Die procilon GROUP Ihr Spezialist für IT-Compliance. Energieversorgerbranche Spezielle Anforderungen. Ausgewählte Referenzen

Transkript

1 Energieversorger 3

2 Die procilon GROUP Ihr Spezialist für IT-Compliance Die procilon GROUP mit Sitz in Taucha bei Leipzig und Niederlassung in Dortmund ist einer der führenden Anbieter von IT-Sicherheitslösungen für Unternehmen, Institutionen und öffentliche Einrichtungen. Eigenentwickelte, auf elektronischen Zertifikaten basierende, Software-Lösungen sichern seit mehr als 10 Jahren digitale Identitäten und Kommunikation ab. Darüber hinaus hat sich procilon auf IT-un ter - stützte Maßnahmen zur Erfüllung von Organisationspflichten (IT-Compliance) spezialisiert. Energieversorgerbranche Spezielle Anforderungen Die gesetzlichen Rahmenbedingungen für die Energiebranche sind sehr vielschichtig. Im Rahmen der Marktliberalisierung haben sich durch Vorgaben der BNetzA eine Reihe von Anforderungen an die Energiewirtschaft ergeben, die neben allgemeinen juristischen Aspekten wie Bundesdatenschutzgesetz (BDSG Anlage zu 9), Umsatzsteuergesetz, Signaturgesetz, Telekommunikationsgesetz, GoBS und GDPdU zu - sätzliche branchenbezogene Vorgaben (GPKE, GeLi Gas/ GABi Gas, MaBiS, WiM) mit sich bringen. Um all diesen gerecht zu werden, ist der Einsatz geeigneter IT-Systeme zur Realisierung von Ver- und Entschlüsselung, Anbringen und Prüfen von Signaturen, Kommunikation via oder AS2, Archivierung, Integration in Backend-Systeme und Monitoring der zuverlässige und einfache Weg. Neue Herausforderungen ergeben sich für EVU mit dem Roll- Out intelligenter Messsysteme. Hier spielen sogenannte Public-Key-Infrastrukturen eine zentrale Rolle. Mit intelligenten Sicherheitsplattformen, neuesten Verschlüsselungsmethoden, modernsten Infrastrukturkomponenten und Portaltechnologien realisiert die procilon GROUP so die automatisierte Einhaltung von Datenschutz, Datensicherheit und Vertrauenswürdigkeit. Beratungsleistungen und sichere Services aus der Cloud runden das Portfolio ab. Sie können sich auf unsere Kompetenz und das Know-how verlassen. Mehr dazu fin den Sie auf den nächsten Seiten. Ausgewählte Referenzen Über 1000 Kunden aus dem Öffentlichen Dienst, Industrie und Mittelstand vertrauen auf die Expertise der procilon. Durch die Mitarbeit in Branchen- und Technologieverbänden stellt procilon die Aktualität und Praxisnähe ihrer Lösungen sicher. Langfristige Kundenbeziehungen und intensive Partnerschaften versetzen procilon in die Lage, sowohl leistungsfähige Security-Standardprodukte Made in Germany zu entwickeln, als auch branchenspezifische Lösungen zu konzipieren und umzusetzen. Impressum: procilon GROUP Leipziger Straße Taucha bei Leipzig Telefon: Fax: info@procilon.de 3

