Securityvoraussetzungen.pdf

[Seite 1]

Securityvoraussetzungen für den

Betrieb von Systemen bei LVR-InfoKom

Technisches Interoperabilitätsverzeichnis LVR-InfoKom

[Seite 2]

LVR-InfoKom Securityvoraussetzungen für den Betrieb von Systemen bei LVR-InfoKom

Version: 0.9.2 Stand: 31.07.2025

Status: In Arbeit

Erstellt von: Michael Perlowski Verantwortlich: Michael Fleck

Vertraulichkeitsklassifizierung: vertraulich

LVR InfoKom, Hermann-Pünder-Str. 1, D-50679 Köln

Tel.: 0221 809 2826 Mail: michael.fleck@lvr.de Internet: www.infokom.lvr.de

Alle Rechte vorbehalten.

Obwohl das Dokument mit großer Sorgfalt erstellt und geprüft wurde, können Fehler nicht vollkommen ausgeschlossen werden. Fehlerhinweise werden gerne unter Angabe des Dokumentes seitens der Autorenschaft unter o. a. Anschrift entgegengenommen.

vertraulich

[Seite 3]

LVR-InfoKom Securityvoraussetzungen für den Betrieb von Systemen bei LVR-InfoKom

Versionshistorie

Abnahmehistorie

Version Datum Beschlossen durch Hinweise

Verteiler

vertraulich

[Seite 4]

LVR-InfoKom Securityvoraussetzungen für den Betrieb von Systemen bei LVR-InfoKom

Inhaltsverzeichnis

1 Übersicht 5

2 Sicherheitsanforderungen 5

3 Zuständigkeiten 5

4 Richtlinien 6

4.1 Softwareanforderungen 6

4.2 Zugriffe 6

4.3 Legacy Produkte 6

4.4 Mobile Anwendungen 6

5 Anhang 8

5.1 Abkürzungen / Akronyme 8

5.2 Glossar 8

vertraulich

[Seite 5]

LVR-InfoKom Securityvoraussetzungen für den Betrieb von Systemen bei LVR-InfoKom

1 Übersicht

Diese Richtlinie beschreibt die grundlegenden Securityvoraussetzungen die eine Systemkomponente erfüllen muss, um ordnungsgemäß bei LVR-InfoKom betrieben zu werden.

2 Sicherheitsanforderungen

Da der ordnungsgemäße Betrieb bzw. die Funktion der Systeme elementar für die IT- Sicherheit des LVR Netzes ist, sind die Sicherheitsanforderungen an die Verfügbarkeit, die Vertraulichkeit und die Integrität „sehr hoch“; an die Revisionsfähigkeit „hoch“.

3 Zuständigkeiten

Die technische und die organisatorische Verantwortung für die Services verbleiben in der Verantwortung der jeweiligen Service Owner. Die Service Owner melden eventuelle Änderungen und Updates an das „Clearing Board“ gleicht diese in halbjährigem Turnus mit diesem Dokument ab. Ebenso werden neue Anforderungen des BSI in halbjährlichem Turnus geprüft und in dieses Dokument eingepflegt. Für diese Vorgehensweise existiert eine Review-Vorlage.

vertraulich Seite 5 von 8

[Seite 6]

LVR-InfoKom Securityvoraussetzungen für den Betrieb von Systemen bei LVR-InfoKom

4 Richtlinien

• Generell werden ausschließlich Systeme betrieben, welche sich sowohl bei Hard- als auch bei Software im Lifecycle des jeweiligen Herstellers befinden • Jegliche Systeme müssen den aktuellen Anforderungen des BSI Grundschutz entsprechen und im Betrieb im Netz des LVR eine mögliche Zertifizierung erlauben • Ein Produkt gilt als veraltet, wenn es 12 Monate keine Updates erhalten hat

4.1 Softwareanforderungen

• Die eingesetzte Software ist Firewall tauglich und die genutzten Protokolle und Ports müssen klar beschrieben und offengelegt sein • Die Erreichbarkeit eines möglicherweise vorhandenen zentralen Lizenzservers muss vom gesamten Netzwerk aus möglich sein • Falls ein Internetzugriff erforderlich ist, muss dieser über Forwardproxies mit Standardprotokollen möglich sein • Ein eventuell einem Softwareprodukt zugrundeliegendes Framework muss dokumentiert und auf aktuellem Stand sein • Sicherheitsrelevante Updates müssen zeitnah eingespielt werden. o Kritische Schwachstellen müssen innerhalb von 7 Tagen behoben werden o Schwerwiegende Schwachstellen müssen innerhalb von 30 Tagen behoben werden. • Eingesetzte Services, die auf Drittprodukten basieren (z.B. PHP) müssen ebenso zeitnah aktualisiert werden • Über auftretende kritische und schwerwiegende Sicherheitslücken informiert der Hersteller den Kunden umgehend und beseitigt diese zeitnah • Legacy-Produkte bzw. Produkte die den Anforderungen nicht entsprechen aber eingesetzt werden müssen werden durch Firewall Technologien zusätzlich abgesichert • Als Kommunikationsprotokolle dürfen nur gesicherte Verfahren wie bspw. SNMP v3, https, sftp, ssh, etc. eingesetzt werden. Protokolle wie http, telnet, ftp, etc. sind verboten

4.2 Zugriffe

• Bei externen Zugriffen findet eine Zwei-Faktor-Authentifizierung statt • Wartungszugriffe werden durch PRA reglementiert und dokumentiert • Serviceaccounts müssen komplexen Passwortrichtlinien entsprechen • Präferiert werden GMSA

4.3 Legacy Produkte

• Bei Produkten, deren Betrieb und Updates ausschließlich ein Hersteller zu verantworten hat (z.B. Medizinprodukte), erfolgt die Einbindung in das Netzwerk ausschließlich durch eine Firewall • Eingesetzte Hardwarekomponenten müssen über einen aktuellen Firmwarestand verfügen und im Lifecycle des Herstellers liegen; ansonsten wird der Betrieb ebenso durch eine Firewall geschützt

4.4 Mobile Anwendungen

• Berechtigungen von Apps müssen gesteuert werden können • Der Datenfluss innerhalb und außerhalb der eigenen Netzinfrastruktur muss dokumentiert sein

vertraulich Seite 6 von 8

[Seite 7]

LVR-InfoKom Securityvoraussetzungen für den Betrieb von Systemen bei LVR-InfoKom

• Nutzung biometrischer Merkmale in Kombination mit Passcodes ist erforderlich

vertraulich Seite 7 von 8

[Seite 8]

LVR-InfoKom Securityvoraussetzungen für den Betrieb von Systemen bei LVR-InfoKom

5 Anhang

5.1 Abkürzungen / Akronyme

5.2 Glossar

vertraulich Seite 8 von 8