Was hat Compliance mit Kryptographie zu tun?

Transkript

1 Was hat Compliance mit Kryptographie zu tun? Stuttgart, 24. Juni 2010 Mit dem Mainframe in die Zukunft? Aber sicher! Alina Mot, Empalis GmbH

2 Was hat Compliance mit Kryptographie zu tun? Agenda Compliance Kryptographie Was ist Compliance? Was ist Kryptographie? Compliance gestern und heute Kryptographie gestern und heute Compliance Anforderungen in der IT Kryptographie Anforderungen Was hat Compliance mit Kryptographie zu tun? Gemeinsame Anforderungen Compliance und Kryptographie Statistik Compliance und Kryptographie in der Praxis Empalis GmbH 2

3 Was ist Compliance? Quelle: Empalis GmbH 3

4 Was ist Compliance? Einhaltung von gesetzlichen Richtlinien, unternehmensinternen sowie vertraglichen Regelungen, Standards und Referenzmodelle, sowie freiwilligen Partner Vereinbarungen und Vorschriften BDSG, SigG, TKM/TKV, GDPdU, HGB, TMG, GwG, KwG... StGB, SGB, AsiG, UrhG, KonTraG, SOX, Basel II, FINRA... ZKA Vereinbahrungen, PCIDSS, EMV ISO 27001, ISO 9000, ITIL, CobiT/COSO, MaRisk... Unternehmensinterne Richtlinien, Partner Vereinbarungen und Vorschriften Empalis GmbH 4

5 Compliance gestern Strategie Controlling Richtlinien Rechnungswesen Prozesse Applikationen Netzwerk und Technik Empalis GmbH 5

6 Compliance heute Strategie Richtlinien Controlling Rechnungswesen Prozesse Applikationen Netzwerk und Technik Empalis GmbH 6

7 Compliance heute Strategie Richtlinien Controlling Rechnungswesen Prozesse Applikationen Netzwerk und Technik Empalis GmbH 7

8 Compliance Anforderungen in der IT Anforderungen zur Informationssicherheit Datensicherheit Datengeheimhaltung Daten Integrität Datenzugriff Datenaufbewahrung Verfügbarkeit Transaktionsverlauf Kryptographische Verfahren Empalis GmbH 8

9 Compliance Anforderungen in der IT Was passiert, wenn die Anforderungen eingehalten / erfüllt werden? Compliance erreicht Risikominderung Zertifizierungen möglich Bonitätsgewinn Image Gewinn Minderung der Versicherungsprämien Positive Auftragsentwicklung Empalis GmbH 9

10 Compliance Anforderungen in der IT Was passiert, wenn die Anforderungen NICHT eingehalten / erfüllt werden? Compliance nicht Compliance erreicht erreicht Weiterhin hohes Risikominderung Risiko Zertifizierungen nicht möglich Bonitätsgewinn Bonitätsverlust Image Gewinn Verlust Minderung teuere der Versicherungsprämien Auftragsverlust Positive Auftragsentwicklung Geld- und Freiheitsstrafen Empalis GmbH 10

11 Was ist Kryptographie? Wissenschaft der Verschlüsselung von Informationen, um Daten gegen fremdes Ausspähen zu schützen... Empalis GmbH 11

12 Kryptographie gestern Hieroglyphen Skytale Caesar-Verschlüsselung Vigenère-Verschlüsselung Enigma 3000 v.chr. 500 v.chr. 50 v.chr n.chr n.chr. Empalis GmbH 12

13 Kryptographie heute symmetrisch asymmetrisch Empalis GmbH 13

14 Kryptographie Anforderungen Anforderungen zur Datensicherheit Datengeheimhaltung / Datenschutz Daten Integrität Datenzugriff Authentizität / Fälschungsschutz Verbindlichkeit / Nichtabstreitbarkeit offenes kryptographisches Verfahren Sicheres Key-Management-System Empalis GmbH 14

15 Compliance und Kryptographie Anforderungen in der IT Compliance Anforderungen zur Kryptographie Anforderungen zur Informationssicherheit Datensicherheit Datensicherheit Datengeheimhaltung / Datenschutz Datengeheimhaltung / Datenschutz Daten Integrität Daten Integrität Datenzugriff Datenzugriff Authentizität / Fälschungsschutz Datenaufbewahrung Verbindlichkeit / Nichtabstreitbarkeit Verfügbarkeit offenes kryptographisches Verfahren Transaktionsverlauf Performance Kryptographische Verfahren Sicheres Key-Management-System Empalis GmbH 15

16 Compliance und Kryptographie Statistik Warum sollen sensible Daten verschlüsselt werden? Zur Einhaltung von gesetzlichen Datenschutz- und Sicherheitsbestimmungen Zur Einhaltung der eigenen Datenschutz Regeln und Security-Policies Zum Schutz von eigene Marke und Image Zur Vermeidung von Datenpannen und Datenmissbrauch Zur Vermeidung einer anschließend notwendigen Presse- Benachrichtigung Quelle: TecChannel Empalis GmbH 16

