Vorlage
Erweiterte ISDS Dokumentation für Durchführungsstellen
Bundesamt für Sozialversicherungen
18.12.2024
Dokumentinformationen
Titel:
Erweiterte ISDS Dokumentation für Durchführungsstellen
Veröffentlichungsdatum:
18.12.2024
Gespeichert:
26. November 2024
Anzahl Seiten:
13
Dateiname:
isds template.docx
Dokumentverantwortlicher:
BSV, DS-ITM
Status:
Final
Geprüft durch:
BSV,
Datum: 31.12.2024
Versionen
Version des Dokuments
Datum
Wichtigste Änderungen
Verantwortlich
V1.0
26.11.2024
Erstellung
M. Burri
M. Moog
Abkürzungen und Begriffe
Abkürzung
Beschreibung
AK
Ausgleichskasse
DS
Durchführungsstelle
Referenzierte Dokumente
Gewisse sicherheitsrelevante Aspekte sind in separaten Dokumenten festgehalten. Auf die folgenden Dokumente wird im Rahmen dieses ISDS-Konzepts referenziert:
Titel
Autor / Herausgeber
Datum
Inhaltsverzeichnis
1. Zweck des Dokuments 5
2. Management Summary 5
2.1. Allgemeines 5
2.2. Zusammenfassung Restrisiken 5
2.3. Abschliessende Bemerkungen 5
3. Verzeichnis der sicherheitsrelevanten Dokumente 5
4. Einstufung an Hand Schutzbedarfsanalyse 6
5. Sicherheitsrelevante Systembeschreibung 7
5.1. Ansprechpartner und Verantwortlichkeiten 7
5.2. Beschreibung des Gesamtsystems 7
5.3. Beschreibung der zu bearbeitenden Daten 7
5.4. Architekturskizze & Kommunikationsmatrix 8
5.5. Beschreibung der zugrundeliegenden Technik 9
6. Risikoanalyse und Schutzmassnahmen 10
6.1. Restrisiken 10
6.1.1. Erhöhte Restrisiken (rot) 11
6.1.2. Erhöhte Restrisiken (gelb) 11
6.2. Besonders zu beachtende Punkte 12
7. Wiederherstellung des Geschäftsbetriebes 12
8. Einhaltung / Überprüfung / Abnahme der Schutzmassnahmen 12
8.1. Systemabnahmeprüfung 12
9. Ausserbetriebnahme 13
10. Abkürzungen 13
11. Anhang 13
Zweck des Dokuments
Das ISDS-Konzept legt die nötigen Angaben zur Erhaltung und Verbesserung der Informationssicherheit und des Datenschutzes fest. Es fasst die Aspekte der Informationssicherheit und des Datenschutzes des entsprechenden IT-Systems zusammen und beschreibt das IT-System als Ganzes, dokumentiert die Risikoanalyse sowie die getroffenen Schutzmassnahmen.
Management Summary
Das Management-Summary fasst den Zweck des Schutzobjekts, die Ergebnisse aus der Schutzbedarfsanalyse sowie die getroffenen Massnahmen kurz zusammen. Es sollte so geschrieben sein, dass es auch für technisch nicht-versierte Menschen gut verständlich ist. Das Management-Summary fasst zudem die verbliebenen Restrisiken zusammen, die durch mit der Abnahme des vorliegenden ISDS-Konzepts durch die Geschäftsleitung getragen werden.
Es wird empfohlen, das Management-Summary am Schluss der Erstellung (nach dem ersten Review) zu verfassen
Allgemeines
Zusammenfassung der Angaben im Dokument über die getätigte Risikoanalyse, die Informationssicherheit und den Datenschutz. Zeigt ein Bild über das vorhandene Risikopotential des untersuchten Systems auf.
Zusammenfassung Restrisiken
Aus dem Kapitel 6.1 ist die Zusammenfassung und Beurteilung der
Restrisiken zu erstellen. Der Entscheid darüber, ob die Restrisiken in Kauf genommen werden, obliegt dem Leiter der zuständigen Organisation.
