Matthias Meier, Bettina Wilhelm, René Fankhauser, Reto Allemann. In Bearbeitung / in Review / Freigegeben

Transkript

1

2 Dokumenten-Kontrollblatt Dokumenten-Kontrollblatt Inhalt Betriebskonzept KMC-CH Ersteller Matthias Meier, Bettina Wilhelm, René Fankhauser, Reto Allemann Wordprozessor Microsoft Word 2010 Filename 09_CKM_Betriebskonzept_KMC_CH_V13.doc Status des Dokuments In Bearbeitung / in Review / Freigegeben Verteiler KMC-CH, I-AT-ZBF, BAV Änderungsnachweise Version Datum Ersteller Änderungshinweise X M. Meier Erstellung des Dokuments Erklärungen zum Prozessdiagramm: Schlüsselinstallation für Neufahrzeug auf LBL X M. Meier Umbenennung des Dokumentes in Betriebskonzept KMC-CH. Wiederaufnahme der Arbeit am Dokument. X M. Meier Wiederaufnahme der Arbeit am Dokument; Komplette Überarbeitung des Dokuments. Freigabe für KMC-CH-internen Review. X M. Meier Einarbeitung der KMC-CH internen Reviewkommentare. Integration der SF-Vorgaben in das vorliegende Dokument. X B. Wilhelm Einarbeiten Reviewkommentare gemäss rv_09_ckm_betriebskonzept_kmc_ch_x0_4_ alle.doc V B. Wilhelm Freigabe X R. Fankhauser Einarbeitung Prozesse mit Prorität 1 gemäss Workshop-Protokoll P_100810_CKM_WS.pdf in Kapitel 3.7. V R. Fankhauser Freigabe V R. Allemann Einarbeitung Reviewkommentare von BAV Betriebskonzept KMC-CH bei SBB Seite 2 / 34

3 Inhaltsverzeichnis Inhaltsverzeichnis 1 Einleitung Hintergrund des Managements Zweck dieses Dokuments Adressatenkreis dieses Dokuments Begriffe 7 2 Organisation Organisatorisches Umfeld Erklärung des Entity Relationship Modells Umfeld des KMC-CH Organisation des KMC-CH Organisatorische Einbettung des KMC-CH Stellen des KMC-CH und deren AVK Gremien EEIG ERTMS KMS Users Group Corridor A KMS Working Group Weitere Gremien 11 3 Prozesse Vorbemerkungen Übersicht: Prozessmatrix Schlüsselflüsse Erlaubter Schlüsselfluss für die Schweiz Erlaubte Schlüsselflüsse auf dem Korridor A Makroskopische Prozessebene Korridore Schlüsselneuinstallation - Korridor A Schlüsselwechsel - Korridor A Massnahmen bei Schlüsselkompromittierung Korridor A Schlüssellöschung Korridor A Vereinbarung von Transportschlüsseln mit Partner-KMC Mesoskopische Prozessebene Alle Strecken in der Schweiz Schlüsselneuinstallation ganze CH Schlüsselwechsel ganze CH Massnahmen bei Schlüsselkompromittierung ganze CH Schlüssellöschung ganze CH ETCS-ID- & Schlüssel-Verwaltung Vereinbarung von Transportschlüsseln mit KDC eines EVU 19 Betriebskonzept KMC-CH bei SBB Seite 3 / 34

4 Inhaltsverzeichnis 3.6 Mikroskopische Prozessebene Einzelne Strecke in der Schweiz Legende Schlüsselneuinstallation NBS Schlüsselneuinstallation - LBL Schlüsselwechsel NBS Schlüsselwechsel LBL Massnahmen bei Schlüsselkompromittierung NBS Massnahmen bei Schlüsselkompromittierung LBL Schlüsseldeinstallation NBS Schlüsseldeinstallation LBL Vereinbarung von Transportschlüsseln mit KDC eines IM Aktuelle Prozesse Vereinbarung von Transportschlüsseln Halterwechsel von Fahrzeugen Fahrzeug wechselt KMC Schlüssellieferung durch Home-KMC 27 4 Security Grund für eine Security Policy KMC-CH Security Policy Korridor A Security Policy 28 5 Vorgaben der Systemführerschaft ETCS 29 6 Prozesstooling Einleitung KM4E ITIL 30 7 Risk Management 31 8 Wissensmanagement 32 A Appendix A 33 A.1 Erklärung der zur Erstellung des Entity Relationship Modells verwendeten Modellierungsmethode 33 Betriebskonzept KMC-CH bei SBB Seite 4 / 34

5 Abkürzungen Abkürzungen AVK BAV CKM EEIG ERM ERTMS ETCS ETCS-ID EVC EVU Home-KMC IM ITIL KDC K-KMC KM KM4E KMAC KMC KMC-CH KMS KTRANS LBL NBS OBU RBC RFC Aufgaben / Verantwortung / Kompetenz Bundesamt für Verkehr Crypto Management European Economic Interest Group: Europäische Gruppe, welche die Interessen einer bestimmten europäischen Industrie im institutionellen Rahmen der Europäischen Union vertritt Entity Relationship Model European Rail Traffic Management System European Train Control System Eine Zahl, mit der eine ETCS-Entität eindeutig gekennzeichnet wird. European Vital Computer: ETCS-Fahrzeugcomputer Eisenbahnverkehrsunternehmen KMC, dem ein EVU oder IM aus Sicht Management zugeordnet ist. Infrastrukturmanager IT Infrastructure Library: Sammlung von Good Practices in einer Reihe von Publikationen für eine mögliche Umsetzung eines IT-Service-Managements Distribution Center: Stelle, welche für die Schlüsselinstallation auf den Fahrzeugen oder auf dem RBC verantwortlich ist Transportschlüssel zwischen 2 KMC Management Software-Tool zur Schlüsselverwaltung und übermittlung: Management for ETCS Schlüssel der von OBU und RBC zur gegenseitigen Authentifizierung verwendet wird Management Center Management Center Schweiz Management System Transportschlüssel zwischen KMC und KDC Lötschbergbasislinie Neubaustrecke Mattstetten-Rothrist inkl. Ausbaustrecke Wanzwil-Solothurn On Board Unit: fahrzeugseitige ETCS-Ausrüstung Radio Block Center: Streckenzentrale, übermittelt dem Fahrzeug die ETCS- Fahrerlaubnis sowie weitere Informationen Request for Change Betriebskonzept KMC-CH bei SBB Seite 5 / 34

