Sewecom Stufenkonzept

Unterscheidung unterschiedlicher organisatorischer Stufen

Begriffe wie Intranet, Extranet und VPN (virtual private network) werden meist nicht eindeutig gebraucht, vor allem indem völlig unterschiedliche Modalitäten miteinander vermischt werden: Die Frage des Zugangsweges (wie wird vernetzt) und die Frage der Zugangsrechte (wer darf was). Um diese Begriffsverwirrung zu umgehen, haben wir uns entschieden unser gestuftes Sicherheitskonzept in einer weiteren Übersicht zu beschreiben, das 4 Bereiche umfasst:

• Zugangswege
• Zugangsrechte
• Kommunikation
• Qualifikation

Das hier vorgestellte Stufenkonzept dient vor allem dazu Entscheidern eine Orientierungshilfe zu geben. Es ist Bestandteil des umfassenden Sewecom-Standards und ebenso wie dieser ein Meta-Konzept, das auf den jeweils konkreten Bedarf einer Organisation / eines Unternehmens angepasst werden muss und nicht eins zu eins übernommen werden sollte.
In der konkreten Praxis kann das Konzept noch weiter ausdifferenziert werden.

Übersicht:

Zugangswege-Stufen
ZW 0) Interne Vernetzung vor Ort
ZW 1) Gesicherter Zugriff über Telefonnetz
ZW 2) Gesicherter Zugriff über Internet-VPN
ZW 3) Gesicherter Zugriff über Internet
ZW 4) Ungesicherter Zugriff über Internet

Zugangsrechte-Stufen
ZR 1) Leitungsebene / Mitspracheberechtigte
           (z.B. Personalrat / Betriebsrat)
ZR 2) Rechte-Administrator
ZR 3) Berechtigter zur Vergabe von Zurgangsrechten
ZR 4) Zugangsrechte-Inhaber

Kommunikations-Stufen
K 1) Intranet mit unterschiedlichen Diensten
K 2) Internetkommunikation per https (SSL-Zertifikat)
K 3) Internetkommunikation per Standard-E-Mail
           (smtp / POP3)

Qualifikations-Stufen
Q 1) Leitungs-Ebene: Grundwissen zu Rahmenbedingungen
Q 2) Betriebliche Datensicherheit- und Datenschutzbeauftragte
Q 3) Sicherheitsmanagement / EDV-Infrastruktur
Q 4) Multiplikatoren zu Datenschutz und Datensicherheit
Q 5) Mitarbeiter/innen mit Zugang zum Netzwerk

Das Stufenkonzept erfasst dabei nur einen Teil der gestuften Sicherheitsstruktur. Hinzukommen noch verschiedene technische Sicherheits-Stufen, die hier nicht erläutert werden können, da sie sich in den jeweiligen Details unterscheiden und gerade dadurch Sicherheit bieten, dass sie nicht bekannt gemacht werden.

Zugangswege-Stufen

Stufe ZW 0) Interne Vernetzung vor Ort

Sobald bei dieser Stufe auch nur ein beteiligter PC Zugriff auf das Internet Zugriff hat muss gewährleistet werden, dass ein umfassendes Sicherheitskonzept realisiert wird und der Zugang zum Internet nicht ungesichert möglich ist. Innerhalb des Bereichs von Stufe 0 gibt es zum Beispiel:

• Netzwerk(e)
• Einzelplatz-PC
• Großrechner im eigenen Haus

Sichere Abschirmung

Bei einer Vernetzung nach außen müssen besondere Sicherheitsmaßnahmen eingerichtet werden (z.B. Firewall und Viruswall), um möglichen Schaden abzuwenden. Dies kann durch eine eigene EDV-Abteilung gewährleistet werden oder durch einen externen Provider. Hierbei müssen besondere Kompetenzen bezüglich einer Sicherheits-Infrastruktur vorliegen. Normale Providerdienstleistung genügt nicht.

Internetzugang

Selbst wenn nur ein Zugriff von innen (Stufe 0) nach außen ins Internet (und nicht umgekehrt) vorgesehen ist, muss bereits ein Sicherheitskonzept realisiert werden. Sobald eine Verbindung nach draußen besteht, kann prinzipiell auch von außen zugegriffen werden. Bei einem ungesicherten Internetzugang ist dies sehr gefährlich.