Abschliessende Bemerkungen
Abschliessende wichtige Bemerkungen und Fazits zum vorliegenden Informatikschutzobjekt.
Verzeichnis der sicherheitsrelevanten Dokumente
Hier sind die rechtlichen Grundlagen anzuführen auf die sich das (zu realisierende) IT-Vorhaben abstützt. Neben behördlichen Vorgaben (Gesetzen, Verordnungen, Weisungen) sind auch interne Dokumente aufzuführen.
Risiken und Gefahren können teilweise durch übergeordnete Sicherheitskonzepte oder SLA abgedeckt sein. Diese Dokumente sind hier aufzuführen.
Dokumententyp
Titel
Gesetz
SR 235.1 Bundesgesetz über den Datenschutz (DSG)
SR 152.1 Bundesgesetz über die Archivierung (Archivierungsgesetz, BGA)
Verordnung
SR 235.11 Verordnung zum Bundesgesetz über den Datenschutz (VDSG)
SR 172.010.58 Verordnung
über die Koordination der digitalen Transformation
und die IKT-Lenkung in der Bundesverwaltung (VDTI)
SR 172.010.442 Verordnung über die Bearbeitung von Personendaten, die bei der Nutzung der elektronischen Infrastruktur des Bundes anfallen
Weisung
Weisungen des BSV (W-ISDS, weitere)
Strategie
Übergeordnete Sicherheitskonzepte
SLA
Weitere interne Dokumente
Vom Verfasser zu ergänzen
Einstufung an Hand Schutzbedarfsanalyse
Die Einstufung des Informatikschutzobjekts muss gemäss Schutzbedarfsanalyse (Schuban), vorgenommen werden.
Mit den Beurteilungen in der Schuban sollen auch allfällige finanzielle Folgen von Sicherheitsbedürfnissen geschätzt und im Dokument beschrieben werden.
Die Zusammenfassung sowie die Einstufung der Schuban soll hier in Tabellenform dargestellt werden.
Ergebnis der Einstufung
Vertraulichkeit:
Werden Personendaten bearbeitet ? Wenn ja, besteht ein hohes Risiko ?
Klassierung gemäss internen Richtlinien, z. B. intern, vertraulich, …
Anforderungen an Vertraulichkeit (erhöht/nicht erhöht)
Verfügbarkeit:
Maximal zulässige Ausfalldauer, z. B. <2 Std, <8 Std, <12 Std, mehr als 12 Std
Maximal zulässiger Datenverlust, z. B. 30 Min, 2 Std, 24 Std
Notwendigkeit von IT Service Continuity Management (ITSCM) als Teil des Business Continuity Managements
Integrität:
Bestehen spezielle Anforderungen an die Integrität ?
Nachvollziehbarkeit:
Bestehen spezielle Anforderungen an die Nachvollziehbarkeit ?
Erkenntnis aus der Schuban Normaler oder erhöhter Schutzbedarf
Sicherheitsrelevante Systembeschreibung
Verdichtete Beschreibung der sicherheitsrelevanten Elemente aus dem System, den Anwendungen, den vorhandenen und bearbeiteten Datensammlungen und den dazugehörenden Prozessen.
Ansprechpartner und Verantwortlichkeiten
Wer
Name
Anwendungsverantwortlicher
Pool oder Partner der Ausgleichskasse
Inhaber der Daten
In der Regel die jeweilige Ausgleichskasse
Systembetreiber
Ausgleichskasse oder Partner
Ansprechpartner beim Systembetreiber
Name/Organisation der zuständigen Stelle
ISBD
ISBD der Ausgleichskasse
ISBO
ISBO der Ausgleichskasse
DSBO
DSBO der Ausgleichskasse
weitere Stellen
Beschreibung des Gesamtsystems
Beschreibung des Systems als Ganzes sowie der sicherheitsrelevanten Funktionalitäten wie Rollenkonzepte, Authentisierungsmethode, Backup, Support- und Wartungsprozesse (evtl. Fernwartung), SLA etc. Es können auch Verweise auf entsprechende Dokumente (Name, Erstellungsdatum, Speicherort, etc.) gemacht werden. Die Beschreibung soll so ausgeführt sein, dass er vollständig und auch für Unbeteiligte verständlich und nachvollziehbar formuliert ist.