3 Standards sinnvoll umsetzen Die IT-Sicherheitsberatung der procilon Der ständig wachsende Einfluss von IT auf die Geschäftsprozesse erfordert geeignete Maßnahmen für die Aufrechterhaltung einer angemessenen IT-Sicherheit in den Unternehmen oder Einrichtungen. Oftmals werden sich Unternehmen der Wichtigkeit der Informationssicherheit erst dann bewusst, wenn sie von Sicherheitsvorfällen betroffen sind und kommen dann zu der Erkenntnis, dass der Schutz der IT-Systeme besser organisiert werden muss. Die Gefahren der wachsenden Cyber-Kriminalität, gesetzliche Anforderungen und Richtlinien sowie andere Einflüsse auf den Geschäftsbetrieb zwingen zur Einführung angemessener Sicherheitsstandards. Workshop Status IT-Sicherheit Analyse der bisher durchgeführten Aktivitäten Erstellen eines Statusberichtes zum aktuellen Stand Beantwortung von Fragen zur Dokumentation, Schutzbedarfsanalyse, Risikobewertung, Maßnahmenplanung und Berichterstellung Erarbeitung von Empfehlungen für das weitere Vorgehen und die Priorisierung Unterstützung bei der Aktualisierung des Projektplanes Besondere Aufmerksamkeit sollte der Verarbeitung personenbezogener Daten und der Gefahr von Datenverlusten und Datenmissbrauch gewidmet werden. Zu Erfüllung spezieller Anforderungen können Zertifizierungen nach BSI-Grundschutz, DIN ISO/IEC 2700x erforderlich sein. Wo eine Zertifizierung nicht erforderlich ist, kann die Einführung hoher IT-Si cherheitstandards nach anderen Kriterien notwendig sein. Die procilon hält zahlreiche Angebote zur Umsetzung von IT-Sicherheitsstandards bereit. Unsere Workshops für die Informationssicherheit im Unternehmen Workshop Definition der Ziele Herausarbeitung der Zielstellung für die Einführung von IT-Sicherheitsstandards Festlegen der Methodik zur Erreichung der Zielstellung Erarbeitung eines Ablaufplanes für die Umsetzung mit Klärung der Aufgabenfelder Protokoll mit Aufwandsschätzung für die Leistungen der procilon Auftaktworkshop IT-Sicherheit Rahmenbedingungen für die Umsetzung Ihrer Ziele Erwartete Ergebnisse der Umsetzung von IT-Sicherheitsstandards Bisher erreichter Stand der Informationssicherheit Unsere Empfehlungen aus den bisherigen Projekten Aufgaben und Verantwortlichkeiten Fristen für die Erreichung der Ziele in der Informationssicherheit Workshop Prüfung der Ergebnisse der IT-Sicherheit Dokumentation zu den IT-Sicherheitsrichtlinien Ergebnisse der IT-Strukturanalyse Feststellungen zum Schutzbedarf Modellierung des IT-Verbundes Ergebnisse des Basis-Sicherheitschecks Erreichten Stand der ergänzenden Sicherheitsanalyse Festlegungen aus der Risikoanalyse Beschreibungen für die Risikobehandlung Workshop Infrastruktur für die IT-Sicherheit Aufnahme des Ist-Zustandes Definition der aktuellen Sicherheitsanforderungen Ableiten von wesentlichen Parametern für die IT-Infrastruktur Abstimmung der weiteren Schritte 4

4 Erzeugung, Management & Pru fung elektronischer Zertifikate Das A und O unserer Lösungen: Public-Key-Infrastructure Der Nachweis von elektronischen Identitäten egal ob Personen, Organisationen oder Geräten lässt sich vertrauenswürdig nur durch den Einsatz elektronischer Zertifikate sicherstellen. Dies gilt abgeleitet ebenso für die Integrität elektronischer Dokumente und Nachrichten durch den Einsatz von elektronischen Signaturen. Auch beim sicheren ver schlüsselten Datentransport kommen zertifikatsbasierte Lösungen zum Einsatz. All diese Szenarien setzen eine Komponente zur Erzeugung, Management und Prüfung voraus - eine Public Key Infrastrucutre (PKI). Anwendungsbeispiele Starke Authentisierung für Intra-/Extra-/Internet-Ressourcen Sichere Kommunikation mit SSL/TLS Signieren und Verschlüsseln von (S/MIME) Elektronischer Zeitstempel (Qualifiziert - Akkreditiert) Single Sign On Signatur von elektronischen Dokumenten Internet der Dinge (z.b. Smart Meter Datenaustausch) Mobile PKI und Mobile Device Management u.v.m. Hauptbestandteile und -funktionen Registrierungsstelle Zertifikatsgenerierung Zertifikatssperrlisten Verzeichnisdienst Validierungsdienst Vertrauen als oberstes Ziel procilon realisiert PKI mit international nach CC EAL 4+ (Angriffsschutz hoch) evaluierten und nach dem Signaturgesetz bestätigten Standardkomponenten. Die Anforderungen an Datensicherheit werden über eine Ende-zu-Ende Verschlüsselung unter Verwendung von AES 256 und RSA Verschlüsselung (2048 Bit Schlüssellänge) erfüllt. Die Auswahl und Nutzung der kryptographischen Algorithmen und relevanter Parameter orientiert sich dabei an den vom BSI stetig aktuell gehaltenen Vorgaben und Empfehlungen. Sprechen Sie uns an. Wir finden auch für Sie mit Sicherheit die richtige Lösung! 5