6 Referenzen Referenzen [1] KMC-CH Security Policy V1.1 (öffentliches Dokument) [2] ETCS-Systemführerschaftsvertrag zwischen BAV und SBB [3] KMC-CH Risikomanagement EXCEL-Tabelle (KMC-CH-internes Dokument) [4] UNISIG, Subset-038, Off-line Management FIS, V [5] User s Guide for KM4E, Version 1.0 [6] SBB: KMC-CH Security Policy, KMC_CH_Sec_Pol_V1_1, Version 1.1, [7] SBB: Crypto Management (CKM) Vorgaben an Fahrzeuge und Stecken, 08_SF_CKM_Vorgaben_SF_V1.4, Version 1.4, Betriebskonzept KMC-CH bei SBB Seite 6 / 34

7 Einleitung 1 Einleitung 1.1 Hintergrund des Managements Aus Sicherheitsgründen wurde bei der Spezifikation von ETCS Level 2 entschieden, dass beim Verbindungsaufbau für die Fahrt auf Level 2-Strecken sich die Fahrzeuge und Strecken gegenseitig als zur Kommunikation berechtigte Instanzen authentifizieren müssen Als Konsequenz aus dieser Anforderung müssen nun vorgängig zur Fahrt auf Level 2- Strecken sogenannte Crypto s auf den Level 2-Fahrzeugen und den Streckenzentralen (RBC) installiert werden Der Netzzugang wird in der Schweiz nicht über die Crypto s geregelt, da die Schlüsselinstallation auf den RBCs aufwendig und teuer ist. Muss sichergestellt werden, dass keine Fahrzeuge ohne Betriebsbewilligung auf einer Level 2-Strecke verkehren, so erfolgt dies über entsprechende Massnahmen in der Leittechnik (LBL) oder falls dies nicht möglich ist über einen Papierverschluss (NBS). 1.2 Zweck dieses Dokuments Für die Verwaltung dieser Crypto s und die Durchführung der für die Level 2- Anwendungen notwendigen Schlüsselmanagement-Betriebsprozesse wurde in der Schweiz durch SBB-Infrastruktur im Mandat für das BAV ein Management Center Schweiz (KMC-CH) gegründet Das vorliegende Dokument beschreibt die Organisation des KMC-CH, die KMC-CH- Betriebsprozesse sowie weitere für den Betrieb des KMC-CH bedeutsame Aspekte. 1.3 Adressatenkreis dieses Dokuments Adressaten dieses Dokuments sind das KMC-CH, das BAV und die Streckenbetreiber von ETCS-Level 2-Strecken in der Schweiz Nicht Adressaten dieses Dokuments sind die EVU. Den EVU können aber Auszüge des Dokuments zur Verfügung gestellt werden, wie zum Beispiel die Systemführer-Vorgaben für die EVU. 1.4 Begriffe Mit dem Begriff EVU kann immer auch ein Fahrzeughalter oder Antragssteller gemeint sein. Zur Einfachheit wird jedoch nur EVU benutzt. Betriebskonzept KMC-CH bei SBB Seite 7 / 34

8 Organisation 2 Organisation 2.1 Organisatorisches Umfeld K-KMC ( ) = KMAC Abbildung 1 Entity Relationship Model zur Erklärung des Umfeldes des KMC-CH Erklärung des Entity Relationship Modells Umfeld des KMC-CH Aus dem Modell ist zu erkennen, dass das KMC-CH mit EVU, IM, KDC und Partner- KMC interagiert. Die Art der Beziehung zwischen KMC-CH und EVU, IM und KDC ist eine reine Zuordnung aus Sicht CKM. Das KMC-CH unterhält keinerlei direkte Geschäftsbeziehungen mit EVU, IM und KDC. Das KMC-CH liefert Schlüssel-Sets an die IM und EVU, welche diese dann an ihre KDC weiterleiten. Die KDC (Lieferanten oder spezialisierte Geschäftseinheiten von EVU und IM) installieren schliesslich die gelieferten Schlüsselsets auf den jeweiligen RBCs oder OBUs. Die Beziehung zwischen dem KMC- CH und den EVUs sowie zwischen dem KMC-CH und den IMs ist über die Netzzugangsbestimmungen geregelt. In den Netzzugangsbestimmungen muss die Verpflichtung zur Einhaltung und Durchsetzung der KMC-CH-Security Policy [1] enthalten sein Zwischen EVU und ihren KDC sowie zwischen IM und ihren KDC bestehen Geschäftsbeziehungen. In den jeweiligen Geschäftsverträgen muss die Verpflichtung zur Einhaltung der KMC-CH-Security Policy durch die jeweiligen KDC als Konsequenz aus den Netzzugangsbestimmungen enthalten sein Zwischen EVU und IM besteht ein Netzzugangsvertrag, welcher wiederum die Einhaltung der Netzzugangsbestimmungen voraussetzt Die Zusammenarbeit zwischen dem KMC-CH und seinen Partner-KMCs soll über bilaterale Vereinbarungen geregelt werden. Integraler Bestandteil solcher Vereinbarungen Betriebskonzept KMC-CH bei SBB Seite 8 / 34