Beschreibung der zu bearbeitenden Daten
Beschreibung der Daten und Strukturen (z.B. verwendete Datenbank).
Folgende Fragen müssen bei der Bearbeitung von Personendaten geklärt bzw. sollen beschrieben sein:
Ist die Datensammlung beim EDÖB angemeldet?
Bei diesem Punkt geht es darum, festzustellen ob die Datenbearbeitung den Vorgaben des Datenschutzgesetztes genügt. Insbesondere ist zu prüfen ob eine Datensammlung beim EDÖB angemeldet werden muss oder nicht.
Ist ein Bearbeitungsreglement zu erstellen? Hilfe dazu finden Sie im Template Bearbeitungsreglement sowie in der Verordnung zum DSG und unter dem Link Leitfaden zu den technischen und organisatorischen Massnahmen des Datenschutzes Wenn ja, Verweis zum entsprechenden Dokument.
Besteht eine gesetzliche Grundlage zur elektronischen Bearbeitung der Daten?
Müssen die Daten dem Bundesarchiv elektronisch zur Verfügung gestellt werden?
Bei klassifizierten Informationen sind die ISchV & die detaillierten Bearbeitungsvorschriften (nur im Intranet verfügbar) zu beachten
Architekturskizze & Kommunikationsmatrix
Hier eine Architekturskizze und eine Kommunikationsmatrix einfügen oder auf das entsprechende aktuell gehaltene Dokument verweisen.
Beschreibung der zugrundeliegenden Technik
Beschreibung der verwendeten Techniken wie Serverplattform, Betriebssystem(e), Systemumfeld, verwendete Netzwerke, Kryptographische Funktionen etc. Sie sollen so beschrieben sein, dass es vollständig ist und auch für Unbeteiligte verständlich und nachvollziehbar.
Alternativ kann auf das entsprechende aktuell gehaltene Dokument verwiesen werden.
Risikoanalyse und Schutzmassnahmen
Beschreibung der relevanten Risikofaktoren (Verfügbarkeit, Vertraulichkeit, Integrität und Nachvollziehbarkeit), Auflistung und Bewertung der Risiken
Die detaillierte Risikoanalyse ist anhand der zum Konzept/zur DSFA gehörenden Excel-Datei vorzunehmen. Hinweise zum Ausfüllen sind im Excel-Dokument zu finden.
Ergebnisse aus der Risikoanalyse:
In der Arbeitsmappe «Restrisikomatrix» ist beschrieben, in welcher Kategorie sich das beurteilte Restrisiko befindet.
Grün: sind Risiken die entweder inhärent (im Schutzobjekt als solches) sind oder aber vernachlässigt werden können. Sollen mit einfachen Massnahmen minimiert werden können.
Gelb: Risiken deren Auswirkungen erheblich sind und deshalb reduziert werden müssen.
Rot: Grosse Risiken deren Auswirkungen kritisch bis katastrophal sind. Diese Risiken müssen unbedingt reduziert werden.
Risiken die nicht oder ungenügend reduziert werden (aus der Restrisikomatrix rot oder gelb markiert), müssen im ISDS-Konzept (Kapitel 6.1) ausgewiesen werden. Sie sind auszuweisen und dem Auftraggeber und dem Geschäftsprozessverantwortlichen schriftlich zur Kenntnis zu bringen. Der Entscheid darüber, ob bekannte Restrisiken in Kauf genommen werden, obliegt dem Leiter der zuständigen Verwaltungseinheit. Die Restrisiken müssen auch im Management- Summary (Kapitel 2.2) kurz zusammengefasst werden.
Restrisiken
Hier ist das Abbild des Rasters «Restrisikomatrix» aus der Risikoanalyse einzufügen.