5 progov Suite Für Marktkommunikation und rechtskonforme Archivierung Mit progov Energy und dem Einsatz von auf den jeweiligen Anwendungsfall zugeschnittenen progov Energy Modulen können Nachrichten, die dem Datenschutz unterliegen bzw. vertraulich behandelt werden sollen (z. B. UTILMD), ver- und entschlüsselt werden. Durch die Signatur ausgehender s wird die Authentizität des Absenders und Unverändertheit einer Mail sichergestellt. Der Versand vorsteuerrelevanter Rechnungsdokumente (INVOIC) wird durch den Einsatz qualifizierter Signaturen möglich und die Anbindung von Archiven und deren Erweiterung zur Beweiswerterhaltung von Dokumenten dienen der Einhaltung von Compliance. Als zentrale Infrastrukturkomponente für den modernen elektronischen Geschäftsverkehr sorgt progov Energy für die medienbruchfreie Weiterverarbeitung und Übergabe der Daten an Fachanwendungen (Verbrauchsabrechnungssysteme, Energiedatenmanagement). Damit ergeben sich deutliche Verkürzungen der Durchlaufzeiten von Dokumenten. Ein hohes Einsparpotential kann durch den Versand qualifiziert signierter Rechnungen realisiert werden. Die schnelle Integration in vorhandene Infrastrukturen bei Weiternutzung der vorhandenen zentralen Antiviren- und Contentfilterlösungen ermöglicht u. a. die einfache Einhaltung und Anwendung einer -Policy. Der Einsatz von fortgeschrittenen und qualifizierten Signaturen ist einund ausgehend möglich und durch die Nutzung von Abteilungszertifikaten statt Personenzertifikaten entstehen geringe Zertifikatskosten. Verschlüsselung und Signatur werden automatisiert und unterliegen nicht der subjektiven Entscheidung des Anwenders. Insgesamt verringert sich der Aufwand für die Einhaltung aller von den Kommunikationspartnern verwendeten Standards. Da Hard- und Softwaresysteme nur an einer zentralen Stelle vorzuhalten sind, dort ebenfalls die Administration und Verarbeitung der Daten erfolgt, ergeben sich neben einem sehr geringen Installationsaufwand niedrige Investitions- und Betriebskosten. Beweiswerterhaltung elektronischer Dokumente Zur Einhaltung von Compliance-Richtlinien, besonders bei der elektronischen Archivierung von signierten Dokumenten, sind vor juristischem Hintergrund einige Besonderheiten zu beachten. Im Unterschied zu Papierdokumenten kann die Beweiseignung elektronisch signierter Dokumente mit der Zeit abnehmen. Ursachen dafür sind insbesondere, dass die verwendeten kryptographischen Algorithmen und Schlüssel im Laufe der Zeit ihre Sicherheitseignung verlieren (können). Spätestens nach Ablauf der Gültigkeit der Signatur-Algorithmen sind die Daten mit einer neuen qualifizierten elektronischen Signatur zu versehen (SigV). Diese muss keine persönliche Signatur sein, es genügen qualifizierte Zeitstempel im Sinne des 17 Satz 3 SigV sowie der Einschluss früherer Signaturen. Realisiert wird dies durch einen Hashwerteintrag von Dokument und Signatur im Hashbaum. Der periodische (tägliche) Abschluss des Hashbaumes durch Zeitstempel sichert den lückenlosen Vollständigkeitsbeweis des Archivs. Die Beweisbarkeit der Chronologie und Abfolge der Archivierungszeitpunkte stellt ArchiSig-Konformität und Compliance her. Komponentenüberblick progov Energy Basic/ Enterprise Modul Archiv Modul Serversignatur Modul Marktkommunikation Modul Monitoring Modul Konfiguration Modul Security Store Erweiterung Regelbasiertes Empfangen, Verarbeiten und Senden von Nachrichten, kryptographische Behandlung Verbindung zu 25 verschiedenen Archiv-, DMS-, ECM-Systemen Serverseitiges Anbringen und Prüfen elektronischer Signaturen Überwacht Nachrichten der 1:1-Marktkommunikation Überwachung der Systemressourcen Abbildung von unterschiedlichen Marktrollen Beweiswerterhaltung von Dokumenten 6