9 Organisation wird die Verpflichtung zur Einhaltung und Durchsetzung einer internationalen Security Policy sein. Diese internationale Security Policy sollte der KMC-CH-Security Policy entsprechen Im Modell ist auch zu erkennen, dass der Schlüsselfluss, wenn dem KMC-CH aus Sicht CKM zugeordnete Entitätstypen betroffen sind, immer über das KMC-CH und EVU, respektive IM erfolgen soll. Hierfür müssen Transportschlüssel vereinbart werden, welche den KMAC während des Transports verschlüsseln. Der Schlüssel, welcher zwischen dem KMC-CH und einem Partner-KMC vereinbart wird, heisst K-KMC. Der Schlüssel, welcher zwischen dem KMC-CH und einem KDC vereinbart wird, heisst KTRANS. Die an die EVU und IM gelieferten Schlüsselsets sind mit dem KTRANS verschlüsselt. Dies bedeutet, dass bei den EVU und IM keine Gefahr der Kompromittierung des s besteht. Diese Gefahr besteht nur bei den KMC und den KDC, welche über die entsprechenden Transportschlüssel verfügen. Aus diesem Grunde müssen die KDC, welche aus Sicht CKM dem KMC-CH zugeordnet sind, der KMC-CH-Security Policy unterstellt werden Das KMC-CH bildet einen Bestandteil der ETCS-Systemführerschaft, welche wiederum einen Bestandteil der hoheitlichen Aufgaben des BAV darstellt. 2.2 Organisation des KMC-CH Organisatorische Einbettung des KMC-CH Das KMC-CH bildet einen Bestandteil der ETCS-Systemführerschaft, welche durch SBB-Infrastruktur im Mandat für das BAV wahrgenommen wird. Die Modalitäten der ETCS-Systemführerschaft sind im ETCS-Systemführerschaftsvertrag [2] zwischen BAV und SBB geregelt Personell und von der Arbeitsplatzinfrastruktur her gesehen (Büros, IT-Hilfsmittel, ) ist das KMC-CH damit innerhalb von SBB-Infrastruktur angesiedelt, konkret per innerhalb der Geschäftseinheit Zugbeeinflussung Die durch das KMC-CH wahrgenommenen Aufgaben haben jedoch hoheitlichen Charakter. Aus Sicht AVK ist das KMC deshalb direkt der Systemführerschaft ETCS und indirekt dem BAV hierarchisch unterstellt. BAV Systemführerschaft ETCS-CH (Repräsentant: Systemführer) KMC-CH Leiter des KMC-CH Manager des KMC- CH Vertreter des KMC-CH in KM-Gremien Abbildung 2 Organisationsschema des KMC-CH. Betriebskonzept KMC-CH bei SBB Seite 9 / 34

10 Organisation Anmerkung: Es ist wichtig, zu erkennen, dass der Leiter des KMC-CH in seiner KMC- CH-spezifischen Funktion nicht seinem Linienvorgesetzten innerhalb von SBB- Infrastruktur unterstellt ist Ausnahme: Der Linienvorgesetzte nimmt gleichzeitig auch die Rolle des Repräsentanten der ETCS-CH-Systemführerschaft wahr Stellen des KMC-CH und deren AVK Das KMC-CH verfügt über 3 Stellen mit spezifischen AVK, welche aus Sicht Wissensmanagement optimalerweise durch 3 unterschiedliche Personen wahrgenommen werden Stelle 1: Leiter des KMC-CH Der Leiter des KMC-CH ist verantwortlich für die folgenden Punkte: - Überwachung und Steuerung des KMC-CH-Betriebs - Finanzplanung des KMC-CH - Personalplanung des KMC-CH - Ausbildung von neuen KMC-CH Mitarbeitern - Planung und Führung des KMC-CH Risk Management Prozesses inklusive Information der potentiell von Risikokosten betroffenen Instanzen und Vorschlag von risikominimierenden Massnahmen, falls solche Massnahmen existieren - Sicherstellung der Dokumentation des jeweils aktuellen Standes der KMC-CH internen Betriebsprozesses - Entscheid über Engagement in europäischen KM-Gremien Stelle 2: Manager des KMC-CH Der Operateur des KMC-CH ist verantwortlich für die folgenden Punkte: - Schlüsselverwaltung (Generierung, Mutation und Löschung von Schlüsseln) - Austausch von Schlüsseln mit den Partner-KMCs des KMC-CH - Lieferung von Schlüsseln an die KDCs des KMC-CH - Operative Wahrnehmung von Schlüsselverwaltungsmandaten (proaktive Betreuung der Kunden des KMC-CH) Stelle 3: Vertreter des KMC-CH in KM-Gremien - Mitarbeit im Gremium Management for Corridor A gemäss Entscheid des Leiters des KMC-CH - Mitarbeit im Gremium EEIG ERTMS KMS Users Group gemäss Entscheid des Leiters des KMC-CH - Sicherstellung der Information der anderen Mitarbeiter des KMC-CH über neue Entwicklungen im europäischen Umfeld und neue Erkenntnisse aus der Gremienarbeit - Überwachung der Weiterentwicklung der KM-relevanten Normen Betriebskonzept KMC-CH bei SBB Seite 10 / 34

11 Organisation 2.3 Gremien EEIG ERTMS KMS Users Group Ziel der EEIG ERTMS KMS Users Group ist die Verbesserung des KMS in der Zukunft durch Weiterentwicklung der relevanten Normen. Verbesserungen können zum Beispiel durch eine Erhöhung der Crypto-Sicherheit oder durch eine Reduktion der Kosten für das KM erfolgen Corridor A KMS Working Group Ziel der Korridor A KMS Working Group ist die Optimierung der betrieblichen Aspekte des KM auf dem Korridor A für den jeweils gegebenen Normenstand des KMS [4]. In dieser Gruppe werden also die KM-Betriebsprozesse für den Korridor A unter den gegebenen technologischen Umständen optimiert. Verbesserungsvorschläge reicht diese Gruppe bei der EEIG ERTMS KMS Users Group ein Weitere Gremien Falls sich in Zukunft weitere nationale oder internationale Gremien mit dem Thema KMS beschäftigen, ist eine Mitarbeit des KMC-CH zu prüfen. Betriebskonzept KMC-CH bei SBB Seite 11 / 34

