Willkommen zum Webinar

Transkript

1 Willkommen zum Webinar

2 ÜBERBLICK 1. Einleitung 2. Geschlossenes Gesamtsystem 3. Muster-Beleg und DEP 4. Sachverständigengutachten 5. Hilfreiche Unterlagen und Hinweise 6. Ausblick 2

3 10001 EINLEITUNG 3

4 VORTRÄGE ZUR RKSV HISTORY 1. Vortrag (allgemein): 26. Januar 2016, Wien 2. Vortrag (allgemein): 17. Februar 2016, Salzburg 3. Vortrag (allgemein): 24. Februar 2016, Linz 4. Webinar (spezifisch): 26. April Webinar (spezifisch): heute, 10. Mai

5 REGISTRIERKASSE Hardware Sicherheitseinrichtung Software Sicherheitseinrichtung Cloud Sicherheitseinrichtung 5

6 SIGNATURERSTELLUNGSDATEN Chipkarte HSM High Security Modul Kassa Software Bd5spF20Z6uhscicwC2kh84BcdVYC2TgH8 Z9HktThcGxtAdI0q3+3GercJ7fad7oGhMsv zu7ayrc4rrll93ysecxg3wtgwpvl4iaw72 k15vey5xeqpmw6do905kftetnlhuc +Mb+/B8QGFgOcUhvKqsI33Keirc 3x/ Tr07efjrs= Signaturerstellungsdaten 6

7 GLEICHWERTIGKEIT Signaturerstellungsdaten Geschlossenes Gesamtsystem Chipkarte HSM High Security Modul Gleichwertigkeit Kassa Software Bd5spF20Z6uhscicwC2kh84BcdVYC2TgH8 Z9HktThcGxtAdI0q3+3GercJ7fad7oGhMsv zu7ayrc4rrll93ysecxg3wtgwpvl4iaw72 k15vey5xeqpmw6do905kftetnlhuc +Mb+/B8QGFgOcUhvKqsI33Keirc 3x/ Tr07efjrs= 7 Signaturerstellungsdaten

8 Gleichwertigkeit Offenes versus geschlossenes Gesamtsystem Hardware-Lösung Software-Lösung Qualifizierte Signatur Gleichwertigkeit Einfache Signatur + Dokumentation, Sicherheitstechnik Offenes Gesamtsystem Geschlossenes System 8

9 BETEILIGTE ORGANISATIONEN (STAKEHOLDER) A-SITplus Verein von ÖNB, BMF, TU-Graz, BRZ Finanzamt zuständiges FA Sachverständiger Gutachten gerichtlich zertifiziert FinanzOnline IT- Dienstleister WP/StB. Zertifizierungsdiensteanbieter AT: A-Trust & emonitoring, EU/CH >> Ihr Unternehmen << Unternehmen/Konzerne Gesetz Registrierkassensicherheitsverordnung 9

10 20010 GESCHLOSSENES GESAMTSYSTEM 10

11 BEWERTUNG OFFENES VERSUS GESCHLOSSENES GESAMTSYSTEM (c) EY 11

12 VORLEISTUNGEN Basis Assessment (EY) 12

13 VORLEISTUNGEN Entscheidung 13

14 BEGUTACHTUNG Vor-Begutachtung - Begleitung - Gutachten 14

15 Fragen die der Sachverständige stellt Vor-Begutachtung: Was sind die Ergebnisse aus dem Basis-Assessment? 1. Bewertung des Basis-Assessment (Plausibilität) 1. Geschlossenes Gesamtsystem - plausibel dargestellt? 2. Sicherheitsdokumentation - erstellt oder anpassbar? 3. Sicherheitsorganisation und -verständnis - vorhanden? 4. Bereich (Domain/Konzern) und Abgrenzung (Scope) - gemacht? 5. Beteiligte (Stakeholder) intern und extern (IT-Dienstleister) - bekannt? 6. Verständnis zu Technologie- und Prozessanpassung - vorhanden? 7. Projektplan, Zeit, Ressourcen, Kosten - ausgearbeitet? 8. IKS & eventuelle Zertifizierungen - vorhanden? 2. SV: Auftragsannahme oder -ablehnung (Risiko und Haftung)? 15

16 Gleichwertigkeit Offenes versus geschlossenes Gesamtsystem? Hardware-Lösung Software-Lösung Bd5spF20Z6uhscicwC2kh84BcdVYC2TgH 8Z9HktThcGxtAdI0q3+3GercJ7fad7oGh Msvzu7AYrc4rRll93ysecXG3WTgWpvL4I aw72k15vey5xeqpmw6do905kftet NLHUC+Mb+/ B8QGFgOcUhvKqsI33Keirc 3x/Tr07efjrs= EC PRIVATE KEY.(AES) Signaturschlüssel Signaturerstellungsdaten Hardware Signaturschlüssel Signaturerstellungsdaten Software 16