Stufe ZW 1) Gesicherter Zugriff über Telefonnetz

Der Zugriff zur Stufe 0 geschieht hierbei durch die öffentlichen Telefonnetze: Durch eine Standleitung bzw. eine telefonische Einwahl (Dial-in). Wichtig ist hier die Zugangserlaubnis abzufragen. Dabei ist die Zuweisung einer festen internen IP-Adresse möglich, was einen geregelten Zugriff auf nur bestimmte interne Bereiche ermöglicht. Der Zugang zwischen Stufe 1 und Stufe 0 sollte getunnelt und verschlüsselt erfolgen. Sinnvoll ist dieser Zugangsweg z.B. für:

• Filialen / Dienststellen
• Heimarbeitsplätze
• Externe Großrechneranbindung

Stufe ZW 2) Gesicherter Zugriff per Internet-VPN

Es gibt heute auch die Möglichkeit Daten verschlüsselt durch das Internet zu transferieren. Nur ein sehr zuverlässiges Konzept kann dabei aber auch ein hohes Maß Sicherheit gewährleisten. Diese Stufe des Zugangs wird vor allem aus Kostengründen gewählt, um die Telefonkosten zu reduzieren, die besonders bei großen Distanzen sehr hoch sind. Möglicher Praxisgebrauch:

• Partnerunternehmen
• Weltweite Einbindung von Mitarbeitern

Stufe ZW 3) Gesicherter Zugriff per Internet

Der Zugriff erfolgt hier ausschließlich gesichert per SSL-Zertifikat. Hier kann also ein Web-Formular (https) die sichere Verbindung zwischen dem Kunden bzw. Klienten und der Organisation bilden und ersetzt die unsichere Standard-E-Mail. So ist eine einfache Kommunikation  möglich und auch die Einbindung in Geschäftsprozesse (Buchung, Abfragen,...).
Alles geschieht dabei ausschließlich verschlüsselt. Auch der Austausch von sensiblen Daten ist möglich. Gefährlicher ausführbarer Programm-Code kann dabei ausgeschlossen werden.
Geeignet ist dieser Zugangsweg besonders für externe Personen, weil diese ein erhöhtes Risiko darstellen und von den sensiblen Bereichen möglichst stark abgeschottet werden sollten:

• Kunden / Klienten
• Mailanfragen

Stufe ZW 4) Ungesicherter Zugriff per Internet

Hier kann ein Datenaustausch erfolgen, der keinerlei sensiblen Daten betrifft. Personenbezogene oder andere vertrauliche Daten dürfen über diesen Weg auf keinen Fall transferiert werden. Zur unsicheren Stufe 4 gehören z.B. die normale E-Mail oder der Datentransfer per regulärem (http://) Web-Formular. Ein Zugriff zu sensiblen Bereichen von Stufe 4 aus ist unbedingt zu verhindern.

zur Übersicht

Zugangsrechte-Stufen

Stufe ZR 1) Leitungsebene / Mitspracheberechtigte (z.B. Betriebsrat)

Stufe ZR 2) Rechte-Administrator

Stufe ZR 3) Berechtigter zur Vergabe von Zugangsrechten

Stufe ZR 4) Zugangsrechte-Inhaber

Die Zugangsrechte müssen geregelt werden, um innerhalb eines Netzwerkes den Zugriff auf die jeweiligen Bereiche angemessen zu steuern. Die Leitungsebene (Stufe A) muss die Zugangsrechte-Verwaltung regeln. Nur wenn es hier ein klares Konzept gibt, ist auch gewährleistet, dass jeder nur zu dem Bereich Zugriff hat, zu dem er zugelassen werden soll.

zur Übersicht

Kommunikations-Stufen

Stufe K 1) Intranet mit unterschiedlichen Diensten
In einem abgeschirmten Intranet können unterschiedliche Dienste genutzt werden, um möglichst hohe Funktionalität und Effektivität zu erreichen. Dabei müssen die Zugangsrechte geregelt werden. Zur Einbindung von außen (z.B. externe Dienststellen) ist die Zugangswege-Stufe 1 geeignet.