12 Prozesse 3 Prozesse 3.1 Vorbemerkungen Nicht alle der im Folgenden aufgelisteten Prozesse der verschiedenen Prozessebenen werden in der Version V1.3des vorliegenden Dokuments detailliert spezifiziert. Eine vollständige Spezifikation aller Prozesse hätte hohe Zusatzkosten für die Erstellung des Betriebskonzeptes zur Folge. Es ist die Absicht des Autors, dass zum Zwecke der Vollständigkeit alle bekannten CKM-Prozesse zumindest mit ihrem Titel hier aufgeführt werden. Eine Detailspezifikation der noch nicht spezifizierten Prozesse soll in Zukunft im Rahmen der Weiterentwicklung des vorliegenden Betriebskonzepts bedarfsorientiert durch den Leiter des KMC-CH beauftragt werden Im Folgenden wird auf der makroskopischen Ebene nur der Korridor A betrachtet, da der Korridor A auf absehbare Zeit den mit Abstand wichtigsten ETCS-Korridor für die Schweiz darstellt. Die Betrachtungen für den Korridor A sind aber generell für internationale ETCS-Korridore anwendbar. 3.2 Übersicht: Prozessmatrix Abbildung 3 KMC-CH Prozessmatrix Die obige Prozessmatrix stellt eine Übersicht über die KMC-CH Betriebsprozesse dar. Es handelt sich um die Betriebsprozesse: - Schlüssel-Neuinstallation - Schlüssel-Wechsel - Massnahmen bei Schlüsselkompromittierung - Schlüssel-Deinstallation - ETCS-ID- & Schlüssel-Verwaltung - Vereinbarung von Transportschlüsseln Betriebskonzept KMC-CH bei SBB Seite 12 / 34

13 Prozesse Die KMC-CH-Betriebsprozesse können sich auf: - nur eine einzige Strecke in der Schweiz beziehen mikroskopische Prozessebene - auf alle Strecken in der Schweiz beziehen mesoskopische Prozessebene - auf den gesamten Korridor A oder einen Teil des Korridors A beziehen makroskopische Prozessebene In der Folge werden einzelne dieser Betriebsprozesse auf ausgewählten Prozessebenen detaillierter dargestellt. Die Prozessmodellierung im Detail ist aufwendig und wird deshalb aus Kosten- und Ressourcengründen jeweils für diejenigen Betriebsprozesse durchgeführt, bei welchen ein grosser Klärungsbedarf besteht Prozesse, welche aus Sicherheitsgründen als vertraulich zu behandeln sind, werden hier nicht beschrieben. Stattdessen wird auf das jeweilige Dokument verwiesen. 3.3 Schlüsselflüsse K-KMAC ( ) 1 2a 2b Abbildung 4 Management Schlüsselflüsse dargestellt anhand des Entity Relationship Models Erlaubter Schlüsselfluss für die Schweiz Das KMC-CH arbeitet gemäss oben dargestelltem Schlüsselfluss Nummer Das KMC-CH verbietet die Schlüsselflüsse 2a und 2b für jene EVU und IM, welche aus Sicht CKM dem KMC-CH zugeordnet sind. Dies deshalb, weil mit den aktuellen Schlüsselmanagement-Prozessen und Tools sonst das Risiko besteht, dass bestehende Schlüssel auf Fahrzeugen und RBC überschrieben werden. Betriebskonzept KMC-CH bei SBB Seite 13 / 34

14 Prozesse Erlaubte Schlüsselflüsse auf dem Korridor A Die Korridor A CKM-Expertengruppe hat sich darauf geeinigt, den Schlüsselfluss 2a auf dem Korridor A zu verbieten. Das heisst, es ist verboten, dass ein KMC des Korridors A einen Schlüssel an einen IM liefert, der aus Sicht CKM nicht auch diesem bestimmten KMC zugeordnet ist Hingegen bleibt auf Korridorebene per Januar 09 der Schlüsselfluss 2b erlaubt, abgesehen von EVU, welche aus Sicht CKM dem KMC-CH zugeordnet sind. Es ist aber im Moment erlaubt, dass zum Beispiel das KMC der Niederlande einen Schlüssel direkt an ein dem KMC-Deutschland zugeordnetes EVU liefert, falls dieses EVU auf einer Strecke in den Niederlanden fahren möchte. Betriebskonzept KMC-CH bei SBB Seite 14 / 34

15 Prozesse 3.4 Makroskopische Prozessebene Korridore Schlüsselneuinstallation - Korridor A Betriebsprozess Schlüssel-Neuinstallation makroskopische Sicht AVK KMC-CH Korridorpartner-KMC Option 1 Option 2 SCHLÜSSEL-NEUINSTALLATION CH Option 1 Option 2 Option 2 Option 1 SCHLÜSSEL-NEUINSTALLATION KORRIDOR Option 2 Option 1 SCHLÜSSEL-NEUINSTALLATION CH SCHLÜSSEL-NEUINSTALLATION KORRIDOR Abbildung 5 Schlüsselneuinstallation Korridor A Betriebskonzept KMC-CH bei SBB Seite 15 / 34

16 Prozesse Schlüsselwechsel - Korridor A Betriebsprozess: Schlüsselwechsel makroskopische Sicht AVK KMC-CH Korridorpartner-KMC SCHLÜSSEL-WECHSEL CH SCHLÜSSEL-WECHSEL Korridor Option 1 - Fahrzeuge Option 1, für KMC-CH Option 1 Korridorfahrzeuge Option 1 Fahrzeuge SCHLÜSSEL-WECHSEL CH SCHLÜSSEL-WECHSEL KORRIDOR Korridorfahrzeuge Option 2 Option 1 Option 1 Option 2 Korridorfahrzeuge 1) Bei Option 2 Fahrzeugen: Schlüsselwechsel nur für die ihm zugeordneten RBCs zulässig (Subset-038, Kapitel 8). Abbildung 6 Schlüsselwechsel Korridor A Betriebskonzept KMC-CH bei SBB Seite 16 / 34

17 Prozesse Massnahmen bei Schlüsselkompromittierung Korridor A Detailspezifikation des Prozesses erfolgt bei Beauftragung durch den Leiter des KMC- CH in einer zukünftigen Version des Dokuments Schlüssellöschung Korridor A Detailspezifikation des Prozesses erfolgt bei Beauftragung durch den Leiter des KMC- CH in einer zukünftigen Version des Dokuments Vereinbarung von Transportschlüsseln mit Partner-KMC Detailspezifikation des Prozesses erfolgt individuell zwischen den beiden Partnern. Sollte sich in Zukunft ein einheitlicher Standardprozess etablieren, so wird dieser in einer zukünftigen Version des Dokuments abgebildet. Betriebskonzept KMC-CH bei SBB Seite 17 / 34

