P23R: Sicherheitskonzept

Das P23R-Prinzip zielt darauf ab, Prozessketten zwischen Wirtschaft und Verwaltung sinnvoll zu bündeln und zentral bereitgestellte Regelwerke für die automatisierte Abwicklung von Informations- und Meldepflichten zu nutzen. Technisch und organisatorisch wird das Prinzip durch die P23RInfrastruktur realisiert, bestehend aus einem Werkzeug für das Zusammenstellen und den Versand von Benachrichtigungen (P23R), verschiedenen optional gestaltbaren Komponenten (P23R-Client, P23R-TrustedProxy) sowie einer Reihe öffentlicher Unterstützungsstellen und der Öffentlichen Leitsstelle (P23R-ControlCentre). Sowohl bei der Konzeption der erforderlichen Software als auch bei dem Betrieb dieser Infrastruktur hat die Beachtung von Sicherheitsanforderungen einen hohen Stellenwert. Das Vorgehen zur Identifikation der erforderlichen Sicherheitsmaßnahmen in diesem Sicherheitskonzept orientiert sich an dem BSI-Standard 100-2 (IT-Grundschutz-Vorgehensweise). Grundlage ist eine Zusammenstellung der relevanten Zielobjekte der P23R-Infrastruktur (Strukturanalyse). Mit Hilfe einer Schutzbedarfsfeststellung der unterschiedlichen Komponenten dieser Infrastruktur sowie einer Bedrohungsanalyse wird anschließend ermittelt, auf welche Sachverhalte sich die in die P23R-Architektur einzubeziehenden Sicherheitsmaßnahmen fokussieren sollen und welchen Schutz diese Maßnahmen jeweils bieten müssen. Dabei werden in der Schutzbedarfsfeststellung nicht nur die üblichen Grundwerte der Informationssicherheit (Vertraulichkeit, Integrität, Verfügbarkeit), sondern mit den Werten Authentizität und Nachweisbarkeit auch weitere Sicherheitsziele berücksichtigt. In der Bedrohungsanalyse werden neben den Gefährdungskatalogen des IT-Grundschutzes insbesondere auch solche Gefährdungen betrachtet, die spezifisch für serviceorientierte Architekturen (SOA) sind. Da bei jedem Sicherheitkonzept immer auch die spezifische Einsatzumgebung und damit betriebliche Aspekte zu berücksichtigen sind, unterteilt es sich letztlich in verschiedene separate Planungsdokumente. Im Einzelnen sind dies: BLein generisches Sicherheitskonzept, das im wesentlichen Anforderungen an die Sicherheit der P23R und des P23R-Client beschreibt und die Sicherheitsinfrastruktur beeinflusst, BLein generisches Sicherheitskonzept für den Betrieb der Öffentlichen Leitstelle (P23RControlCentre) sowie BLspezielle Sicherheitskonzepte für den konkreten Einsatz des P23R in einem Unternehmen, bei einem Provider oder einer anderen Institution und auch für den konkreten Einsatz der Leitstelle. Die in diesem Dokument beschriebenen generischen Sicherheitskonzepte für den P23R (inkl. P23RClient) und die Öffentliche Leitstelle bilden die Grundlage für die konkreten Sicherheitskonzepte, die von den jeweiligen Betreibern zu erstellen sind und die spezifischen system- und organisatorischen Aspekte der Betriebsumgebung berücksichtigen müssen. Die Vorgaben der generischen Sicherheitskonzepte müssen in den konkreten Sicherheitskonzepten der P23R-Anwender aufgenommen und deren Umsetzung bzw. Einhaltung dokumentiert werden.