Mobile-Menu

TR-Resiscan 1.5

Mit Signatur und Siegel

< zurück

Seite: 5/5

Anbieter zum Thema

IMTB Consulting GmbH

Mobiles Scannen

Das neue Kapitel zum mobilen Scannen dürfte für einigen Gesprächsstoff sorgen.

Denn das mobile Scannen soll bis einschließlich Schutzbedarf „hoch“ möglich sein und es stellt sich spontan die Frage, wie die teils anspruchsvollen Anforderungen in einem mobilen Kontext umgesetzt werden können, zum Beispiel Redundanz, Zutrittskontrollen oder Stichproben. Dabei ist jedoch zu bedenken, dass sich die Anforderungen der TR teilweise auf ortsfeste Infrastruktur beziehen, die auch beim mobilen Scannen genutzt wird, dass der Durchsatz beim mobilen Scannen typischerweise gering ist und dass mobile Geräte in der Regel körpernah mitgeführt werden. Zusammenfassend ist festzustellen, dass sich die technischen Anforderungen an das mobile Scannen auf die Umsetzung einer sicheren Anbindung des Mobilgeräts konzentrieren und hierfür überwiegend auf einschlägige Grundschutzmaßnahmen verweisen. Im Bereich der organisatorischen Maßnahmen wird den Anwenderinnen und Anwendern der TR ein ungewohnt großer Spielraum für die Umsetzung gelassen. Dies dürfte die Frage aufwerfen, inwieweit Standards unterlaufen werden können, indem das Scannen auf die Beschäftigten verlagert wird. Aufgrund der Vielzahl der zu beachtenden Aspekte wird das Thema in einem eigenständigen Beitrag aufbereitet.

Zertifizierung

Anwenderinnen und Anwender der TR-RESISCAN können sich die Konformität ihres Verfahrens zertifizieren lassen. Informationen zum Zertifizierungsverfahren wurden als neues Kapitel in die TR-RESISCAN aufgenommen. Darin wir explizit darauf verwiesen, dass keine Hard- oder Software zertifiziert wird, sondern nur Verfahren. Alle wesentlichen Informationen sind allerdings nicht direkt in dem Kapitel aufgeführt, sondern verlinkt.

Sonstiges

Schließlich wurden die Verweise und Erläuterungen in den Verzeichnissen und im Glossar aktualisiert. Erwähnenswert ist hier die Definition der Vollständigkeit. Diese bedeutet nun nach TR Version 1.5, „dass der gegenseitige Bezug mehrerer aufgrund eines inneren Zusammenhangs zusammengehöriger Datenobjekte sichergestellt ist und das Fehlen eines oder mehrerer dieser Datenobjekte nachweisbar ist“.

Zusammenfassend bleibt festzuhalten, dass die Neuauflage einige Punkte enthält, die unsere Kundinnen und Kunden vor Herausforderungen stellen werden. Bisherige Verfahrensweisen und Strukturen sind zu hinterfragen. Teilweise werden neue technische Lösungen zu beschaffen sein. Und nicht zuletzt sind auch Verfahrensanweisungen zumindest zu prüfen, in vielen Fällen auch anzupassen. Wir werden die Entwicklung am Markt verfolgen und stehen weiterhin gerne mit Rat und Tat zur Seite.

Zusammenfassung

Die folgende Tabelle fasst die Änderungen an der TR-RESISCAN (Version 1.5) zusammen:

