Maintenance & Re-Zertifizierung

Transkript

1 Zertifizierung nach Technischen Richtlinien Maintenance & Re-Zertifizierung Version 1.2 vom

2 Bundesamt für Sicherheit in der Informationstechnik Postfach Bonn Tel.: Internet: Bundesamt für Sicherheit in der Informationstechnik 2009

3 Inhaltsverzeichnis Inhaltsverzeichnis 1 Hintergrund Zielsetzung Rahmenbedingungen Anwendbarkeit Relevante vs. Nicht relevante Änderungen Änderungsdokumentation und -anzeige Ablauf Maintenance und Re-Zertifizierung Initiale Prüfung und Zertifizierung Bewertung der Änderungen Maintenance Re-Zertifizierung...11 Bundesamt für Sicherheit in der Informationstechnik 3

4

5 Hintergrund 1 1 Hintergrund Ein vom Bundesamt für Sicherheit in der Informationstechnik (BSI) erteiltes Zertifikat nach Technischen Richtlinien (TR) ist ausschließlich für die im Rahmen der Konformitätsprüfung untersuchte Version eines IT-Produkts oder -Systems gültig. Werden an einem zertifizierten IT-Produkt oder -System Änderungen vorgenommen, entstehen neue Versionen, für die das erteilte Zertifikat keine Gültigkeit mehr besitzt. Um ein Zertifikat zu erweitern, muss prinzipiell jede neue Version einer erneuten Prüfung und Zertifizierung unterzogen werden. Insbesondere bei IT-Produkten oder -Systemen, die über kurze Release-Zyklen verfügen oder häufig aktualisiert werden (Update/Patch/Hotfix/...), stellt die hohe Anzahl an Versionsänderungen im Rahmen der Zertifizierung ein großes Problem dar. Dies gilt auch für Änderungen, die für die TR-Konformität prinzipiell keine Relevanz besitzen, aber wegen unzureichender Modularisierung des IT-Produkts oder -Systems nicht klar von TRrelevanten Anteilen separiert werden können. Neben dem Interesse der Hersteller, die Gültigkeit eines Zertifikats nach TR möglichst zeitnah auf Folgeversionen ihrer IT-Produkte oder -Systeme auszuweiten, kommen oftmals auch gesetzliche Vorgaben, welche für bestimmte Anwendungsbereiche einen stetigen Nachweis der Konformität erfordern, hinzu. Bundesamt für Sicherheit in der Informationstechnik 5

6 2 Zielsetzung 2 Zielsetzung Maintenance und Re-Zertifizierung sind Verfahren, die zur Anwendung kommen sollen, wenn ein bereits zertifiziertes IT-Produkt oder -System verändert wird. Ziel dieser Verfahren ist es, den notwendigen Aufwand zum Erhalt eines Zertifikats bei Produktveränderungen so gering wie möglich zu halten und diesen Vorgang damit schnell und kostengünstig zu gestalten. Dabei sind zunächst folgende grundlegende Anforderungen umzusetzen: Die TR-Konformität eines IT-Produkts oder -Systems und dessen Folgeversionen ist stetig nachzuweisen. Jede Änderung an einem zertifizierten IT-Produkt oder -System ist gegenüber dem BSI anzuzeigen. Es wird zwischen für die TR-Konformität relevanten und nicht relevanten Änderungen unterschieden. 6 Bundesamt für Sicherheit in der Informationstechnik

