P23R: Sicherheitsarchitektur: Ein Ergebnisdokument des Projekts P23R "Prozess-Daten-Beschleuniger" im Auftrag des Bundesministeriums des Innern

Die Kernfunktionalität eines Prozess-Daten-Beschleunigers (P23R) ist die Generierung von Benachrichtigungen. Hierbei werden Unternehmensdaten anhand von zentral bereitgestellten Benachrichtigungsregeln ausgewertet, verdichtet, in eine strukturierte Form gebracht und an eine Verwaltung übermittelt. Die Hoheit über die verarbeiteten und erzeugten Daten sowie über den Kontrollfluss innerhalb des P23R liegt beim Unternehmen. Hierdurch ergibt sich insbesondere für Unternehmen mit einem hohen IT-Durchdringungsgrad die Anforderung nach einer möglichst nahtlosen Integrierbarkeit eines P23R in unternehmensinterne, IT-gestützte Abläufe. Für kleine Unternehmen und Unternehmen mit geringer IT-Durchdringung stellt der von einem P23R umgesetzte Schritt einer weitergehenden Prozesskette eine IT-technisch isolierte Aktion dar, die idealerweise über eine weitgehend in sich abgeschlossene IT-Anwendung abgedeckt werden sollte. Diese Spannbreite von zu unterstützenden Umsetzungsoptionen erfordert eine hochgradig modulare Architektur, bei der je nach Einsatzumgebung eines P23R einzelne Funktionalitäten entweder im Unternehmen oder in der geschlossenen Umgebung eines P23R angesiedelt sind. Darüber hinaus müssen externe Kommunikationsbeziehungen auf standardisierte Protokolle des eGovernment – insbesondere OSCI Transport 2.0 – abgebildet werden können. Diese Anforderungen gelten nicht nur für die Fachdienste des P23R, sondern gleichermaßen für die Sicherheitsarchitektur des P23R mit ihren Sicherheitsdiensten. Aus diesem Grund wird für den P23R eine Sicherheitsarchitektur spezifiziert, die eine – teilweise sogar dynamische – Verlagerung von Sicherheitsdiensten und Sicherheitsobjekten zwischen der IT-Infrastruktur eines Unternehmens und einem P23R erlaubt: • Authentifizierungen von P23R-Nutzern können sowohl im Unternehmen als auch am P23R vorgenommen werden. Über OSCI 2.0 vermittelte Authentifizierungsnachweise können im P23R verarbeitet werden. • Berechtigungsregeln können aus dem Berechtigungsmanagement eines Unternehmens übernommen oder als Konfiguration eines P23R gepflegt werden. • Für die Auswertung von Berechtigungsregeln erforderliche Attribute (z. B. Rollen- und Gruppenzuordung von Nutzern) können „on demand“ aus Verzeichnisdiensten oder anderen Systemen des Unternehmens abgefragt werden. Technisch wird diese Flexibilität durch die Nutzung der Standards SAML, XACML und WS-Trust unterstützt, die eine Kapselung von Sicherheitsfunktionalitäten in modularen, weitgehend vonei