ISO 27001-Zertifikat auf der Basis von IT-Grundschutz für den Betrieb der eGovernment-Plattform rlp-Middleware des Landesbetriebs Daten und Information (LDI) in Mainz

Sicherheit auf höchstem Niveau für den Betrieb der Kommunikationswege zwischen Bürgern, Wirtschaft und Verwaltung in Rheinland-Pfalz

Professionelles IT-Sicherheitsmanagement hatte Adrian Altrhein, Leiter Enterprise Security Services bei der TÜV Informationstechnik GmbH (TÜViT) und BSI-lizenzierter ISO 27001-Auditor auf der Basis von IT-Grundschutz, dem rheinland-pfälzischen Landesbetrieb Daten und Information (LDI) im Abschlussgespräch zu dem in Mainz durchgeführten Audit bescheinigt. Nach Prüfung der Auditergebnisse entschied sich das Bundesamt für Sicherheit in der Informationstechnik (BSI), dem LDI das ISO 27001-Zertifikat auf der Basis von IT-Grundschutz für den Betrieb der rlp-Middleware zu erteilen.

Die rlp-Middleware stellt als eGovernment-Plattform sichere und nachvollziehbare Kommunikationswege zwischen Bürgern, Unternehmen sowie Landes- und Kommunalverwaltungen zur Verfügung. Dazu gehören die Virtuelle Poststelle (VPS), der OSCI-Intermediär auf .net-Basis und der rlp-Service (als Portal) sowie unterstützende Prozesse. Der Untersuchungsgegenstand umfasste alle IT-Systeme des LDI, die unmittelbar oder mittelbar mit Daten der rlp-Middleware verbunden sind.

Das begehrte Zertifikat übergab zum Messestart der CeBIT (am 4. März 2008) in Hannover Bernd Kowalski (Abteilungspräsident Zertifizierung im BSI) an Innenstaatssekretär Roger Lewentz sowie an den Geschäftsführer des LDI Matthias Bongarth.

„Stolz ist das Land Rheinland-Pfalz auf die hohen Sicherheitsstandards, die der LDI für sensible Daten und Applikationen der Landesverwaltung und für die Kommunikation im gesamten eGovernment-Umfeld gewährleistet“, betonte der Staatssekretär. LDI-Geschäftsführer Bongarth fügte hinzu: „Die Zertifizierung nach ISO 27001 bedeutet für den LDI eine zusätzliche Anerkennung nach internationalen Standards.“

Der LDI ist als Landesbetrieb der zentrale Dienstleister für die Informations- und Kommunikationstechnologie in der rheinland-pfälzischen Landesverwaltung. Er erbringt Dienstleistungen bei Betrieb und Betreuung moderner Rechenzentrums- und Netzwerkinfrastruktur im Bereich von Hochsicherheits- und Hochverfügbarkeitslösungen, u. a. auch für die Polizei und die Justiz. Mit mehr als 650 Serversystemen stellt der LDI für die Landesverwaltung und die Kommunalverwaltungen Anwendungen, Kommunikationsdienste, RZ-Leistungen und weitere IT-Services hochverfügbar rund um die Uhr bereit. Über das rlp-Netz können öffentliche Stellen im ganzen Land diese Leistungen online nutzen. Der RZ-Service beinhaltet je nach Anforderung seiner Kunden Leistungen sowohl für Host- als auch Serverplattformen.

Auch TÜViT-Geschäftsführer Antonius Sommer, der die Zertifikatsübergabe auf dem TÜViT-Stand begleitete, hat gute Gründe auf das Ergebnis der durchgeführten Prüfung stolz zu sein: „Der Erfolg des LDI ist gleichzeitig ein Erfolg der TÜViT, die seit Jahren den Ansatz einer ganzheitlichen Informationssicherheit in Unternehmen und Behörden, insbesondere nach BSI-Vorgabe, aktiv unterstützt. Der über Jahre gewachsene und nun ausgezeichnete Stellenwert des ISO 27001-Zertifikates in der BSI-Ausprägung zeigt, dass Sicherheit made in Germany eine breit anerkannte Marke ist. Es war und ist uns ein besonderes Anliegen, den BSI-Ansatz sowohl in Deutschland, als auch – durch unsere internationale Ausrichtung – weit über die deutschen Grenzen hinaus bekannt zu machen.“

Die ISO 27001-Zertifizierung auf der Basis von IT-Grundschutz bezieht sich auf die Steuerung sowie auf den Umgang mit Informationssicherheit in einer Institution oder Teilen einer Institution und ist eine besondere Ausprägung der Zertifizierung nach dem weltweit gültigen Standard ISO 27001. Wesentliche Anforderungen betreffen ein angemessenes Informationssicherheitsmanagement sowie konkret etablierte Informationssicherheitsmaßnahmen, welche die Anforderungen an die Institution sowie die Risiken derselben abdecken müssen.

Voraussetzung für die Vergabe eines ISO 27001-Zertifikats auf der Basis von IT-Grundschutz ist eine Prüfung (Audit) durch einen vom BSI lizenzierten Auditor. Zu den Aufgaben eines ISO 27001- Auditors auf der Basis von IT-Grundschutz gehören insbesondere ein Dokumenten-Audit, ein Vor-Ort-Audit und die Erstellung eines Auditreports. Für die Vergabe eines Zertifikates muss dieser Auditreport zur Überprüfung der Zertifizierungsstelle des BSI vorgelegt werden. Auf der Grundlage des Auditreports und des BSI-Zertifizierungsschemas für ISO 27001 auf der Basis von IT-Grundschutz wird entschieden, ob ein Zertifikat ausgestellt werden kann oder nicht.

Das BSI ist die oberste IT-Sicherheitsbehörde der Bundesrepublik Deutschland und gleichzeitig eine unabhängige und neutrale Stelle für Fragen zur IT-Sicherheit in der Informationsgesellschaft. Als Behörde ist sie damit im Vergleich zu sonstigen europäischen Einrichtungen einzigartig.

Fazit:

Mit der Zertifizierung erreicht der Betrieb der rlp-Middleware einen Status, der bislang nur von wenigen Rechenzentren erlangt werden konnte. Der LDI konnte damit unter Beweis stellen, dass der Betrieb dieser zukunftsorientierten eGovernment-Plattform und damit auch die damit verbundenen Sicherheitsvorkehrungen höchsten Ansprüchen genügen und auch den steigenden komplexen Sicherheitsanforderungen der Zukunft gerecht werden können.

CeBIT 2008 - Zertifikatsübergabe