18 Prozesse 3.5 Mesoskopische Prozessebene Alle Strecken in der Schweiz Schlüsselneuinstallation ganze CH Trassen-Verkaufsstelle SBB/BLS EVU KMC-CH Möchte das EVU mit dem Neu-Fz in der Schweiz auf ETCS L2- Strecken verkehren? EVU beantragt Netzzugang für Neu-Fz in CH Ja EVU auf die relevanten Dokumente bezüglich der technischen Netzzugangsbestimmungen für die beantragten ETCS-L2 Strecken aufmerksam machen. Inbesondere Hinweisen auf Technische Netzzugangsbestimmungen NBS/ABS/LBL/... Kapitel 2.1 Zugsicherung Abgabe des Dokuments Anforderungen an ERTMS-Fahrzeug-Ausrüstung für den Zugang auf NBS/ABS/LBL/... an EVU Hinweisen auf Kap. 2.4 Krypto / ETCS-Identifikationsnummer Home-KMC = KMC-CH? Ja nein Kontakt mit Home-KMC aufnehmen und dem Home- KMC folgendes mitteilen: - ETCS-L2-Strecken, auf welchen gefahren werden soll im In- und Ausland - Datum, ab wann das Fahrzeug auf den L2- Strecken verkehren soll - Fahrzeugoptionen (Option 1 oder 2) Kontakt mit KMC-CH aufnehmen und dem KMC-CH folgendes mitteilen: - ETCS-L2-Strecken, auf welchen gefahren werden soll im In- und Ausland - Datum, ab wann das Fahrzeug auf den L2-Strecken verkehren soll - Fahrzeugoptionen (Option 1 oder 2) Info Home-KMC nimmt mit KMC-CH Kontakt auf KMC-CH löst nach Abtimmung mit Partner-KMC streckenseitige Schlüsselinstallations-Mikroprozesse In der Schweiz aus Schlüsselinstallation NBS/ABS Schlüsselinstallation LBL Schlüsselinstallation GBT... - KMC-CH löst streckenseitige Schlüsselinstallations-Mikroprozesse In der Schweiz aus. - KMC-CH initiiert in Abstimmung mit den Partner-KMCs die streckenseitigen Schlüsselinstallationsprozesse im Ausland - KMC-CH generiert das fahrzeugseitige Schlüsselset Schlüsselinstallation NBS/ABS Schlüsselinstallation LBL Schlüsselinstallation GBT... Initiierung von Schlüsselinstallationen auf ausländischen ETCS-L2-Strecken Nein Übermittlung des fahrzeugseitigen Schlüsselset an das EVU Generierung des fahrzeugseitigen Schlüsselsets Installation des fahrzeugseitigen Schlüsselsets via KDC Fahrzeugseitiger Schlüsselinstallationsprozess abgeschlossen Info Streckenseitiger Schlüsselinstallationsprozess abgeschlossen xor xor Info CH-Streckenseitiger Schlüsselinstallationsprozess abgeschlossen CH-Schlüsselinstallationsprozess abgeschlossen Testing des Verbindungsaufbaus und Nachweisführung gegenüber den verschiedenen Aufsichtsbehörden Abbildung 7 Schlüsselneuinstallation ganze CH Betriebskonzept KMC-CH bei SBB Seite 18 / 34

19 Prozesse Schlüsselwechsel ganze CH Detailspezifikation des Prozesses erfolgt bei Beauftragung durch den Leiter des KMC- CH in einer zukünftigen Version des Dokuments Massnahmen bei Schlüsselkompromittierung ganze CH Detailspezifikation des Prozesses erfolgt bei Beauftragung durch den Leiter des KMC- CH in einer zukünftigen Version des Dokuments Schlüssellöschung ganze CH Detailspezifikation des Prozesses erfolgt bei Beauftragung durch den Leiter des KMC- CH in einer zukünftigen Version des Dokuments ETCS-ID- & Schlüssel-Verwaltung Detailspezifikation des Prozesses erfolgt bei Beauftragung durch den Leiter des KMC- CH in einer zukünftigen Version des Dokuments Vereinbarung von Transportschlüsseln mit KDC eines EVU Detailspezifikation des Prozesses erfolgt individuell zwischen den beiden Partnern. Sollte sich in Zukunft ein einheitlicher Standardprozess etablieren, so wird dieser in einer zukünftigen Version des Dokuments abgebildet. 3.6 Mikroskopische Prozessebene Einzelne Strecke in der Schweiz Legende Ein entspricht einem logischen und Ein XOR entspricht einem logischen exclusive OR (ausschliessendes entwederoder). Betriebskonzept KMC-CH bei SBB Seite 19 / 34

20 Prozesse Schlüsselneuinstallation NBS Management Center Schweiz: IST-Prozess Schlüsselinstallation Neu-Fahrzeug auf NBS Version: V4 Datum: Ersteller: M. Meier, R. Allemann, N. Cedraschi Fremdes KMC EVU KMC-CH Alstom SBB-I EVU löst den Schlüsselinstallationsprozess aus technische Ebene ETCS_ID von Fz bekannt? Fremdes KMC KMC des Fz? KMC CH ETCS_ID von Fz bekannt? Nein Nein Ja ETCS_ID lösen ETCS_ID lösen Ja xor xor 1 Schlüssel auf Fz bereits vorhanden? Ja Anzahl Schlüssel auf Fz? Nein >1 Anfrage an KMC-CH (SS-038, 8.2) ETCS_ID ETCS_ID übernehmen Schlüssel generieren >1 Anzahl Schlüssel auf Fz? Nein 1 Schlüssel auf Fz bereits vorhanden? Ja Aus Datenbank Schlüssel kopieren Schlüssel generieren Schlüssel generieren Schlüssel generieren Aus Datenbank Schlüssel kopieren Schlüssel an fremdes KMC senden xor xor und ETCS_ID xor xor ETCS_ID und Schlüssel an KMC-CH senden xor Schlüssel- Installation auf Fz veranlassen (via KDC) Information Kenntnisnahme der fahrzeugseitigen Schlüsselinstallation Kenntnisnahme der streckenseitigen Schlüsselinstallation xor xor Schlüssel an EVU übermitteln xor Schlüssel und ETCS_IDs für RBC NBS zusammenstellen ETCS_IDs und Schlüssel an Alstom senden und Software Change Request beantragen informieren xor nok CRC ok/nok CRC ok? Schlüssel- Installation auf RBC Olten durch Software Upgrade informieren OK Information Schlüssel an EVU übermitteln Beauftragen Abnahme durchführen Schlüsselinstallation beendet technische Ebene Abbildung 8 Schlüsselneuinstallation - NBS Betriebskonzept KMC-CH bei SBB Seite 20 / 34