17 Compliance und Kryptographie in der Praxis Homebanking Webshop Secure Communication mit dem Einsatz vom FLAM Storage / Datenbanken Verschlüsselung Das neue Personalausweis (npa) im ecommerce und egovernment Die elektronische Gesundheitskarte (egk) Empalis GmbH 17

18 Homebanking Karteninhaber Online-Banking BDSG, SigG, TKM/TKV, GDPdU,... ZKA, EMV, PCIDSS... Kontoführendes Institut (Autorisierer) Strategie Richtlinien Controlling Rechnungswesen Prozesse 1. Anmeldung (PIN Eingabe) SSL Internet SSL Applikationen Netzwerk und Technik Auftragsdaten 2. TAN Generierung Telefon Verschlüsselte Kommunikation 3. TAN & Überweisungsdaten Versand SMS Gateway 4. TAN Eingabe 5. TAN Prüfung / Autorisierung 6. Empfangsbestätigung Empalis GmbH 18

19 Webshop Karteninhaber Online-Shoping TMG, BDSG, SigG, GDPdU,... ZKA, EMV, PCIDSS... Webshop SSL Internet SSL Kontoführendes Institut Online Zahlungsservice (Autorisierer) Strategie Strategie Richtlinien Controlling Rechnungswesen Richtlinien Controlling Rechnungswesen Prozesse Prozesse Applikationen Applikationen Netzwerk und Technik Netzwerk und Technik Empalis GmbH 19

20 Secure Communication mit dem Einsatz vom FLAM * BDSG, SigG, GDPdU, TMG... EMV, PCIDSS FLAM Krypto symmetrisch asymmetrisch FLAM *) Frankenstein-Limes-Access-Method Empalis GmbH 20

21 Storage Verschlüsselung HGB, BDSG, SigG, GDPdU,... Karteninhaber TSM Client TSM Server PCIDSS, Interne Regelungen,... File-System App 1 App 2... App n SSL VTL / Disk Tape Libraries DKMS / TKLM / TEMS Empalis GmbH 21

22 Das neue Personalausweis im ecommerce und egovernment npa mit Chip ab 1.Nov 2010 Strategie Richtlinien Controlling Rechnungswesen Prozesse Applikationen Netzwerk und Technik PauswG, Geburtsurkunden BDSG, SigG, SigV, SGB, Grundbuchführung... evoting Empalis GmbH 22

23 Die elektronische Gesundheitskarte (egk) VPN Broker Services Fachdienste VPN VPN VPN VPN GMG, BDSG, SigG, SigV, SGB,... Gematik interne Regelungen,... VPN Empalis GmbH 23

24 Kryptographische Systemarchitektur SE HMC ISPF weitere KGUP PPINIT utilities FLAM CPACF CKDS ICSF MK 4764 TKE MK CEX2 / CEX3 PKDS TKDS DKMS RACF Key Rings MK 4764 Empalis GmbH 24

25 CEX2C / CEX3C Systemarchitektur CPACF: für hochperformante Ver-/Entschlüsselung für Clear-Key-Operations! SE / HMC: PC + entsprechende Applikationen zur Verwaltung von IBM System z Server TKE: Erlaubt das sichere Laden von DES, AES and RSA MK and operational keys DKMS: Erlaubt das sichere Verwaltung von Schlüsseln und Zertifikate sowohl in der standard Key-Storages (CKDS / PKDS) als auch in RACF Key Rings ICSF: stellt ein API zur Verfügung, um die kryptographischen Funktionen aufzurufen und Handling der Schlüssel PPINIT: Verwendet zum Initialisieren der CKDS und MK generieren KGUP: Schlüssel Verwaltung und Control Statements für KGUP Funktionen und können in Data Sets gespeichert und über ein Batch Job durchgeführt werden RACF: können Berechtigungen vergeben / gesetzt werden Empalis GmbH 25

26 Wenn die Basis fehlt Strategie Richtlinien Controlling Rechnungswesen Prozesse Applikationen Netzwerk und Technik Empalis GmbH 26

27 Wenn die Basis fehlt Strategie Richtlinien Controlling Rechnungswesen Prozesse Applikationen Netzwerk und Technik Empalis GmbH 27

28 Wenn die Basis fehlt...muss eine neue Basis her Strategie Controlling Prozesse Richtlinien Rechnungswesen Applikationen Lassen Sie es nicht so weit kommen! Netzwerk und Technik Empalis GmbH 28

29 Fragen? Fragen? Fragen? Empalis GmbH 29

30 Ihr Ansprechpartner: Vielen Dank! Alina Mot Senior IT-Beraterin Empalis GmbH Wankelstr Stuttgart Tel: Fax: Mobil: Empalis GmbH 30

31 Abkürzungen CPACF DKMS FLAM ICSF ISPF KGUP PPINIT RACF SE TEMS TKE TKLM CP Assist for Cryptographic Function Distributed Key Management System Frankenstein Limes Access Method Integrated Cryptographic Service Facility Interacted System Productivity Facility Key Generating Utility Programm PassPhrase Initialisation Ressource Access Control Facility Support Element Thales Encryption Manager for Storage Trusted Key Entry Tivoli Key Lifecycle Management Empalis GmbH 31