Skip to content

Sicherheit im Entwicklungsprozess

Geschrieben von Bernd Eckenfels am
Weil ich nebenbei dran bin das Thema IT-Sicherheit im Software Entwicklungsprozess aufzubereiten, hier eine Liste von möglichen Motivationspunkten. Wovor soll geschützt werden...
  • Das Image eines Software Unternehmens ist sehr wichtig. Vertrauen in die Beständigkeit und Leistungsfähigkeit des Softwarehauses ist eines der wichtige Auswahlkriterien bei der Beschaffung von Software..
  • Zumindest in Deutschland kann sich ein Unternehmen nicht aus der Produkthaftung befreien. Auch bei Auftragsarbeit besteht das Risiko von Regressansprüchen
  • Für bestimmte Einsatzbereich fordern Kunden Explizit Audits und Zertifizierungen des Entwicklungsprozesses. In bestimmten Bereichen wird dies auch durch Gesetzgeber oder Verwaltung gefordert. Compliance ist ein wichtiges neues Thema.
  • Software Unternehmen sind der Prototyp eines IT-lastigen Unternehmens. Entsprechend wichtig ist ein Securitymanagement in diesem Bereich.
  • Die IT gilt zwar gemeinhin als Rationalisierungsmittel, Software Hersteller und Beratungshäuser sind aber extrem personalintensive Dienstleistungsunternehmen. Der Faktor Mensch im Prozess bringt aber einige Probleme mit sich. Von personenbezogenen Daten über irrationales Verhalten (und der Herausforderung der Führung) bis hin zu den unvermeidlichen Fehlern.
  • Unternehmen mit hohem Anteil an F&E stehen unter verstärkter Wettbewerbsbeobachtung bis hin zur Industriespionage. Der Schutz von Intellectual Property wird oft als wichtiger Überlebensfaktor angesehen. Mit den drohenden Softwarepatenten wird diese Situation nur schlimmer.
  • Der Trend zur Software aus dem Regal (COTS) existiert auch in sicherheitskritischen Bereichen. Als Softwarehersteller kann man sich hier schnell in der Verantwortung finden. Menschenleben oder Menschenrechte können von der ordnungsgemäßen Funktion der Software abhängen.
Diese Gründe sprechen dafür der IT-Sicherheit im Entwicklungsprozess und im fertigen Produkt verstärkte Aufmerksamkeit zukommen zu lassen. Es gibt allerdings auch Herausforderungen zu meistern sind:
  • Die Aufgabenstellung ein sicheres System zu implementieren ist höchst Komplex, es gibt noch keine silberne Kugel. Weder bei den Methoden noch den Technologien. Oftmals spricht man von der jungen Wissenschaft Informatik
  • Der Teufel steckt im Detail, Angreifer müssen nur eine Lücke finden, Software Hersteller müssen alle Fehler vermeiden
  • Der Markt ist für den Kunden schwer zu überblicken. Kunden entscheiden sich wegen fehlendem Überblick, wegen mangelndem Bewusstsein oder wegen externen Zwängen nicht immer für die sicherste Lösung. In vielen Segmenten ist der Preisdruck hoch, Investitionen in Sicherheit werden weniger belohnt als Features oder Time-to-Market.
  • Vermutlich auch weil es Niemand wirklich im Griff hat sind Bugs akzeptiert. Es ist z.B. unwahrscheinlich dass ein Betriebsystem Hersteller für Virenanfälligkeit haften muss.
  • Selbst bei unbeschränktem Budget sind die Ressourcen knapp, es ist nicht möglich alle nötigen Positionen mit erfahrenen All-Round Experten zu besetzen. Und selbst wenn haben diese auch mal schwache Momente.
  • Software Entwicklung bewegt sich oft in einem Umfeld das geprägt ist durch Altlasten, Kompatibilität und ständige zusätzliche Anforderungen. Das führt zu sicherheitskritischem Wildwuchs.
  • Robuste Lösungen zeichnen sich durch Redundanz, definiertes Fehlverhalten und Sicherheit auf mehreren Ebenen aus. Dem Zugrunde liegt aber die Einsicht, dass es eine 100%ige Sicherheit nicht gibt. In vielen Bereichen ist es schlichtweg nicht Objektiv möglich zu definieren welcher Ansatz nun mehr Sicherheit bringt
  • Wenn im Entwicklungsprozess die Anzahl der Personen die Zugriff haben minimiert wird (zur Risikoreduzierung), so führt dies auch dazu dass weniger Personen informiert sind, Reviews durchfühen oder Funktionen mehrfach implementiert werden. Generell herrscht die Meinung, dass die Produktivität von Entwicklungsteams sinkt.
  • Faktoren wie Spezialisierung, Flexibilität und Geschwindigkeit bedingen zunehmend den Einsatz von Komponenten und Libraries von Dritter Seite. Die Integration dieser Software (oftmals auch Blackboxen) bringen neue Herausforderungen in allen Phasen des Produktlebenszyklus. Auch das Thema Open Source kann man hier zwiespältig beurteilen.
Zu jedem der Punkte kann man sicher einen ausführlichen Artikel schreiben. So ist es zum Beispiel bemerkenswert wie weit man mit Schönwetter-Software kommen kann. Man sehe sich nur den Shareware Markt für kleine nützliche Helferlein an. Aus Seiten der Software Industrie würden sicherlich einige hilfreiche Programme nicht geschrieben werden, wenn der Verbraucher eine gestärkte Position hätte und sein Risiko beim Einsatz in verstärktem Masse auf den Lieferanten abwälzen könnte (einfach weil das Risiko noch so groß ist). Lassen Sie es mich wissen, welchen der Aspekte Sie besonders interessiert.

