Informationssicherheit auf Basis des IT-Grundschutzes bei der GDV Dienstleistungs-GmbH & Co. KG Torsten Hemmer Berlin, 15. September 2015

Vorstellung der GDV Dienstleistungs-GmbH (GDV-DL) Agenda Vorstellung der GDV Dienstleistungs-GmbH (GDV-DL) Die Informationssicherheit bei der GDV-DL Umsetzung des ISMS mit verinice.PRO 1

Vorstellung der GDV Dienstleistungs-GmbH (GDV-DL) Agenda Vorstellung der GDV Dienstleistungs-GmbH (GDV-DL) Die Informationssicherheit bei der GDV-DL Umsetzung des ISMS mit verinice.PRO 2

Vorstellung der GDV Dienstleistungs-GmbH & Co. KG Gemeinschaft der Autoversicherer Gesamtverband der Deutschen Versicherungswirtschaft e.V. 63 Versicherer GDV, Berlin GDV Dienstleistungs-GmbH & Co. KG (alle Angaben Dezember 2014) Zentralruf der Autoversicherer Notruf der Autoversicherer Abschleppzentrale elektronische Versicherungsbestätigung (eVB) weitere Service Center-Dienste gegründet 1996 als Unternehmen der Gemeinschaft der Autoversicherer und des Gesamtverbands der Deutschen Versicherungswirtschaft e.V. (GDV) mit Sitz in Hamburg Zusammenarbeit mit Behörden, der Polizei, Abschleppdiensten, Werkstätten, Anwälten, Sachverständigen, und weiteren leistungsstarken Partnern im Interesse aller Verkehrsteilnehmer hohe Kundenorientierung durch die Erreichbarkeit an 365 Tagen rund um die Uhr Wir vernetzen Versicherungsunternehmen bzw. die Kunden der Versicherungsunternehmen mit Partnern der Versicherungswirtschaft und Behörden 300 Mitarbeiter, davon 60 MA in der IT, 170 im Service Center

Vorstellung der GDV Dienstleistungs-GmbH & Co. KG Im Kerngeschäft regeln die Dienstleistungen der GDV DL den Datenaustausch der Autoversicherer mit Behörden, Kunden, Hilfsorganisationen und Verfahrenspartnern. Der Zentralruf bietet dem durch einen Verkehrsunfall Geschädigten die Möglichkeit, Angaben zur Geltendmachung von Schadenersatzansprüchen zu erhalten und leitet diese Information an den Versicherer weiter. Das eVB – Verfahren wickelt als zentrale Stelle den elektronischen Datenaustausch zwischen Versicherern und Kfz-Zulassungsbehörden ab. Dienstleistungen im Notrufumfeld (BAB Notruf und Abschleppzentralen) werden im Auftrag des Bundesverkehrsministeriums und einzelner Bundesländer erbracht. Mit dem mobilen Notruf wird den Versicherungskunden im Pannenfall Unterstützung nach Anweisung der jeweiligen Versicherer angeboten. Merkmale sämtlicher Dienstleistungen sind die Entgegennahme und Strukturierung der Mitteilungen von Verfahrensbeteiligten und die Weitergabe nach den Maßgaben der Auftraggeber. 4

Dienstleistungen im Bereich Pannen- und Unfallhilfe Vorstellung der GDV Dienstleistungs-GmbH & Co. KG Dienstleistungen im Bereich Pannen- und Unfallhilfe Bearbeitung aller Notrufe von den stationären Notrufsäulen an Bundesautobahnen 365 Tage im Jahr und 24 Stunden am Tag erreichbar Standort bekannt durch Geovermessung ca. 104.000 Säulenvorgänge NOTFON D: Unter 0800 6683663 kostenfreie Vermittlung von Pannenhilfe für den Verkehrsteilnehmer ca. 40.000 Anrufe PAKOO: Hauseigene App zur „Pannenkoordination und Ortung“ zuverlässige Pannen- und Unfallräumungen Abschleppzentralen Netzwerkmanagement ca. 42.500 Anrufe im Jahr 2014 (bei ca. 38.500 Vorgängen und ca. 46.000 Fahrzeugen) (alle Angaben Dezember 2014)

Vorstellung der GDV Dienstleistungs-GmbH (GDV-DL) Agenda Vorstellung der GDV Dienstleistungs-GmbH (GDV-DL) Die Informationssicherheit bei der GDV-DL Umsetzung des ISMS mit verinice.PRO 6

Die Informationssicherheit bei der GDV-DL Die datentechnischen Infrastrukturen und Verfahrensweisen der GDV-DL sind nach den Vorgaben der IT-Grundschutzkataloge des Bundesamtes für Sicherheit in der Informationstechnik (BSI) und der DIN ISO 27001 IT-Sicherheitsverfahren / IT-Sicherheitsmanagement (ISMS) ausgerichtet und in unternehmenseigenen IT-Sicherheitskonzepten beschrieben Aufgrund der Zusammenarbeit mit Kfz-Versicherern sowie Ministerien und Behörden hat die GF der GDV-DL entschieden die IT-Sicherheit des Unternehmens auf Basis des IT-Grundschutzes auszurichten 7