21 Prozesse Schlüsselneuinstallation - LBL Abbildung 9 Schlüsselneuinstallation LBL Betriebskonzept KMC-CH bei SBB Seite 21 / 34

22 Prozesse Schlüsselwechsel NBS Detailspezifikation des Prozesses erfolgt bei Beauftragung durch den Leiter des KMC- CH in einer zukünftigen Version des Dokuments Schlüsselwechsel LBL Detailspezifikation des Prozesses erfolgt bei Beauftragung durch den Leiter des KMC- CH in einer zukünftigen Version des Dokuments Massnahmen bei Schlüsselkompromittierung NBS Detailspezifikation des Prozesses erfolgt bei Beauftragung durch den Leiter des KMC- CH in einer zukünftigen Version des Dokuments Massnahmen bei Schlüsselkompromittierung LBL Detailspezifikation des Prozesses erfolgt bei Beauftragung durch den Leiter des KMC- CH in einer zukünftigen Version des Dokuments Schlüsseldeinstallation NBS Detailspezifikation des Prozesses erfolgt bei Beauftragung durch den Leiter des KMC- CH in einer zukünftigen Version des Dokuments Schlüsseldeinstallation LBL Detailspezifikation des Prozesses erfolgt bei Beauftragung durch den Leiter des KMC- CH in einer zukünftigen Version des Dokuments Vereinbarung von Transportschlüsseln mit KDC eines IM Detailspezifikation des Prozesses erfolgt individuell zwischen den beiden Partnern. Sollte sich in Zukunft ein einheitlicher Standardprozess etablieren, so wird dieser in einer zukünftigen Version des Dokuments abgebildet. Betriebskonzept KMC-CH bei SBB Seite 22 / 34

23 Prozesse 3.7 Aktuelle Prozesse Vereinbarung von Transportschlüsseln Im Moment gibt es zwei Möglichkeiten zwischen dem KMC-CH und einem anderen KMC den Transportschlüssel KRRANS zu vereinbaren: - 1a) Lieferung von Transportschlüssel von KMC-CH an anderes KMC-Y - 1b) Austausch Transportschlüssel zwischen KMC-CH und KMC-X Abbildung 10 Lieferung von Transportschlüssel von KMC-CH an anderes KMC Betriebskonzept KMC-CH bei SBB Seite 23 / 34

24 Prozesse Abbildung 11 Austausch Transportschlüssel zwischen KMC-CH und KMC-X Betriebskonzept KMC-CH bei SBB Seite 24 / 34

25 Prozesse Halterwechsel von Fahrzeugen Nachfolgend der Prozess bei einem Halterwechsel des Fahrzeuges. Prozess Halterwechsel gleiche ETCS-ID Fahrzeughalter alt Fahrzeughalter neu KDC RBC-Z KMC-alt KMC-neu KMC-Y Bemerkungen Eine ETCS-Id wechselt zu einem anderen Halter Fahrzeughalter alt informiert KMC-alt über Halterwechsel ETCS-ID XYZ Fahrzeughalter alt informiert KMC-alt über Halterwechsel ETCS-ID XYZ Übernimmt ETCS- ID XYZ von einem Fahrzeughalter Nein, Fahrzeughalter-neu informiert KMC-alt über Halterwechsel und verbleib beim KMC-alt von ETCS-ID XYZ Wenn alter Fahrzeughalter informiert über den Halterwechsel und neuer Fahrzeughalter über den Verbleib beim KMC-alt, gibt es keine weiteren Aktivitäten Erhält die ETCS-ID ein neues KMC? Ja, Fahrzeughalter-neu informiert KMC-neu über Halterwechsel von ETCS-ID XYZ zu KMC-neu Wenn Information Fahrzeughalter alt und Anforderung KMC-neu vorliegen wird das KMAC-Material für die Übergabe vorbereitet Fordert beim alten KMC bestehende Schlüssel (KMAC) an Anforderung KMAC-Material Achtung: Eventuell muss zuerst eine bilaterale Vereinbarung zwischen KMC-neu und alt erstellt werden und gemäss Prozess der Transportschlüssel KTRANS geliefert oder ausgetauscht werden. Liefert KMAC-Material Übernimmt das KMAC-Material und ist in Zukunft für alle Transaktionen zuständig KMAC und Fahrzeugdaten werden entsprechend geändert Empfangsquittung KMAC-Material Abbildung 12 Halterwechsel eines Fahrzeuges Betriebskonzept KMC-CH bei SBB Seite 25 / 34

26 Prozesse Fahrzeug wechselt KMC Nachfolgend der Prozess bei einem Wechsel des KMC s. Abbildung 13 Wechsel eines KMC s Betriebskonzept KMC-CH bei SBB Seite 26 / 34

27 Prozesse Schlüssellieferung durch Home-KMC Nachfolgend der Prozess für die Schlüssellieferung durch das Home-KMC. Prozess Schlüssellieferung durch Home-KMC Eigentümer/ Besitzer Fahrzeughalter KDC RBC-a, b und c Home-KMC (Strecke a,b,c) KMC-X (Strecke d und e) KMC-Y Bemerkungen Bestellt bei seinem Home-KMC Schlüssel für ETCS_ID XYZ um auf den Strecken a,b,c,d und e zu fahren Fahrzeughalter bestellt KMAC für Strecken a, b, c, d und e Falls die Fahrzeuge einen Lieferanten als Home- KMC haben, wird dieses Home-KMC keine eigenen Strecken verwalten (RBC-a, b und c) Liefert KMAC-Material für ETCS_ID XYZ Erzeugt KMAC- Material für ETCS_ID XYZ und Strecken a,b,c,d und e Liefert KMAC-Material für ETCS_ID XYZ für Strecken d und e Eventuell muss zuerst eine bilaterale Vereinbarung zwischen Home-KMC und KMC-X erstellt werden und gemäss Prozess der Transportschlüssel KTRANS geliefert oder ausgetauscht werden. Installiert KMAC auf dem Fahrzeug Installiert KMAC auf der/den Strecke(n) im Bereich a,b, und c Installiert KMAC auf der/den Strecke(n) im Berich KMC-X (d und e) Installationsquittung Status für KMAC nachführen Abbildung 14 Schlüssellieferung durch Home-KMC Betriebskonzept KMC-CH bei SBB Seite 27 / 34