7 Rahmenbedingungen 3 3 Rahmenbedingungen 3.1 Anwendbarkeit Maintenance und Re-Zertifizierung sind im Vergleich zur (Erst-) Zertifizierung vereinfachte Verfahren, die teilweise oder sogar vollständig auf eine Konformitätsprüfung durch eine akkreditierte Prüfstelle verzichten. Um sicherstellen zu können, dass sich ein IT-Produkt oder -System über eine längere Zeitspanne konform zu einer TR verhält, ist die Durchführung einer vollständigen Konformitätsprüfung in regelmäßigen Intervallen jedoch unverzichtbar. Aus diesem Grund sind die Verfahren Maintenance und Re-Zertifizierung nur innerhalb eines Zeitraums von maximal 24 Monaten nach einer vollständigen Konformitätsprüfung anwendbar. Sind seit der letzten vollständigen Prüfung mehr als 24 Monate vergangen, ist mit der nächsten Änderung grundsätzlich eine erneute vollständige Konformitätsprüfung durchzuführen. 3.2 Relevante vs. Nicht relevante Änderungen Die Entscheidung, ob bei Produktänderungen ein Maintenance- oder Re-Zertifizierungsverfahren durchzuführen ist, hängt von der Art der Änderungen ab. Hier gilt es zwischen relevanten und nicht relevanten Änderungen zu differenzieren. Eine Änderung gilt in diesem Kontext als relevant, wenn sie die im Rahmen der Konformitätsprüfung geprüfte Funktionalität eines zertifizierten IT-Produkts oder -Systems betrifft und eine Beeinflussung der TR-Konformität nicht ausgeschlossen werden kann. Die zu prüfenden Funktionen bzw. Komponenten eines IT-Produkts oder -Systems werden dabei von der jeweiligen TR oder der zugehörigen Prüfspezifikation festgelegt. Betrifft eine Änderung Funktionen bzw. Komponenten eines IT- Produkts oder -Systems, die nicht Gegenstand der Konformitätsprüfung sind, und ist eine Beeinflussung der TR-Konformität durch die Änderung nachweislich ausgeschlossen, gilt diese als nicht relevant. Wurden an einem zertifizierten IT-Produkt oder -System relevante Änderungen vorgenommen, ist zur Aufrechterhaltung der TR-Konformität ein Re-Zertifizierungsverfahren durchzuführen. Nicht relevante Änderungen erfordern die Durchführung eines Maintenanceverfahrens. Bundesamt für Sicherheit in der Informationstechnik 7

8 3 Rahmenbedingungen 3.3 Änderungsdokumentation und -anzeige Um die Gültigkeit eines Zertifikats nach TR auf Folgeversionen eines IT-Produkts oder -Systems zu erweitern, sind sämtliche Änderungen vom Hersteller zu dokumentieren und dem BSI gegenüber anzuzeigen. Die zu erstellende Änderungsdokumentation muss dabei folgende Aspekte abdecken: Sämtliche vorgenommenen Änderungen sind zu beschreiben. Es ist zu bewerten, ob die vorgenommenen Änderungen Einfluss auf die TR-Konformität haben ( Auswirkungsanalyse) und ggf. zu begründen, warum es sich um nicht relevante Änderungen handelt ( Argumentation auf Basis der vorgenommenen Änderung oder Beschreibung von Tests, mit denen die Aufrechterhaltung der Konformität sichergestellt wurde). Der Hersteller muss erklären, dass sämtliche Änderungen dem BSI gegenüber angezeigt wurden ( Herstellererklärung). Eine unzureichende oder unvollständige Änderungsdokumentation und -anzeige führt nicht nur zu unnötigen Verzögerungen im Verfahrensablauf. Insbesondere im Rahmen des Maintenanceverfahrens wird die Aussage zur TR-Konformität eines IT-Produkts oder -Systems allein auf Grundlage dieser Dokumente getroffen. Werden hier wiederholt Mängel festgestellt, werden seitens des BSI entsprechende Maßnahmen ergriffen. Dies kann z.b. bis zum vorübergehenden Ausschluss eines Herstellers von der Teilnahme am Maintenanceverfahren führen. 8 Bundesamt für Sicherheit in der Informationstechnik

9 Ablauf Maintenance und Re-Zertifizierung 4 4 Ablauf Maintenance und Re-Zertifizierung Abbildung 1 zeigt eine Übersicht über den Ablauf der Verfahren Maintenance und Re- Zertifizierung. Initiale Prüfung Bestanden? Zertifizierung & Veröffentlichung Rollout Nein Update nötig? Nein Änderung /Patch und Dokumentation Nein Initiale Prüfung nicht älter als 24 Monate? Bestanden? Re-Zertifizierung Nein Keine geprüfte Funktionalität betroffen? = Aktion/Entscheidung des BSI/der Prüfstelle = Aktion/Entscheidung des Herstellers/Antragstellers Nein Maintenance durch BSI bestätigt? Abbildung 1: Ablauf Maintenance & Re-Zertifizierung Anzeige 'Maintenance' beim BSI Rollout (Betrieb auf eigene Verantwortung 4.1 Initiale Prüfung und Zertifizierung Im Rahmen der (Erst-) Zertifizierung eines IT-Produkts oder -Systems wird von einer vom BSI akkreditierten Prüfstelle eine initiale (vollständige) Konformitätsprüfung auf Grundlage der zur TR gehörigen Prüfspezifikation durchgeführt. Nach erfolgreicher Prüfung erfolgt die Zertifizierung durch das BSI. Die Zertifizierungsergebnisse insbesondere die zertifizierte(n) Version(en) eines IT-Produkts oder Systems werden nach erfolgreichem Abschluss des Verfahrens auf den Internetseiten des BSI veröffentlicht. Bedarfsträger bzw. Kunden sind dadurch im Stande zu kontrollieren, ob das von ihnen erworbene IT-Produkt oder -System tatsächlich der nach TR zertifizierten Version entspricht. Das Verfahren der Zertifizierung nach Technischen Richtlinien ist in der entsprechenden vom BSI veröffentlichten Verfahrensbeschreibung ausführlich dokumentiert. Bundesamt für Sicherheit in der Informationstechnik 9