17 Fragen die Sie sich stellen müssen Wo befindet sich die Sicherheitseinrichtung? Kassa Filiale Server??? Zentrale Sicherheitseinrichtung Sicherheitseinrichtung 17

18 MUSTER-BELEG UND DATENERFASSUNGSPROTOKOLL (DEP) 18

19 Logo Beleg-Muster Datum & Uhrzeit Preise Summe Steuersätze Anschrift Kontakt Filiale, Kassa, Bon-Nr. Re-Nr. 19

20 Logo Beleg-Muster Datum & Uhrzeit Preise Summe Steuersätze Maschinenlesbarer Code QR-Code/Barcode/Link Anschrift Kontakt Filiale, Kassa, Bon-Nr. Re-Nr. 20

21 Logo Beleg-Muster Datenerfassungsprotokoll (DEP) Anschrift 21

22 Logo Beleg-Muster Datenerfassungsprotokoll (DEP) Anschrift 22

23 UMSATZZÄHLER Registrierkasse (Kasse) (c) A-SIT, Univ. Prof. Posch 23

24 SACHVERSTÄNDIGEN GUTACHTEN 24

25 25

26 Frage zum Geschlossenen Gesamtsystem 1) bereits im Einsatz? 2) in Planung? 3) nicht relevant? 26

27 DIE UNBEKANNTE? Gerichtssachverständiger 1. Image 2. Vorbehalte 3. Vertrauen 4. Im Auftrag der Wirtschaft 27

28 BESTANDTEILE EINES GUTACHTEN 1. Befund (Fakten = Blutlabor) und 2. Gutachten (Zusammenfassende Bewertung = Interpretation der Befunde (Blutwerte)) 28

29 Befund (Auszug kurz) 1. Liste der Komponenten der Sicherheitseinrichtung 2. Prüfsumme über Softwarekomponenten 3. Nachvollziehbarkeit der Registrierkassenpflicht 4. Manipulationssicherheit & Gleichwertigkeit mit qualif. Signatur 5. Organigramm der Komponenten und Verarbeitungsprozesse 6. Sicherheitstechnische Maßnahmen 7. Organisatorische Maßnahmen 8. Organisationsstruktur für Zugriffs- und Eingriffsrechte 9. Protokollierung und Überwachung der Manipulationssicherheit 10. Ausfallplan 29

30 Gutachten (Auszug kurz) 1. Beurteilung: Geschlossenes Gesamtsystem 1. Warenwirtschafts-, Buchhaltungs- und Kassensystem lückenlos miteinander verbunden 2. Beurteilung: Anforderungen an die Registrierkassen 1. Korrekte und vollständige Funktion der Registrierkasse, des Datenerfassungsprotokolls und des Belegdrucks. 3. Beurteilung: Vorliegen der organisatorischen Voraussetzungen 4. Beurteilung: Vorliegen der technischen Voraussetzungen 30

31 5010I HILFREICHE UNTERLAGEN UND HINWEISE 31

32 32

33 33

34 34

35 35

36 36

37 37

38 38

39 HILFREICHE NORMEN UND STANDARDS 1. IKS - Internes Kontrollsystem 2. IT-Sicherheitshandbuch (Ö/D) 3. ISO Informationssicherheitsmangement 4. ISO Betriebsmanagement (ITIL) 5. ISO Software Lifecycle Management 39

40 60110 AUSBLICK 40

41 41

42 Nächste Vortragsreihe Sicherheitstechnik im Detail - Sicherheitseinrichtung - Signaturerstellung - JSON Web Signaturen (JWS) Standard - Beleg und Datenerfassungsprotokoll (DEP) technisch - Mustercode Beispiele - Prüfroutinen von ZTP - WebService zu Finanz-Online

43 43 weitere Informationen unter

44 Besten Dank für Ihre Aufmerksamkeit! Haben Sie noch Fragen? 44

45 ALLGEMEINES WOLFGANG PRENTNER 1. Promotion an der TU Wien, IT-Security Bereich 2. Gerichtssachverständiger 3. IT-Ziviltechniker, staatlich befugt & beeidet 4. IT-Sicherheitsberater der WKO Sparte Handel zur RKSV 5. IT-Sicherheitsberater der Wirtschaft und Behörden 6. Haftung für Beratungs- und Prüftätigkeiten 7. Größte österreichische ZT-Sachverständigengesellschaft 45