Trackbacks

Keine Trackbacks

Kommentare

Ansicht der Kommentare: Linear | Verschachtelt

Tobias Schmid am :

(Kommentar entfernt)

Bernd Eckenfels am :

Ich persönlich finde solche Texte die mit "Workshop um Schutzniveau festzustellen" beginnen und mit "Firewall implementieren" enden immer sehr bedenklich. Auch wenn es drin steht, dass Sicherheit im Unternehmen ist ein Prozess, dieser hat kein Anfang und keine Ende, es ist sehr gefährlich dies nahe zu legen, denn man wird da gerne missverstanden (und der wichtige Teil ignoriert). Ebenso tendieren Unternehmen bei einmalige größeren Investiotionen dazu dass man sich danach sicher fühlt, aber dann die Alltagskosten scheut. Viel besser sind kleine Schritt und stetige Kontrolle und Verbesserung. Eventuell ganz ohne Kickoff und Investitionen. Das soll jetzt nicht heissen dass man ohne definierte Ziele auskommt, aber viel zu oft bleibt es nach meiner Beobachtung bei diesen... Gruss Bernd

Kommentar schreiben

BBCode-Formatierung erlaubt
Umschließende Sterne heben ein Wort hervor (*wort*), per _wort_ kann ein Wort unterstrichen werden.
Die angegebene E-Mail-Adresse wird nicht dargestellt, sondern nur für eventuelle Benachrichtigungen verwendet.
Um einen Kommentar hinterlassen zu können, erhalten Sie nach dem Kommentieren eine E-Mail mit Aktivierungslink an ihre angegebene Adresse.

Um maschinelle und automatische Übertragung von Spamkommentaren zu verhindern, bitte die Zeichenfolge im dargestellten Bild in der Eingabemaske eintragen. Nur wenn die Zeichenfolge richtig eingegeben wurde, kann der Kommentar angenommen werden. Bitte beachten Sie, dass Ihr Browser Cookies unterstützen muss, um dieses Verfahren anzuwenden.
CAPTCHA