10 4 Ablauf Maintenance und Re-Zertifizierung 4.2 Bewertung der Änderungen Müssen an einem zertifizierten IT-Produkt oder -System Änderungen (Update/Patch/Hotfix/...) vorgenommen werden, so ist dies grundsätzlich möglich. Planung, Entwicklung, Test, Dokumentation und Rollout von Änderungen erfolgen gemäß dem beim Hersteller etablierten Prozess. Um ein Zertifikat nach TR auf eine geänderte Version eines IT-Produkts oder -Systems zu erweitern, ist zunächst zu prüfen, ob die grundlegenden Rahmenbedingungen für die Anwendbarkeit der Verfahren Maintenance und Re-Zertifizierung gegeben sind (siehe Kap. 3.1). Ist dies der Fall, werden sämtliche Änderungen durch den Hersteller hinsichtlich ihrer Relevanz für die TR-Konformität bewertet (siehe Kap. 3.2). Basierend auf den Ergebnissen dieser Bewertung entscheidet der Hersteller eigenständig, ob beim BSI die Durchführung eines Maintenance- oder Re-Zertifizierungsverfahrens zu beantragen ist. 4.3 Maintenance Stuft der Hersteller die vorgenommenen Änderungen als für die TR-Konformität nicht relevant ein, kann das Maintenanceverfahren angewandt werden. Hierzu sind die Änderungen zu dokumentieren und dem BSI bei der Antragstellung anzuzeigen (siehe Kap. 3.3). Zeitgleich kann der Hersteller mit dem Rollout des geänderten IT-Produkts oder -Systems beginnen. Im Falle nicht relevanter Änderungen gilt das geänderte IT-Produkt oder -System bereits unmittelbar nach Anzeige beim BSI weiterhin als zertifiziert. Das BSI behält sich jedoch ein Review der eingereichten Dokumentation vor und führt Überprüfungen durch. Stimmt das BSI im Zuge einer solchen Überprüfung der Änderungsbewertung eines Herstellers nicht zu, kann nachträglich eine Re-Zertifizierung gefordert werden. Aus diesem Grund erfolgen Rollout und Betrieb des geänderten IT-Produkts oder -Systems bis zur Veröffentlichung der neuen Versionsstände auf den Internetseiten des BSI zunächst in eigener Verantwortung. 10 Bundesamt für Sicherheit in der Informationstechnik

11 Ablauf Maintenance und Re-Zertifizierung Re-Zertifizierung Kann durch die vorgenommenen Änderungen eine Beeinflussung der TR-Konformität nicht ausgeschlossen werden, ist ein Re-Zertifizierungsverfahren durchzuführen. Das BSI entscheidet hier auf Basis der vom Hersteller eingereichten Dokumentation (siehe Kap. 3.3), inwieweit eine erneute Konformitätsprüfung von einer akkreditierten Prüfstelle durchzuführen ist. Hat das IT-Produkt oder -System grundlegende Änderungen erfahren, kann eine vollständige Wiederholung der Konformitätsprüfung notwendig sein. Andererseits können relevante Änderungen geringeren Umfangs lediglich die erneute Durchführung einiger weniger Tests bzw. Prüffälle erfordern. Welche Teile der Prüfung bei einer Re-Zertifizierung relevant sind, wird vom BSI, ggf. unter Einbeziehung der Prüfstelle, bestimmt. Im Falle relevanter Änderungen gilt das geänderte IT-Produkt oder -System grundsätzlich erst nach Durchführung einer Re-Zertifizierung als zertifiziert. Bundesamt für Sicherheit in der Informationstechnik 11