TR-RESISCAN und dann?

Transkript

1 TR-RESISCAN und dann? Olaf Rohstock 17. November e-nrw Seite 1

2 Agenda Wer ist die Governikus KG Dokumentenlebenszyklus und Umwelteinflüsse TR RESISCAN des BSI TR ESOR des BSI Seite 2

3 Daten und Fakten 1999 als bremen online services gegründet Public Private Partnership Freie Hansestadt Bremen: 55,1% Telekom Deutschland GmbH: 15% Die Sparkasse Bremen: 15% Brekom GmbH (EWE): 14,9% Rechtsform: GmbH & Co. KG Geschäftsführer: Dr. Stephan Klein Aufsichtsratsvorsitzender: Dr. Martin Hagen ca. 100 Beschäftigte 2014 Fusion mit Vertriebstochter und Umbenennung in Governikus KG Seite 3

4 Unsere Kernkompetenzen Governikus-Portfolio Leistungen Secure Identitiy Suite Authentisierung npa Zertifikate Secure Communication Suite Datentransport OSCI/EGVP D Secure Data Suite Beweiswerte Kryptografie Signatur TR-ESOR (TR-RESISCAN) Entwicklung von Standardund Individualsoftware Projektberatung für Kunden und Partner Betrieb und Wartung von Servern Schulungen für Betreiber, Entwickler und Anwender IT-Support: Unterstützung für Betreiber und Anwender Zyklus der elektronischen Kommunikation Seite 4

5 Unsere Lösungskompetenzen Individuell lassen sich unsere Lösungskomponenten je nach Bedarf zusammenstellen Fertige Produkte für unterschiedliche Einsatzszenarien, die ständig weiterentwickelt werden: evaluiert und zertifiziert (Common Criteria, SigG-bestätigt, TR-ESOR-zertifiziert, Common PKI ) Governikus: Anwendung des IT-Planungsrates Basis unserer Entwicklung: nationale und internationale (EU) Gesetzeslagen und Standards Seite 5

6 Umwelt Seite 6

7 Herausforderungen elektronischer Dokumente und Daten Gesetzliche Anforderungen an Aufbewahrungsfristen Sicherstellung Beweiswert Sichere Speicherung und Datenhaltung Wirtschaftlichkeit Zurückgehende Lebenszyklen von IT-Anwendungen Minimierung Kosten und Ressourceneinsatz Seite 7

8 Zentrale Datenhaltung vs. Beweismittel Seite 8

9 Papier entsorgen? Seite 9

10 Umwelteinflüsse auf den Dokumentenlebenszyklus EGovG Europa 2020 eakte EIDAS Verordnung, Vertrauensdienste Langzeitaufbewahrung Rechtliche Anforderungen DIN Standards Compliance Empfehlungen z. B. Prüfleitfäden AO, BDSG, BetrVG, BGB, HGB, GDPdU, SigG, SigV, ZPO, Bundes- und Landesarchivgesetze, etc. P23R Langzeitaufbewahrung von Benachrichtigungen Protokolleinträgen Seite 10

11 TR-RESISCAN ersetzendes Scannen Seite 11

12 Prozesshandbuch für Verwaltungen und Unternehmen Eingang eines Dokuments Gegenstand der TR-RESISCAN Scannen Dokumentenvorbereitung Nachverarbeitung Integritätssicherung Beweiswert -erhaltende Aufbewahrung Seite 12

13 Rechtssicher gescannt und dann? Seite 13

14 Beweiswerterhaltung Anforderungen Authentizität (Echtheit) Integrität (Unveränderlichkeit) Verlässlichkeit Verkehrsfähigkeit Lesbarkeit Relevant für ALLE elektronischen Daten aus Bearbeitungssystemen (ERP, CRM, Fachverfahren, CAD etc.) aus ECM/DMS aus Kommunikationssystemen ( , D , OSCI etc.) gescannte Unterlagen Nachweise = Zertifikate = Beweis! Seite 14

15 ABER, Beweiswerte verlieren: Zertifikate laufen aus, sind nicht mehr prüfbar Algorithmen werden unsicher (z.b. SHA-1) Eine 50 Jahre alte Signatur ist ALLEINE nicht mehr beweiskräftig erhalten: Nachvollziehbarkeit von früheren Signaturprüfungen ermöglichen Detaillierte Prüfergebnisse aufbewahren (Antworten der Trustcenter) Prüfergebnisse müssen ggf. übersigniert werden Nachweis, dass früher mal eine (positive) Prüfung stattgefunden hat Dokumente neu signieren Signaturen prüfen, solange sie noch prüfbar sind Daten übersignieren (stärker), deren Signatur bald nicht mehr sicher ist Neusignierung nach 17 SigV Seite 15

16 Verfahrensspezifische Langzeitspeicherung ist KEINE Lösung Arbeitsplatz Fachverfahren Mail denn die Folgen sind Verfahrens- und Systemgebundenheit Mehrfachaufwände zur Sicherstellung der Anforderungen an Langzeitspeicherung Keine Standardisierung, sprich keine Prozessintegrationsmöglichkeit Seite 16

17 Lösungsansatz Standardisierung ArchiSig (langfristiger Erhalt der Beweiskraft elektronisch signierter Dokumente) ArchiSafe (Spezifikation einer Archiv-Middleware) DIN Normen (Kriterien für vertrauenswürdige elektronische Langzeitspeicherung) (Leitfaden zur Informationsübernahme in elektronische Langzeitarchive) RFC 4998 der IETF (Internet Task Force) Referenzmodell OAIS (Open Archival Information System) etc. TR alias TR-ESOR Seite 17

18 TR-M3 TR-M1 TR-M Seite 18

19 Funktionen Evidence Records nach RFC-4998 gemäß ArchiSafe und TR Umfangreiche Volltextsuche über Metadaten und Archivobjekte Anzeige mit Trusted Viewer Automatisierte Signaturerstellung und prüfung Bedienerloses Nachsignieren nach ArchiSig Verwaltung von Aufbewahrungsfristen und sicheres Löschen Redundante Beweiswerterhaltung durch mehrere Hash-Algorithmen Client zur Suche und Upload Seite 19

20 Ihre Vorteile Compliance-Readyness Senkung von Haftungsrisiken Internationale Akzeptanz der Beweiswerte Höchste Gerichtsverwertbarkeit elektronischer Dokumente Format- und lösungsneutrale Beweisführung am Dokument Parallel für verschiedene Applikationen nutzbar Anwenderfreundlich ohne Signaturhandling Leichte Implementierung auf SOA-Basis Hoher Investitionsschutz dank offener Standards Anbindung an alle führenden ECM- und Storagesysteme Cloud-fähig durch sichere Datenverschlüsselung nach AES 256-bit Als lokale Instanz, SaaS und Appliance verfügbar Seite 20

21 Integrationsmöglichkeiten Unternehmenssoftware (ERP, CRM etc.) Kommunikation ( , D , OSCI etc.) Scanner Datenbanken ECM / DMS Exportmöglichkeit Ceyoniq SAP SER d.velop Storage MS Sharepoint OS etc. Standardisiertes, selbsttragendes Archivpaket Metadaten + Inhalt + Beweisdaten Seite 21

22 Beweiswerterhalt TR-ESOR Archi-Sig-konform revisionssicher Datei & Drucker Seite 22

23 Vielen Dank für Ihre Aufmerksamkeit Olaf Rohstock Tel.: Governikus GmbH & Co. KG Am Fallturm Bremen Tel.: Friedrichstraße Berlin Tel.: BITKOM Forum Seite 23