischen Steuerungs-Einheit. Die Steuerungs-Einheit ist zuständig für die Einhaltung der retention-time auf Speicherebene. Die regelmässig vom OpenText Buffer gesendeten Dokumente werden im physischen Speicher sicher aufbewahrt. Die verwendete Technologie wird als WORM-Speicher 11 bezeichnet. Das Löschen, Überschreiben und Ändern von Daten auf diesem WORM-Speichermedium, ist vor Ablauf der Aufbewahrungsdauer nicht möglich. Dies gilt auch für NetApp-Administratoren. Redundanz: Die aufbewahrten Daten werden georedundant an zwei Standorten in jeweils zwei logischen, unabhängigen Volumen 12 abgespeichert. Alle 3 Minuten werden die Files des einen Volumen auf das zweite Volumen repliziert/gespiegelt. Backup: Von diesem Compliance WORM-Speicher wird kein zusätzliches Backup durchgeführt. 7 Buffer = Zwischenspeicher. Die übertragenen Dokumente bleiben zusätzlich 21 Tage im DiskBuffer bevor diese gelöscht werden. 8 Im Bereich Finanzen V: Alle 2 Stunden. Im Bereich Personal Verteidigung: Jede Stunde. 9 Beim «Incremental Backup» werden nur jene Dokumente gesichert, welche seit der letzten Sicherung eine Änderung erfahren haben. Beim «Full-Backup» wird das gesamte Filesystem gesichert 10 Folgende Version wird in der FUB betrieben: 11 WORM = «write once read many» 12 Datenspeicherbereich in einem Datenspeichersystem mit mehreren Disks 9/18

10

11

12

13

14

15 12. Mai 2014 R ) Keine Bemerkungen 29) Keine Bemerkungen Bemerkung: Die Details der Prüfung der gesetzlichen Anforderungen finden sich in der. Fazit der Prüfung der gesetzlichen Anforderungen: Die Vertraulichkeit und Verfügbarkeit der aufbewahrten Dokumente sind weitgehend gewährleistet und entsprechen den gesetzlichen Anforderungen. Ein grosses Risiko wurde in der Möglichkeit des unwiderruflichen Löschens des gesamten Aufbewahrungssystems identifiziert. Weiter ist die Integrität der aufbewahrten Dokumente systemseitig nicht garantiert: Ein Fachbenutzer kann ein aufbewahrtes Dokument gegen ein anders, verfälschtes Dokument austauschen. Hier wurde ebenfalls ein mittleres Risiko identifiziert. 15/18

16 12. Mai 2014 R Vergleich von Aufbewahrungssystemen Für den Vergleich der VBS Lösung wurden zwei Verwaltungseinheiten ( und ) und zwei Unternehmen aus der Privatwirtschaft ausgewählt ( und Die Auswahl ist nicht repräsentativ, sondern beruht auf Kontaktmöglichkeiten des persönlichen Netzwerkes von Mitarbeitenden des Inspektorats VBS. Ausser beim wird die elektronische Aufbewahrung von Kreditorenbelegen und Personaldossiers überall praktiziert und die physischen Papierbelege werden vernichtet. Einen hohen Vergleichswert hat die vom für die weiteren Verwaltungseinheiten des Bundes betriebene Lösung. Sie ist an die bereits vorher eingeführte VBS-Lösung angelehnt, und die Anforderungen sind vergleichbar. Die vorhandenen Lösungen von VBS, und sind in vielen Bereichen weitgehend vergleichbar: Überall wird SAP als ERP-System 15 eingesetzt. Die Systeme zur elektronischen Aufbewahrung nutzen die SAP Schnittstelle «SAP ArchiveLink». An diese Schnittstelle werden spezielle Speicherlösungen angeschlossen, welche für die sichere Aufbewahrung der Dokumente zuständig sind. Diese Speicherlösungen werden dabei redundant betrieben. Beim und der wird wie beim VBS die OpenText Archiv-Lösung für das Aufbewahrungsmanagement (setzen der retention-time, Umwandlung von Dateiformaten und Zwischenspeichern von Dokumenten) eingesetzt. Als Datenformat für die Aufbewahrung wird durchgängig das PDF-Dateiformat verwendet. Eine Trennung der personellen und finanziellen Daten auf Speicherebene wurde nirgends identifiziert. Die Zugriffe auf das Aufbewahrungssystem werden überall via SAP Berechtigungsmanagement verwaltet. Eine Verschlüsselung von Daten beim Transport ist nirgends implementiert und nur bei findet eine Verschlüsselung der gespeicherten Daten statt. Folgendes sind die Hauptunterschiede der untersuchten Lösungen: Beim und bei ist ein zusätzliches Backup der georedundanten 16 Speichersysteme implementiert. Dies ist bei der und beim VBS nicht der Fall. Die Lösung hat aufgrund hoher Redundanzen mit örtlicher Trennung in den Systemkomponenten und durch das Vorhandensein eines SAP-Notfallkonzeptes eine höhere Absicherung für den Krisenfall (Disaster Recovery). Die Lösung beinhaltet eine automatische Zahlungsauslösung im Kreditorenbereich. Das SAP-System führt hierzu einen Abgleich zwischen Bestellung, Wareneingang und Preis durch. Werden dabei keine Abweichungen festgestellt, so kann die Zahlung vom System automatisch ausgelöst werden. Die Lösung stützt sich für die elektronische Aufbewahrung stärker auf die bestehende Systemumgebung ab: Für die Speicherung der aufzubewahrenden Dokumente kommt eine unternehmensweit verwendete und verschlüsselte Speicherkomponente in Kombination mit dem Dokumentenmanagementsystem (Documentum) zum Einsatz. Zusätzlich zur restriktiven Vergabe von Zugriffsrechten wird eine Überwachung von privilegierten Zugriffen auf Applikationsebene mittels einem ILP Systems 17 durchgeführt. 14 Der wird in den folgenden Ausführungen nicht mehr berücksichtigt. 15 ERP = «Enterprise-Resource-Planning», Applikation zur Unterstützung der Ressourcenplanung eines gesamten Unternehmens, Beispiel: SAP 16 Georedundanz: Die Systemkomponenten sind geografisch deutlich getrennt. 17 Information Leakage Prevention System 16/18

17

18