28 Security 4 Security 4.1 Grund für eine Security Policy Um einen sicheren Umgang mit zu gewährleisten und damit die Gefahr einer Kompromittierung von so gering wie möglich zu halten, werden klare Richtlinien benötigt. Diese Richtlinien sind für all jene im Schlüsselmanagementprozess involvierte Instanzen verpflichtend, welche Zugriff auf das im Klartext haben, also über die entsprechenden Transportschlüssel verfügen Im Folgenden sollen die per Januar 09 gültigen Varianten der KMC-CH Security Policy und der Korridor A Security Policy aufgeführt werden. Ziel ist es, dass die beiden Security Policies inhaltlich abgeglichen werden. Die Korridor A Security Policy soll in überarbeiteter Form in die Interoperability Contracts integriert werden und damit bei Vertragsabschluss rechtliche Gültigkeit hinsichtlich des Rechtsverhältnisses der beiden KMC-Vertragspartner erlangen. 4.2 KMC-CH Security Policy Die Security Policy des KMC-CH ist im Dokument [6] aufgeführt. 4.3 Korridor A Security Policy s (KMAC, KTRANS and K-KMC) must not be saved or transported in plaintext form or in trivially encrypted form except after authorization by the home-kmc ( owner) s in plaintext form or in trivially encrypted form must be protected against unauthorized access The Security Policy applies to KMCs at Security Level X and to KDCs at Security Level y (x and y to be defined) The correct implementation of the above rules must be certified by a trustful authority that is organizationally independent from the KMS-entity being certified All Corridor A Crypto s are covered by the above mentioned policy over their entire lifetime. Betriebskonzept KMC-CH bei SBB Seite 28 / 34

29 Vorgaben der Systemführerschaft ETCS 5 Vorgaben der Systemführerschaft ETCS Die Anforderungen aus Sicht CKM der Systemführerschaft ETCS an die EVUs sind im Dokument [7] zusammengestellt. Betriebskonzept KMC-CH bei SBB Seite 29 / 34

30 Prozesstooling 6 Prozesstooling 6.1 Einleitung Mit Prozesstooling ist im Betriebskonzept KMC-CH erstens die Kategorisierung und das Handling der Betriebsprozesse gemäss ITIL-Spezifikation zu verstehen Zweitens: Die Automatisierung von Prozessschritten durch den Einsatz von Informationstechnologie Drittens: Die prozessuale Realisierung der KMC-CH-Security Policy durch den Einsatz von Informationstechnologie Prozessuale Realisierung der KMC-Security Policy bedeutet: die Umsetzung der KMC Security Policy innerhalb der KMC-Betriebsprozesse durch bewusste Gestaltung dieser Betriebsprozesse. 6.2 KM4E Das Tool KM4E wird gegenwärtig für gewisse KM-Betriebsprozesse verwendet Mittels des Tools werden gewisse KM-Prozessschritte automatisiert Mittels des Tools wird die KMC-CH-Security Policy in diesen Prozessschritten prozessual realisiert Das Tool KM4E und dessen Anwendung werden an dieser Stelle nicht weiter beschrieben. Stattdessen sei auf die KM4E-Bedienungsanleitung verwiesen [5] Auch die KM4E-Schnittstellenintegration wird im vorliegenden Dokument nicht behandelt. Sobald ein Dokument zu diesem Thema vorliegt, wird es an dieser Stelle referenziert. 6.3 ITIL Die Betriebsprozesse Schlüsselneuinstallation, Schlüsselwechsel, Massnahmen bei Schlüsselkompromittierung und Schlüssel- Deinstallation sind als Request for Change (RFC) gemäss ITIL-Spzifikation einzustufen Grundsätzlich könnte man die Betriebsprozesse auch als Service Request betrachten, aber da der Crypto gegenwärtig einen Bestandteil der ETCS-Software / der Data Prep darstellt, wird als Verfahren der Change Prozess des ETCS-System-Managements gewählt Der Change Prozess bedient sich der ITIL-Vorgaben Die RFC müssen noch kategorisiert werden Die Kategorisierung der RFC wird durch die Klassifizierung und Priorisierung der RFC sowie durch weitere Einflüsse bestimmt. Betriebskonzept KMC-CH bei SBB Seite 30 / 34

31 Risk Management 7 Risk Management Das KMC-CH führt einen kontinuierlichen Risk Management Prozess Erkannte Risiken werden in die KMC-CH Risikomanagement EXCEL-Tabelle [3] aufgenommen und an periodisch stattfindenden Risk Management Workshops durch das gesamte KMC-CH-Team mit Eintretenswahrscheinlichkeit und monetär bewertetem erwartetem Schadensausmass dimensioniert Die Mitarbeiter des KMC-CH erarbeiten an den periodisch stattfindenden Risk Management Workshops Vorschläge zur Risikominimierung. Der Leiter des KMC-CH entscheidet anschliessend über das weitere Vorgehen Der Leiter des KMC-CH plant die Risk Management Workshops Der Leiter des KMC-CH erstattet der Aufsichtsbehörde (BAV) auf Anfrage Bericht über die aktuellen Erkenntnisse des Risk Management Prozesses. Betriebskonzept KMC-CH bei SBB Seite 31 / 34