Die Informationssicherheit bei der GDV-DL Die Geschäftsleitung der GDV-DL hat einen IT-Sicherheitsbeauftragten berufen. Die Funktion des IT-Sicherheitsbeauftragten ist in der IT-Sicherheitsleitlinie beschrieben. Der IT-Sicherheitsbeauftragte ist fachlich und disziplinarisch dem Bereichsleiter der IT zugeordnet. Der IT-Sicherheitsbeauftragte berichtet primär an den IT-Bereichsleiter. Dieser ist Mitglied der Geschäftsleitung. In Teilbereichen ist der IT-Grundschutz durch ISO 27001 Controls erweitert. Umsetzen von individuellen Risikoanalysen /-bewertungen nach BSI-Standard 100-3. ISO 27001 Erweiterungen: Softwareentwicklung, Qualitätsmanagement, 8

Der IT-Bereich der GDV-DL ist nach ISO 9001 zertifiziert. Die Informationssicherheit bei der GDV-DL Der IT-Bereich der GDV-DL ist nach ISO 9001 zertifiziert. Die ISO 9001 Verfahren sind Bestandteil des IT-Sicherheitsprozesses, der IT-Sicherheitsprozess ist geregelt in den Verfahrensanweisungen der ISO 9001. Der Aufgabenbereich des IT-Sicherheitsbeauftragten ist in der ISO 9001 beschrieben. Die Einbindung des IT-Sicherheitsbeauftragten ist geregelt im Projektmanagementhandbuch und im Vorhabenhandbuch. Beide Dokumente sind wiederum Bestandteil der ISO 9001. Die ISO 9001-Zertifizierung beinhaltet eine jährliche Re-Zertifizierung. Der IT-Sicherheitsprozess / das ISMS werden im Zuge dieser jährlichen Re-Zertifizierung geprüft (im Wechsel durch interne und externe Auditoren [Zertifizierungsstelle]). Die Implementierung und Einhaltung der des IT-Sicherheitsprozesses wurde dadurch wesentlich vereinfacht Die Abteilungen sind es gewohnt neue Prozesse schnell zu integrieren und auf Änderungen zu reagieren Der IT-Sicherheitsprozess GDV-DL: Vorhabenhandbuch, Projektmgmt-Handbuch, Ticketsystem, 9

Vorstellung der GDV Dienstleistungs-GmbH (GDV-DL) Agenda Vorstellung der GDV Dienstleistungs-GmbH (GDV-DL) Die Informationssicherheit bei der GDV-DL Umsetzung des ISMS mit verinice.PRO 10

Die GDV-DL setzt verinice.PRO als ISMS-Tool ein. Umsetzung des ISMS bei der GDV-DL mit verinice.PRO Die GDV-DL setzt verinice.PRO als ISMS-Tool ein. Genutzt wird die ISM- Perspektive mit den gesamten IT-Grundschutz Inhalten + ISO 27001 Controls. Nutzung der Aufgabenfunktion um die Fachabteilungen aktiv mit in das ISMS einzubinden. Die internen ISO 9001 Auditoren und die Revision haben lesenden Zugriff. Der Umsetzungsstatus der durchzuführenden Maßnahmen wird regelmäßig geprüft (ISMS-Audit) und der Bereichs- und Geschäftsleitung berichtet. Es gibt eine jährliche Management Summary zum Umsetzungsstatus der Informationssicherheit. Es gibt zu jedem Geschäftsfeld „Informationsblätter zur IT-Sicherheit“. Risikomanagement auf Basis des BSI-Standard 100-3 mit Einbindung der ISO 27005. Risikoanalysen werden im ISMS unter Mithilfe der Fachabteilungen durchgeführt. ISM-Perspektive: BSI-Perspektive mit reinen BSI Gefährdungen in einigen Bereichen der GDV-DL nicht aussreichend. Z.B. Softwareentwicklung, Qualitätssicherung, Windows Client und Server Dazu haben wir eigene Gefährdungen und Maßnahmen erstellt Informationsblätter zur IT-Sicherheit: Diese sind auf Basis der TOM (Anlage §9 BDSG) aufgebaut, dienen als „externe IT-Sicherheitskonzepte und Vertragsanlagen 11

Umsetzung des ISMS bei der GDV-DL mit verinice.PRO - Screenshots Die IT-Verbünde in verinice entsprechen den Geschäftsfeldern der GDV-DL. Ausnahmen: GDV eV – Dienstleister, Partner Externe VU – Auftraggeber , Partner Im IT-Verbund GDV-DL befinden sich alle Assets des Unternehmens Die verschiedenen Clients sind Abteilungs- und Schutzbedarfsabhängig. 12