Kapitel/Maßnahme Änderung/Beschreibung
Einleitung
Kapitel 1.7 Konventionen überarbeitet
Kapitel 2.2 Neues Unterkapitel zur eIDAS-Verordnung
An vielen Stellen werden die Begrifflichkeiten an den Stand des aktualisierten BSI-Grundschutz angeglichen (z. B. „Kern-Absicherung", „Schutzziele" statt „Grundwerte"). Weiterhin gilt dies jedoch nicht für den Begriff der „Schutzbedarfsanalyse", die im Grundschutz eigentlich schon immer Schutzbedarfsfeststellung hieß.
Kapitel 3.3 Klarstellung, dass die konkrete Ausgestaltung von Maßnahmen „sich unmittelbar an dem in der Institution tatsächlich vorhandenen Scansystem sowie den konkreten organisatorischen, technischen und personellen Gegebenheiten vor Ort" zu orientieren hat
Kapitel 2.1 Abgrenzung von Systemen, die Dokumente weiterverarbeiten
Kapitel 4.1 Umbenennung „Grundlegenden Sicherheitsmaßnahmen" in „Generelle Maßnahmen" (gemäß IT-Grundschutz), Modulkonzept „auf den Kopf gestellt"
Kapitel 3 und 3.3 Dokumentenlandschaft mit technischem Scankonzept, bestehend aus Strukturanalyse und Schutzbedarfsanalyse sowie eine Verfahrensdokumentation mit einer detaillierten Beschreibung der Sicherheitsmaßnahmen anhand des Scanprozesses und einer Verfahrensanweisung als Arbeitsanweisung für die am ersetzenden Scannen beteiligten Personen.
Kapitel 3.2 Klarstellung in Fußnote: Dokumente können auch vom ersetzenden Scannen ausgenommen werden
Organisatorische Maßnahmen
(A.O.1) Empfehlung zum frühen Scannen entfällt
(A.O.4) Überprüfungen der Wirksamkeit und Vollständigkeit nun „MUSS"
Personelle Maßnahmen
A.P.3 a) Integration „Sensibilisierung der Mitarbeiterinnen und Mitarbeiter für Informationssicherheit" in Schulungsmaßnahmen zur Sicherheit im Scanprozess, außerdem sicherheitsbewusste Handhabung von Dokumenten, Daten und IT-Systemen sowie der zu ergreifenden Vorsichtsmaßnahmen
Technische Maßnahmen
A.T.1 IT-Grundschutz nun „MUSS"
(A.T.2) Anforderungen der BSI TR-02102-1 „Kryptografische Verfahren: Empfehlungen und Schlüssellängen" einzuhalten
(A.T.4) „Zuverlässige Speicherung" ggf. neu zu bewerten (nicht explizit genannt, aber Konsequenz aus übrigen Änderungen)
Prozessbezogene Maßnahmen
A.DV.2 Beibehaltung widersprüchliche Formulierung „MUSS"/ „SOLL"
A.DV.1 a Erwähnung „Posteingangsnachweisen" statt Stempel
A.SC.2 Verhinderung bzw. Minimierung des Zugangs zum Scansystem durch Zugangskontrollen und Besucherregelungen wurden von Soll- auf Muss-Niveau hochgestuft
A.T.2 und A.SC.10 Die teilweise Redundanz zur Maßnahme „Informationsschutz und Zugriffsbeschränkung bei netzwerkfähigen Scannern"
A.SC.4 „Geschultes Personal" statt „Kollege"
A.SC.8 Stichprobengröße nun zwingend vom Schutzbedarf abhängig; Kontrollquote von 3 %
A.SC.8 Beachtung der DIN 66399 „Standard für das Vernichten von Datenträgern" verbindlich gefordert
A.NB.3 Verschärfung Anforderungen an die Vollständigkeitsprüfung und je nach Prozess Weitergabe der Vollständigkeitsprüfung an die Scanstelle
A.NB.4 Transfervermerk zu einer Muss-Vorschrift aufgewertet, Berücksichtigung Vollzähligkeitskontrolle, Nennung konkreter Personen, Einbettung Transfervermerk
A.IS.1 Verwendung kryptografischer Mechanismen in Form von fortgeschrittenen Signaturen, Siegeln und zusätzlichen Zeitstempeln (kann) als Soll-Anforderung; Bei alternativem Vorgehen „schriftlicher Nachweis", dass der alternative Mechanismus ausreichend widerstandsfähig ist
Aufbaumodule