6 pronext Suite Neue Generation der IT-Sicherheit Die pronext Suite ist eine softwarebasierte zentrale Managementplattform mit standardisierten Basiskomponenten. Sie enthält ein umfangreiches Rechte- und Rollenkonzept und interagiert mit jeder Webservice-Middleware. pronext besteht aus Communication Manager, Archive Manager, Portal Manager und Security Manager, die einzeln und in Kombination zum Einsatz kommen können. Außerdem können progov Module integriert werden. Security Manager Authentifizierung Konsolidierte Benutzerverwaltung Single Sign On Sicheres Identity Management Communication Manager , AS2, EGVP/ OSCI, D , XTA EDI, HL7, XÖV, XJUSTIZ Kommunikationsschnittstellen zu Geräten und Applikationen Portal Manager eid und Content Konto Sichere Zugänge für Portale Integration von Applikationen Informationsbereitstellung Dashboards optimal für EVU! Archive Manager Schnittstellen zu allen Archiven Beweiswerterhaltung von Dokumenten und Signaturen ArchiSig, ArchiSafe TR-ESOR TR-RESISCAN Public Key Cloud Rundum-Service zur Bereitstellung und Administration öffentlicher Schlüssel Für die Teilnahme an der Marktkommunikation wurden durch die Bundesnetzagentur Kommunikationsrichtlinien veröffentlicht. Zusätzlich sind in der Beschlusskammer 6 Regelungen zur Verschlüsselung und elektronischen Signatur festgelegt. Hier ist neben den allgemeinen Regelungen für den Austausch via SMTP auch die Verschlüsselung von s geregelt. Bei Beginn einer Kommunikation zwischen zwei Marktpartnern aber auch im laufenden Prozess werden Kommunikationsdatenblätter und öffentliche Schlüssel manuell bilateral ausgetauscht. Dies erfolgt teilweise automatisch, teilweise aber auch erst nach Aufforderung eines Marktpartners. Gerade diese Art der Zertifikatsbeschaffung stellt hierbei den größten zeitlichen Aufwand im Prozess der Zertifikatsbeschaffung und -pflege dar. Mit dem Service der Public Key Cloud (PKC) stellt procilon eine Lösung für einen zentralen Verzeichnisdienst zum Abruf öffentlicher Schlüssel zur sicheren Übertragung von Daten bereit. Der hohe zeitliche Aufwand für die Administration und Pflege der öffentlichen Schlüssel fremder Kommunikationspartner wird auf ein Minimum reduziert. Unternehmen erhalten somit die Möglichkeit, auf die öffentlichen Schlüssel der Kommunikationspartner durch Abfrage und Abholung in der PKC zuzugreifen. Die Administration und Pflege dieser Schlüssel wird durch die procilon übernommen. Auch der Abruf öffentlicher Verschlüsselungsschlüssel zur sicheren Übertragung von EDIFACT-Daten mittels SMTP-Protokoll im Rahmen der 1:1 Marktkommunikation im liberalisierten Energiemarkt kann durch die procilon PKC einfach realisiert werden. Energieversorger erhalten somit die Möglichkeit, auf die öffentlichen Schlüssel der Marktpartner durch Abfrage und Abholung in der PKC zuzugreifen. Um die Administration und Pflege dieser Schlüssel muss sich der Energieversorger nicht mehr kümmern. 7

7 Unsere Kernkompetenzen Die Elemente der IT-Sicherheit In den Kernkompetenzen spiegeln sich unsere Erfahrungen in verschiedenen Bereichen des sicheren Umgangs mit Daten wider. Im Rahmen der IT-Compliance sind eine Reihe von Prozessen zu betrachten, in denen der sichere Umgang mit Informationen eine bedeutende Rolle spielt. Eine sichere Infrastruktur ist dabei eine wesentliche Voraussetzung zur Erfüllung von Anforderungen in der IT-Sicherheit. IT-Compliance Richtlinien & gesetzliche Bestimmungen sicher einhalten ID Security Elektronische Identitäten überprüfen und sichern Portal Technologies Daten und Prozesse zuverlässig schützen Communication Security Elektronische Daten sicher austauschen Archive Solutions Digitale Dokumente lange sicher aufbewahren IT-Security Anforderungen an IT-Sicherheit sicher erfüllen Die Evolution der Verschlüsselung... protectr 21. Jh. Skytale 500 v. Chr. Chiffrierscheibe 15. Jh. One-time Pad 19. Jh.... erreicht die nächste Stufe! protectr verschlüsselt Ihre Dateien vollautomatisch und hochsicher direkt auf Ihrem Endgerät. Die Nutzung ist dauerhaft kostenlos und denkbar einfach. Kein Software-Download, keine Installation, keine Datenspeicherung.