Umsetzung des ISMS bei der GDV-DL mit verinice.PRO - Screenshots Auszug aus dem IT-Verbund „110 Unfallmeldedienst“ Die möglichen Gefährdungen sind aufgelistet nach Grundschutz-, Spezifische- und Technische Szenarien. 13

Umsetzung des ISMS bei der GDV-DL mit verinice.PRO - Screenshots Auszug aus dem IT-Verbund „110 Unfallmeldedienst“ 14

Umsetzung des ISMS bei der GDV-DL mit verinice.PRO - Screenshots Auszug aus dem IT-Verbund „110 Unfallmeldedienst“: Risikoanalyse Teilausschnitt Unfallmeldestecker 15

Aufnahme und Risikoanalyse der Verwaltungsanwendungen in verinice.PRO. Aussicht Aufnahme und Risikoanalyse der Verwaltungsanwendungen in verinice.PRO. Prüfung von Auswirkungen und Einflüssen des IT-Sicherheitsgesetzes auf das ISMS der GDV-DL. 16

Vielen Dank! Fragen? Torsten Hemmer, GDV Dienstleistungs-GmbH & Co. KG IT-Sicherheitsbeauftragter e-mail: torsten.hemmer@gdv-dl.de Fragen?

Backup-Folien 18

Aufgaben und Geschäftsfelder GDV Dienstleistungs-GmbH & Co. KG Zentralruf der Autoversicherer Notruf der Autoversicherer Abschleppzentrale elektronische Versicherungsbestätigung (eVB) weitere Service Center-Dienste Unterstützung beim Schadenmanagement Hilfe bei Unfällen, Pannen oder sonstigen Schadenfällen Unterstützung beim Betrieb und Vertrieb Datendrehscheibe rund um die Kfz-Zulassung BAB-Notruf im Auftrag des Bundesverkehrsministeriums NotfonD (die kostenfreie mobile Notrufsäule) PAKOO (die „App“ für iPhone & Android-Smartphones) gesetzlich anerkannte Auskunftsstelle nach § 8a PflVG Vermittlung von Abschlepp- leistungen für die Polizei Datenaustausch zwischen Kfz-Versicherern und Zulassungsbehörden gegründet 1996 als Unternehmen der Gemeinschaft der Autoversicherer und des Gesamtverbands der Deutschen Versicherungswirtschaft e.V. (GDV) mit Sitz in Hamburg Zusammenarbeit mit Behörden, der Polizei, Abschleppdiensten, Werkstätten, Anwälten, Sachverständigen, und weiteren leistungsstarken Partnern im Interesse aller Verkehrsteilnehmer hohe Kundenorientierung durch die Erreichbarkeit an 365 Tagen rund um die Uhr Wir vernetzen Versicherungsunternehmen bzw. die Kunden der Versicherungsunternehmen mit Partnern der Versicherungswirtschaft und Behörden.

Unsere Dienstleistungen: Auskunftsdienste ermittelt für den Geschädigten die gegnerische Kraftfahrzeug-Haftpflichtversicherung (KH) nach einem Unfall (gegründet 1972, seit 1996 als Service Center zentral in Hamburg) in vielen Fällen sofortige telefonische Weiterleitung zur gegnerischen Versicherung möglich seit 2003 auch Ermittlung der ausländischen Versicherung bei Unfällen im europäischen Ausland (bei Beteiligung ausländischer Verkehrsteilnehmer in Deutschland: Deutsches Büro Grüne Karte e.V.) insgesamt ca. 1,293 Mio. Vorgänge im Service Center (2014) Schnittstellen für den Datenaustausch mit Partnern und Dienstleistern (z.B. Werkstätten) der Versicherungswirtschaft insgesamt ca. 2,301 Mio. Vorgänge (Datenabfragen KH und Kasko) im Jahr 2014

Unsere Dienstleistungen: Datendrehscheibe Nachweis des KH-Versicherungsschutzes bei der Kfz-Zulassung seit März 2008 elektronisch Ziele der neuen Fahrzeug-Zulassungsverordnung: Bürokratieabbau, Kosteneinsparungen, Effizienzsteigerung (Deutschland Online) Leitung des Gesamtprojekts der Versicherungswirtschaft durch die GDV DL (2006 - 2008) GDV DL als Clearingstelle der Versicherungsunternehmen (auf Behördenseite das Kraftfahrt-Bundesamt) alle in Deutschland tätigen Kfz-Versicherungsunternehmen (über 100) und Zulassungsbehörden (rund 400) nehmen am Verfahren teil Volumen ca. 114,6 Mio. Vorgänge (Datensätze) im Jahr 2014 individuelle IT-Lösungen zur Anbindung aller Versicherungsunternehmen und ihrer Vermittler zusätzliche Dienstleistungen (SMS-Versand-Service, Korrekturdienste)