A.AM.G.1 Anforderungsniveau für den Zugriff auf sensible Papierdokumente auf „MUSS" hochgestuft
A.AM.G.3 Pflicht zur Auditierung weiterhin als eigenständige Maßnahme
A.AM.IN.H.1 Statt fortgeschrittener Signaturen/Siegel nun qualifizierte Signaturen/Siegel zu nutzen; Zeitstempel nicht mehr grundsätzlich vorgesehen; Möglichkeit zur Nutzung alternativer Verfahren gestrichen
A.AM.IN.H.3 Auch hier Möglichkeit zur Nutzung alternativer Mechanismen gestrichen
A.AM.IN.H.4 Anforderungen an die Auswahl geeigneter Produkte nun auch auf Vertrauensdienste angewandt; Verweis auf die eIDAS-VO und die LeitLeSig
A.AM.IN.H.5 Regelmäßige Evaluation eingesetzter kryptografischer Verfahren; Nennung TR-02102-1, TR-03116-4 oder SOGIS; Für fortgeschrittene Signaturen/Siegel Nennung TR-02102-1 und TR-03116-4 als Option erwähnt; Ergänzung auf Einschränkung „regulatorische oder sonstige Gründe"; Verweis auf die TR-03125, aber ergänzt um die ETSI TS 119 511; Sicherstellung Einhaltung des Standes der Technik durch den Einsatz eines entsprechend zertifizierten Produktes oder eines Bewahrungsdienstes
A.AM.IN.H.7 „Erweiterte Qualitätssicherung" nun mit hohen Integritätsanforderungen begründet, bislang galt dies für die Verfügbarkeitsanforderungen
A.AM.IN.SH.5 Für die „Vollständige Sichtkontrolle" nun sehr hohe Integritätsanforderungen; nun als Muss-Anforderung formuliert; Entfall Fußnote zum Scannen von Personalakten in der Bundesverwaltung
A.AM.IN.SH.2 Aufhebung Beschränkungen für Verwendung von qualifizierten elektronischen Signaturen und Siegeln (Verkehrsfähigkeit Beweismittel); Hochstufung auf Muss-Anforderung; Alternative Verfahren sind nicht mehr vorgesehen; Einschluss von Zeitstempeln für sehr hohe Integritätsanforderungen
A.AM.IN.SH.3 Sprachliche Ergänzung („von dem eigenständigen Netzsegment aus")
4.3.5 Anforderungen VSA additiv umzusetzen
A.AM.VT.SH.2 Löschen und Entsorgen von Datenträgern und Papierunterlagen zwingend entsprechend den Anforderungen nach BSI Grundschutz (M267) oder DIN66399
A.AM.VT.SH.4 Verweise auf andere technische Richtlinien aktualisiert
A.AM.VF.H.1 Bei sehr hohen Verfügbarkeitsanforderungen fehlertolerante Protokolle nun zwingend gefordert, statt nur empfohlen; Statt einer redundanten Datenhaltung nun eine redundante Auslegung des Scansystems gefordert
Weitere Fundstellen
Kapitel 5 Neues Kapitel zum mobilen Scannen
Kapitel 6 Neues Kapitel zum Zertifizierungsverfahren
Verweise und Erläuterungen Aktualisierung
BSI TR-03138 Downloads

BSI TR-03138

Ersetzende Digitalisierung
Technische Richtlinie des BSI

Version 1.4
TR-03138.pdf
Version 1.5
TR-03138_V1_5.pdf

Gregor Kürten
ist seit einem Jahrzehnt als Berater für den Public Sector tätig.

Bildquelle: IMTB Consulting GmbH

(ID:50507097)

Jetzt Newsletter abonnieren

Wöchentlich die wichtigsten Infos zur Digitalisierung in der Verwaltung

Mit Klick auf „Newsletter abonnieren“ erkläre ich mich mit der Verarbeitung und Nutzung meiner Daten gemäß Einwilligungserklärung (bitte aufklappen für Details) einverstanden und akzeptiere die Nutzungsbedingungen. Weitere Informationen finde ich in unserer Datenschutzerklärung. Die Einwilligungserklärung bezieht sich u. a. auf die Zusendung von redaktionellen Newslettern per E-Mail und auf den Datenabgleich zu Marketingzwecken mit ausgewählten Werbepartnern (z. B. LinkedIn, Google, Meta).

Aufklappen für Details zu Ihrer Einwilligung

Weiterführende Inhalte