32 Wissensmanagement 8 Wissensmanagement Das Know-How, welches für den Betrieb das KMC-CH benötigt wird, ist einerseits sehr spezifisch und andererseits sicherheitskritisch Das für den Betrieb des KMC-CH notwendige Know-How ist zwar nicht trivial, aber für einen Ingenieur bei guter vorliegender Dokumentation der KMC-Betriebsprozesse und Unterstützung durch erfahrene Mitarbeiter innerhalb 3-6 Monate in einem Teilzeitpensum von 30% erlernbar Optimalerweise ist das für den Betrieb des KMC-CH notwendige Wissen auf 3-4 Personen verteilt. Die Organisation des KMC-CH mit den 3 Stellen stellt die notwendige Verteilung des Wissens auf minimal 3 Personen sicher, falls tatsächlich alle Stellen mit unterschiedlichen Personen besetzt sind. Aus Sicht Risk Management sollten auch nicht mehr als 4-5 Personen über das für den Betrieb des KMC-CH notwendige Wissen verfügen Zusätzlich stellt der Leiter des KMC-CH sicher, dass die jeweils aktuellen KMC-CH- Betriebsprozesse gut dokumentiert sind und dass das vorhandene Know-How auf alle Mitarbeiter des KMC-CH verteilt wird. Ein Instrument hierfür könnte für den Leiter des KMC-CH eine periodische Job-Rotation der Stellen 2 und 3 des KMC-CH gemäss darstellen. Betriebskonzept KMC-CH bei SBB Seite 32 / 34

33 Appendix A A Appendix A A.1 Erklärung der zur Erstellung des Entity Relationship Modells verwendeten Modellierungsmethode A A A Das Entity Relationship Model soll das etwas komplexe organisatorische Umfeld des KMC-CH erklären. Es handelt sich eigentlich um eine Methode der Datenmodellierung, die sich jedoch aus Sicht des Autors auch gut zur Erklärung organisatorischer Zusammenhänge verwenden lässt. Das Modell stellt Entitätstypen und ihre Relationen dar. Die Entitätstypen sind in Form von Rechtecken dargestellt. Sie können zum Beispiel Organisationseinheiten oder Wirtschaftssubjekte repräsentieren. Das KMC-CH ist zum Beispiel ein Entitätstyp. A Die Relationen sind in Form von Rhomben dargestellt, welche mittels Linien jeweils 2 Entitätstypen verknüpfen. Die Relationen erklären die Art der Beziehung, welche zwischen 2 Entitätstypen besteht. So bestehen zum Beispiel zwischen einem EVU und seinem KDC Geschäftsbeziehungen. Deshalb wird auf dem Rhombus der Text unterhält Geschäftsbeziehungen mit dargestellt. A A A Die Entitätstypen und Relationen können mit Attributen versehen werden, welche die Art des Entitätstyps oder die Art der Relation kennzeichnen. Die Attribute sind in Form von Ovalen dargestellt, welche durch eine Linie mit einem Entitätstyp oder mit einer Relation verknüpft sind. So ist zum Beispiel die KMC-CH Security Policy als Attribut der Entitätstyps KMC-CH aufgeführt. Ein Schlüsselattribut kennzeichnet eine Entität oder eine Relation auf eindeutige Weise (es ist damit nicht etwa ein Attribut eines Schlüssels, z.b. des K-MACs gemeint). Schlüsselattribute werden im ER-Modell wie Attribute dargestellt, mit dem Unterschied, dass bei Schlüsselattributen der Text des Attributs unterstrichen wird. So ist zum Beispiel der K-KMC-Schlüssel ein Schlüsselattribut der Relation zwischen den Entitäten KMC-CH und Partner-KMC. Beziehungen zwischen Ober- und Untermengen von Entitätstypen, respektive die Generalisierung / Spezialisierung von Entitätstypen, werden durch Dreiecke dargestellt. Die Mengenbeziehungen können durch Markierung eines Dreiecks mit den Buchstaben T, P, D oder N verdeutlicht werden. Oberhalb des Dreiecks wird die vereinigte Menge der unterhalb des Dreiecks aufgeführten Teilmengen von Unterentitätstypen aufgeführt. - Ein T im Dreieck bedeutet, dass die unterhalb des Dreiecks angegebenen Teilmengen von Unterentitätstypen total die oberhalb des Dreiecks eingezeichnete Entität beschreiben. Das heisst, eine Unterentität muss einer der angegebenen Teilmengen von Unterentitätstypen zugehören. Es existiert keine weitere Möglichkeit. - Ein P im Dreieck bedeutet, dass die unterhalb des Dreiecks angegebenen Teilmengen von Unterentitätstypen partiell die oberhalb des Dreiecks eingezeichnete Entität beschreiben. Dies bedeutet, dass es noch zusätzliche, nicht aufgeführte, Teilmengen von Unterentitätstypen geben kann. - Ein D (disjunkt) im Dreieck bedeutet, dass die unterhalb des Dreiecks angegebenen Teilmengen von Unterentitätstypen sich nicht überlappen. Dies bedeutet, dass ein Unterentitätstyp sich nicht gleichzeitig in verschiedenen der angegebenen Teilmengen von Unterentitätstypen befinden kann. Betriebskonzept KMC-CH bei SBB Seite 33 / 34

34 Appendix A - Ein N (nicht disjunkt) im Dreieck bedeutet, dass die unterhalb des Dreiecks angegebenen Teilmengen von Unterentitätstypen sich überlappen können. Dies bedeutet, dass ein Unterentitätstyp sich gleichzeitig in verschiedenen der angegeben Teilmengen von Unterentitätstypen befinden kann. A A Im oben aufgeführten ER-Modell bedeutet das Dreieck mit P zwischen den Entitätstypen Systemführerschaft ETCS und KMC-CH, dass das KMC-CH zwar einen Teil der Systemführerschaft ETCS bildet, dass die Systemführerschaft ETCS jedoch noch aus weiteren Teilen besteht. Mengenbeziehungen zwischen verschiedenen Entitätstypen werden durch Klammerausdrücken wie (1,*) dargestellt. Ihre Bedeutung soll am Beispiel der Relation zwischen den Entitätstypen KMC-CH und EVU erläutert werden: Bsp.: Der Entitätstyp KMC-CH ist aus Sicht CKM zugeordnet zu (0,*) EVU. Dies ist zu lesen als: mindestens 0 EVU und maximal * (unendlich viele) EVU. Es ist denkbar, dass das KMC-CH nur streckenseitige Schlüssel verwaltet. Der Entitätstyp EVU ist aus Sicht CKM zugeordnet zu (0,1) KMC-CH. Dies ist zu lesen als: mindestens 0 KMC-CH und maximal 1 KMC-CH. Es ist denkbar, dass ein EVU ein anderes Home-KMC als das KMC-CH hat. Betriebskonzept KMC-CH bei SBB Seite 34 / 34