Security Architecture Principles
As derived from TR-03187
Technische Richtlinie TR-03187 by the Bundesamt für Sicherheits in der Informationstechnik (BSI) gives a number of specific requirements that are relevant for the (component) architectural level. In particular:
| Number | Requirement | Level | SOLL/MUSS |
|---|---|---|---|
| AR-1 | Interne und externe Zugriffe auf Plattformkomponenten MÜSSEN mit den geringstmöglichen Privilegien erfolgen. | 1 | MUSS |
| AR-2 | Clientseitige Technologien mit bekannten Sicherheitsschwächen (bspw. NSAPI, Flash, ActiveX oder Java-Applets) DÜRFEN NICHT verwendet werden. Die Sicherheitseigenschaften clientseitiger Technologien SOLLEN dem Stand der Technik entsprechen. | 1 | SOLL |
| AR-7 | Die Benutzerverwaltung SOLL gruppen- oder rollenbasiert erfolgen. Jeder Benutzer SOLL mindestens einer definierten Gruppe oder Rolle zugewiesen sein. | 1 | SOLL |
| AR-10 | Durch Benutzer oder Clients bereitgestellte Geheimnisse (bspw. Passwörter, PINs, Schlüssel oder API-Tokens) MÜSSEN als unsicher betrachtet werden. Insbesondere DÜRFEN sie NICHT dafür verwendet werden, die Vertraulichkeit von Daten gegenüber Dritten sicherzustellen. | 1 | MUSS |
| AR-12 | Für sicherheitskritische Funktionen (bspw. Authentifizierung, Authentisierung, Autorisierung, Eingabevalidierung und Signaturprüfungen) SOLLEN etablierte und bewährte Standardfunktionen des verwendeten Frameworks, Betriebssystems oder der Programmiersprache genutzt werden. | 1 | SOLL |
| AR-14 | Alle in der UDP verfügbaren Sicherheitsmechanismen SOLLEN standardmäßig aktiviert sein. | 1 | SOLL |
| AR-15 | Kommunikation zwischen Plattformkomponenten MUSS verschlüsselt, integritätsgeschützt und mindestens einseitig authentifiziert erfolgen (z. B. TLS). | 1 | MUSS |
| AR-16 | Plattformkomponenten in unterschiedlichen Vertrauenszonen MÜSSEN voneinander (z. B. durch Firewall-Regeln, API-Gateways, Reverse Proxies, Security-Gruppen oder ähnliche Mechanismen) isoliert sein. | 1 | MUSS |
| AR-19 | Die UDP MUSS die Autorisierung für alle Plattformkomponenten über einen zentralen Dienst durchführen. Das impliziert, dass dieser Dienst zur Autorisierung von allen durch Plattformkomponenten verarbeitete Anfragen genutzt wird. Insbesondere DÜRFEN Plattformkomponenten alternative Autorisierungsmechanismen NICHT anbieten. Einzige Ausnahme ist der Zugang für Infrastrukturadministratoren. Dieser SOLL über eine unabhängige Komponente authentifiziert und autorisiert werden. | 2 | MUSS |
| AR-21 | Die UDP MUSS einen Dienst zur zentralen Sammlung von Logging-Informationen verwenden. | 2 | MUSS |
| AR-23 | Die fachliche Administration der Plattformkomponenten MUSS über eine Komponente realisiert werden, die ebenfalls den plattformeigenen Dienst zur Autorisierung verwendet. Insbesondere DÜRFEN komponenteneigene Administrationszugänge NICHT verwendet werden. | 2 | MUSS |
| AR-26 | Die Architektur der UDP MUSS so gestaltet sein, dass jegliche Kommunikation über externe Web-Schnittstellen über ein zentrales Gateway entgegengenommen wird. | 3 | MUSS |
| AR-27 | Die Architektur der UDP MUSS so gestaltet sein, dass jegliche Kommunikation mit IoT- Geräten über ein zentrales Gateway entgegengenommen wird. | 3 | MUSS |
| AR-28 | Die UDP MUSS eine Komponente verwenden, die automatisierte Auswertungen von Log-Informationen vornimmt und im Fall von auffälligen Sicherheitsereignissen Meldungen generiert. | 3 | MUSS |
| AR-32 | Kritische Softwarekomponenten8 MÜSSEN durch technische Maßnahmen (z. B. durch Sandboxing oder durch Container) isoliert laufen, und auch auf Netzwerkebene angemessen isoliert werden. Als kritische Softwarekomponenten werden im Rahmen dieses Dokuments solche Softwarekomponenten bezeichnet, deren Kompromittierung ohne Überwindung weiterer Sicherheitsmechanismen die Kompromittierung der gesamten UDP zur Folge hat. | 3 | MUSS |
Please be aware the TR has numerous other security requirements pertinent to the coding, implementation and deployment of CIVITAS/CORE. The requirements listed here are only the ones pertaining to the (component) architectural level. Other requirements are mentioned in other documents.