e-Government - ein Prüfungsleitfaden - EUROSAI IT Working Group

37
Durch entsprechende Vereinbarungen muss gewährleistet werden, dass der Versand
und Empfang von Daten und Informationen nicht in Abrede gestellt werden kann
(Verbindlichkeit und Beweis einer Transaktion).
- Revisionsfähigkeit
Behörden, die e-Government-Dienstleistungen betreiben, sind verpflichtet,
technische und organisatorische Maßnahmen zu treffen, damit nachträglich
überprüft und festgestellt werden kann, wer welche Daten zu welcher Zeit
eingegeben
bzw.
übermittelt hat. Auch Versuche missbräuchlicher Verarbeitung müssen nachträglich
untersucht werden können.
Beispiele für Risiken und Schäden bei Nichtbeachtung der genannten
Anforderungen:
- Einbringen von Software mit Schadenswirkung (z. B. Viren, Trojanische
Pferde, logische Bomben oder Netzwürmer) in IT-Systeme,
- Manipulation/Schädigung/Zerstörung von Betriebssystemen oder
Applikationssoftware (einschl. betroffener Datensätze),
- unzureichend gesicherte Fernwartungszugänge,
- Manipulationen durch „Innentäter“ (z. B. Administratoren oder Nutzer),
- mit Fehlern oder Risiken behaftete Software,
- Manipulation von Kommunikationsverbindungen,
- mangelndes Sicherheitsbewusstsein (bei Mitarbeitern und Vorgesetzten),
- nicht hinreichend qualifiziertes Personal.
Die dadurch verursachten Schäden lassen sich dabei unterschiedlichen Kategorien
zuordnen:
- materiell,
- finanziell (auch (ausgefallene) Zeit ist Geld),
- immateriell (kann wesentlich kritischer sein als ein Vermögensschaden) und
- personell.