Die Nachfolgende Tabelle liefert eine Übersicht und Begründung zu den verbleibenden Risiken welche eine Einstufung von «rot» oder «gelb» aufweisen
Nr.
Risiko
Begründung
Erhöhte Restrisiken (rot)
Risiko-Nr.
Risiko
Bewertung
Massnahme(n)
Umsetzungsgrad
%
Verantwortlich
Umsetzung
Ausstehend
Bemerkung
Erhöhte Restrisiken (gelb)
Risiko-Nr.
Risiko
Bewertung
Massnahme(n)
Umsetzungsgrad
%
Verantwortlich
Umsetzung
Ausstehend
Bemerkung
Besonders zu beachtende Punkte
Allfällige relevante Punkte aufführen
Wiederherstellung des Geschäftsbetriebes
Bei einem Schutzobjekt, welches kritische Geschäftsprozesse unterstützt, ist ein Notfallkonzept zu erstellen.
Dieses beschreibt die Notfallplanung und Katastrophenvorsorge des Informatikschutzobjekts, um die Aufrechterhaltung und Wiederherstellung der Geschäftsfähigkeit in ausserordentlichen Situationen zu gewährleisten. Eine Hilfestellung dazu ist im Dokument «P042-Hi03 - Notfallkonzept» intranet.ncsc.admin.ch, Vorgaben & Hilfsmittel > Sicherheitsverfahren > Erhöhter Schutz > P042 - Informationssicherheits- und Datenschutzkonzept (ISDS) zu finden..
In jedem Fall ist hier ein Verweis zu den BCM Dokumenten auf Stufe Amt zu machen.
Einhaltung / Überprüfung / Abnahme der Schutzmassnahmen
Beschreibt die Regelung zur Durchführung von angemeldeten oder unangemeldeten Revisionen und Überprüfungen der Informationssicherheitsaktivitäten im Projekt und anschliessend im Betrieb.
Systemabnahmeprüfung
Neue und aktualisierte Systeme müssen während der Entwicklungsprozesse eine gründliche Überprüfung und Verifizierung erfahren, einschließlich der Vorbereitung einer detaillierten Planung der Aktivitäten, Testeingaben und erwarteten Ausgaben unter verschiedenen Bedingungen. Wie bei internen Entwicklungsvorhaben sollten derartige Prüfungen zunächst vom Entwicklungsteam durchgeführt werden. Danach sollten unabhängige Abnahmeprüfungen unternommen werden (sowohl bei internen als auch bei ausgelagerten Entwicklungsvorhaben), um sicherzustellen, dass das System wie erwartet (und nur wie erwartet) funktioniert (siehe ISO/IEC 27002:2013 Kapitel 14.1.1 und 14.1.2). Der Umfang der Prüfungen sollte der Bedeutung und der Beschaffenheit des Systems entsprechen.
Zusammenfassung des durchgeführten Audits (wer, wann, was, Resultat).
Ausserbetriebnahme
Beschreibt die zu beachtenden Punkte bei der Ausserbetriebnahme wie Vernichtung von Datenträgern, Aufhebung von Berechtigungen, Anpassung von Zugriffsrechten etc.
Abkürzungen
Definitionen, Akronyme und Abkürzungen
Begriff / Abkürzung
Bedeutung
AV
Anwendungsverantwortlicher
DSBO
Datenschutzberater der Verwaltungseinheit
DSG
Eidgenössisches Datenschutzgesetz
EDÖB
Eidgenössischer Datenschutz- und Öffentlichkeitsbeauftragter
ISBO
Informatiksicherheitsbeauftragter der Organisationeinheit
ISBD
Informatiksicherheitsbeauftragter des Departements
ISDS-Konzept
Informationssicherheits- und Datenschutzkonzept
NCSC
Nationales Zentrum für Cybersicherheit
Schuban
Schutzbedarfsanalyse
SLA
Service Level Agreement
SV
Systemverantwortlicher
VDSG
Verordnung zum Datenschutzgesetz
Anhang
Hier werden entsprechend weitergehende Dokumente angefügt, mindestens
Schutzbedarfsanalyse
Risikoanalyse