Auf Mastodon teilen

Sehr geehrter Herr Zieroth, vielen Dank für Ihre Anfrage vom 27.02.2014 über www.fragdenstaat.de<http://www.fragd… an die Stadtverwaltung Troisdorf zu den Themenkomplexen "Stand der IT-Sicherheit und Datenschutz in Troisdorf". Vorbemerkung: IT-Sicherheit ist, wie nicht zuletzt auch die Anhörung im Innenausschuss des Landtages NRW am 06.02.2014, auf die Sie Bezug nehmen, gezeigt hat, ein überaus sensibles Thema. Die Antwort auf die Frage, wie sicher die IT-Systeme der Kommunen und Landesbehörden seien, zeigte, dass es erhebliche Lücken in der IT-Sicherheit gibt und das das Interesse der Geheimdienste an den kommunalen IT-Infrastrukturen aufgrund der dort gespeicherten Meldedaten besonders groß ist. Ihr Informationsbegehren beantworte ich wie folgt: Themenkomplex Penetrationstest Wurden bereits Penetrationstests durchgeführt? Grundsätzlich werden Infrastruktur und Anwendungslandschaft regelmäßigen Sicherheitsüberprüfungen verschiedener Ausprägung unterworfen. Eines der möglichen Mittel, neben Audit, Testat, Schwachstellenscan, etc. ist der Penetrationstest. Details zu inhaltlicher und fachlicher Ausprägung solcher Prüfungen können im Sinne der Informationssicherheit nicht bekannt gegeben werden, wofür ich um Verständnis bitte. In der Stadt Troisdorf liegt eine geteilte Infrastruktur vor. Die betriebsrelevanten externen Netzzugänge werden durch einen IT-Dienstleister zur Verfügung gestellt und in dessen Verantwortung regelmäßigen Überprüfungen unterzogen. Wenn ja: 1. Wurden diese Penetrationstests verdeckt oder offen durchgeführt? Aufgrund der vorbeugend erforderlichen Maßnahmen, besonders hinsichtlich der Verfügbarkeit der Systeme im täglichen Einsatz durch den Bürgerservice, werden adäquate Vorgehensweisen ausgewählt. 2. Wurde mit den Penetrationstests ein externer Dienstleister betraut? Im Rahmen regelmäßiger Überprüfungen der Informationssicherheit kommen fachlich geeignete Ressourcen zum Einsatz, wobei aufgrund des modernen Dienstleistungscharakters auch die kommuneneigene IT als extern zum Verwaltungsbetrieb anzusehen wäre. 3. Welche fachliche Eignung hatte der beauftragte Penetrationstester? Für Penetrationstest werden grundsätzlich nur solche Ressourcen herangezogen, welche sowohl nachweislich über die entsprechende Qualifikation/Ausbildung als auch über einschlägige Referenzen verfügen. 4. Welche Maßnahmen wurden aufgrund der Ergebnisse zur Sicherung der Systeme getroffen? Über die aus einem Penetrationstest gewonnenen Ergebnisse bzw. identifizierten Verbesserungen kann zum Schutze der Infrastruktur und zur Wahrung der Integrität der Maßnahmen keine Aussage getroffen werden. Wenn nein: 1. Warum wurden keine Penetrationstests durchgeführt? --- Themenkomplex Datenschutz Inwiefern werden Mitarbeiter Datenschutzrechtlich geschult und auf die Vertraulichkeit der Daten in den Systemen hingewiesen? Für Mitarbeiter des öffentlichen Dienstes gilt in Nordrhein Westfalen grundsätzlich das Landesdatenschutzgesetz NRW. Beamte werden auf die Einhaltung dieses und anderer einschlägiger Gesetze im Rahmen ihrer Berufung hingewiesen, während sich die Verpflichtung zur Einhaltung der entsprechenden Gesetze für die Angestellten aus dem TVöD ergibt. Angestellte werden somit bei Aufnahme ihres Arbeitsverhältnisses auf die Einhaltung des Datenschutzes hingewiesen. Grundsätzlich ist eine regelmäßige Schulung aller Mitarbeiter hinsichtlich Datenschutzbelange vorgesehen und wird durch den bestellten Datenschutzbeauftragten bzw. seinen Beauftragten durchgeführt. Wurde ein Datenschutzbeauftragter bestellt? Im Rahmen der Konformität zum Landesdatenschutzgesetz NRW, §32a Abs. 1 hat die Stadt Troisdorf für ihre verantwortlichen Stellen einen behördlichen Datenschutzbeauftragten und einen Vertreter schriftlich bestellt. Themenkomplex IT-Sicherheit allgemein Wird die IT-Umgebung komplett eigenständig betrieben? Aufgrund der komplexen Anforderungen an die IT einer modernen Kommune werden verschiedene Komponenten der IT-Umgebung selbst betrieben, während andere zentralisiert bereitgestellt und betreut werden. Wenn nein: 1. Welche Teile werden durch einen Dienstleister betreut? o Landesverwaltungsnetz (DOI) und Anbindung o Externe Infrastruktur o Verschiedene Fachanwendungen 2. Welche Teile werden selbst betreut? o Interne Infrastrukturkomponenten o Verschiedene Fachanwendungen Welche Maßnahmen werden getroffen um die IT-Infrastruktur zu schützen? Wissend, dass es keine absolute Sicherheit gibt und jede Maßnahme mit ausreichenden Kenntnissen unterminiert werden kann, können leider keine konkreten Angaben gemacht werden, da deren Offenlegung eine Gefährdung der Infrastruktur bedeuten würde. Wurde ein IT-Sicherheitsbeauftragter bestellt? Da zur Bestellung des IT-Sicherheitsbeauftragten bisher keine gesetzliche Grundlage vorliegt, wurde bisher auch noch keine Bestellung vorgenommen. Welche Maßnahmen sind in Zukunft geplant um den Schutz der Systeme zu verbessern? Auch hier muss leider auf die Nennung konkreter Maßnahmen verzichtet werden, da dies die erfolgreiche Einführung der Maßnahmen in Frage stellen würde. Gab es bereits erfolgreiche Angriffe auf die IT-Infrastruktur oder wurden Angriffe abgewehrt? Grundsätzlich unterliegt jede IT-Infrastruktur fortwährenden Angriffen, welche sich im Rahmen von Kommunen in der Regel aber auf die aus dem Internet erreichbaren Services erstrecken. Diese Services sind speziell für den Betrieb im Internet ausgelegt bzw. vorgesehen, mit entsprechenden Sicherheitsmaßnahmen versehen und von der restlichen Infrastruktur separiert. Bisher konnten lediglich erfolglose Angriffe identifiziert werden. Werden die verantwortlichen Mitarbeiter in Fragen der IT-Sicherheit regelmäßig fortgebildet? Die Sensibilisierung der Mitarbeiter hinsichtlich Maßnahmen der IT-Sicherheit, oder besser Informationssicherheit ist einer der wesentlichen Faktoren. Hier wurden bereits wiederholt Veranstaltungen angeboten und durchgeführt. Mit freundlichen Grüßen