Netzwerk - Sicherheitsrichtlinien, Network Security Policy NSP 2014, Genehmigung und Inkraftsetzung

1. Ausgangslage Das Datenkommunikationsnetzwerk LEUnet, das im Zeitraum Mitte 2015 bis Mitte 2016 erneuert wird, dient für die Datenkommunikation innerhalb der kantonalen Verwaltung sowie mit und zwischen den Gemeinden. Damit dieses für die tägliche Arbeit wichtige Hilfsmittel sicher betrieben werden kann, sind Verhaltensregeln nötig. Zu diesem Zweck hat die Projektorganisation LEUnet2, parallel zur Erarbeitung der neuen Netzwerkstrategie (RRB Nr. 616/2014) und zum Pflichtenheft LEUnet2, mit der Erneuerung der Netzwerk Security Policy (NSP) begonnen. Die erste NSP vom 1. Mai 2006 (RRB Nr. 491/2006) wurde erneuert und am 16. Mai 2014 durch das Kantonale IT-Team (KITT) festgesetzt. Gemäss RRB Nr. 491/2006 kann das KITT geringfügige Änderungen beschliessen, wesentliche Veränderungen sind jedoch dem Regierungsrat zu beantragen. Mit den vorliegenden Netzwerk-Sicherheitsrichtlinien soll die Netzwerk Security Policy (NSP 2014) den veränderten Bedingungen (technologisch und organisatorisch) angepasst werden.

2. Inhalt Die Richtlinien enthalten einerseits Verhaltensregeln und Massnahmen zur Verbesserung der logischen und physischen Sicherheit und weisen anderseits Aufgaben, Kompetenzen und Verantwortungen an Rollenträger zu. Im Datennetz des Kantons Zürich bestehen verschiedene Bereiche mit unterschiedlichen Sicherheitsansprüchen. Beispielsweise müssen die Netze der Kantonspolizei und der Justiz besser geschützt werden als jene der allgemeinen Verwaltung. In den Richtlinien werden die Netzbereiche in Domänen eingeteilt. Eine Domäne ist ein Netz, eine Zone oder ein Bereich mit gleichartigen Sicherheitsanforderungen. Alle Verwaltungsnetze des Kantons werden der Domäne GELB ZH zugewiesen.

Sie definiert die gemeinsamen minimalen Sicherheitsanforderungen analog zur Stufe 1 der Informatiksicherheitsverordnung ISV. In Teilbereichen, sogenannten Subdomänen, werden strengere und weiter gehende Vorschriften erlassen, soweit dies nötig ist.

3. Gültigkeit Die Richtlinien sind für alle Stellen der kantonalen Verwaltung, d. h. Direktionen, Staatskanzlei und unselbstständige Anstalten, gültig. Für Stellen ausserhalb der kantonalen Verwaltung (USZ, Gemeinden, Dienstleister, Dritte), die an das kantonale Netz angeschlossen sind, enthalten die Richtlinien ebenfalls verbindliche Kriterien. Die Interessengemeinschaft ICT Zürcher Gemeinden (IG ICT) hat aktiv bei der Erneuerung mitgearbeitet und anerkennt die Richtlinien.

4. Kosten Für die Massnahmen zur Umsetzung der NSP schätzt das KITT die Kosten für jede Direktion auf rund Fr. 50 000. Diese Aufwendungen sollen aus den ordentlichen IT-Budgets der Direktionen bestritten werden. Die Richtlinien ergänzen die Informatiksicherheitsverordnung vom 17. Dezember 1997. Den Netzwerk-Sicherheitsrichtlinien nachgeordnet sind Einzelrichtlinien, Domänenpolicies genannt. Nach der Inkraftsetzung der NSP soll das KITT auch für die Pflege dieser Richtlinien zuständig sein.