Stufe K 2) Internetkommunikation per https (SSL-Zertifikat)
Bei der Kommunikation mit vertraulichen / personenbezogenen Daten muss unbedingt ein hohes Sicherheitslevel erreicht werden.
Externen Personen kann mit SSL-verschlüsselten Web-Formularen eine sichere Kommunikation auch über das Internet (siehe Zugangswege-Stufe 3) ermöglicht werden. Externe müssen dabei nämlich von sensiblen Bereichen abgeschirmt werden. Das bedeutet eine Einschränkung der Funktionalität. Die Weiterleitung und Verarbeitung von externen Daten wird von innen gesteuert. Aus Datenschutzgründen werden Löschroutinen für personenbezogene Daten definiert.
Eine hohe Funktionalität wie bei Standard-E-Mails (z.B. Weiterleitungsfunktion) ist bei Prozessen mit personenbezogenen Daten nur beschränkt zulässig.
Administrative und sensible Funktionen werden ausschließlich ausgeübt durch eine Einbindung über die Zugangswege-Stufen 0 und 1.

Stufe K 3) Internetkommunikation per Standard-E-Mail (smtp / POP3)
Für nicht vertrauliche Daten ist die Kommunikation per Standard-E-Mail nach wie vor eine sinnvolle und hoch funktionale Möglichkeit.

zur Übersicht

Qualifikations-Stufen

Die Leitungsebene muss ein Gesamtkonzept entwickeln, indem zunächst ein Schutzbedarf für die einzelnen Bereiche festgelegt wird. Danach sollte klar geregelt werden, welche Bereiche in welcher Weise (Zugangswege) Zugriff erhalten. Die Zugriffsrechte werden danach für jede Person einzeln geregelt.
Das gesamte Konzept macht aber auch nur dann Sinn, wenn die Beteiligten hinsichtlich Sicherheit entsprechend ihrer Verantwortlichkeiten und Zugriffsmöglichkeiten angemessen geschult sind.
Nicht jede/r Mitarbeiter/in muss dabei alles wissen. Deshalb schlagen wir auch hier eine abgestufte Qualifizierung vor.

Die Stufung bedeutet dabei nicht, dass die jeweiligen Qualifikationen geringer werden:

Stufe Q 1) Leitungsebene: Grundwissen zu Rahmenbedingungen
Die Leitungsebene muss sich mit den notwendigen Rahmenbedingungen vertraut gemacht haben, um das Gesamtkonzept und das notwendige zeitliche bzw. finanzielle Budget verabschieden zu können.

Stufe Q 2) Betriebliche Sicherheits- und Datenschutzbeauftragte
Betriebliche Sicherheits- und Datenschutzbeauftragte müssen mit den rechtlichen und technischen Fragen zu Datenschutz und Datensicherheit gut vertraut sein. Desweiteren setzen sie sich mit konzeptionellen und organisatorischen Fragen auseinander, die für die konkrete Umsetzung notwendig sind. Grundlegend sind hier auch Grundkompetenzen in fachbezogener Beratung bzw. Coaching.

Stufe Q 3) Sicherheitsmanagement / EDV-Infrastruktur
Basis ist beim Sicherheitsmanagement natürlich auch ein Wissen hinsichtlich rechtlicher Grundlagen von Datenschutz. Der Schwerpunkt liegt hier jedoch auf den technischen, organisatorischen und Führungskompetenzen. Das Sicherheitsmanagement trägt dafür Sorge, dass alle technischen Komponenten und damit verbundenen Abläufe im Blick sind.
Die dazugehörigen EDV-Mitarbeiter/innen werden dabei nicht nur hinsichtlich der Funktionalität der beteiligten Komponenten geschult, sondern auch zu Fragen der Datensicherheit der konkreten EDV-Infrastruktur.

Stufe Q 4) Multiplikatoren zu Datenschutz und Datensicherheit
In größeren Organisationen und dezentral organisierten Einrichtungen ist es sinnvoll Multiplikator/innen für Datensicherheit zu schulen. Diese kennen sich mit den datenschutzrechtlichen und sicherheitstechnischen Grundlagen aus und haben gelernt ihre Erfahrungen in angemessener Form weiterzugeben.

Stufe Q 5) Anwender/innen mit Zugang zum Netzwerk / Intranet
Alle beteiligten Mitarbeiter/innen mit Zugang zum Netzwerk müssen wissen was im Rahmen der geltenden Sicherheitsrichtlinien und Standards erlaubt ist und was nicht. Das Inkraftsetzen von unverständlichen Sicherheitsrichtlinien bringt im konkreten Arbeitsalltag keine höhere Sicherheit. Vielmehr müssen die Mitarbeiter/innen verstehen um was es geht. Nur wenn diese für das Anliegen Datenschutz und Datensicherheit gewonnen werden, ist ein hohes Maß Sicherheit zu realisieren, indem die Thematik zu einem Teil der Unternehmenskultur wird.

zur Übersicht

zum Sewecom-Standard