Skip to content

Sicherheit im Entwicklungsprozess

Posted by Bernd Eckenfels on
Weil ich nebenbei dran bin das Thema IT-Sicherheit im Software Entwicklungsprozess aufzubereiten, hier eine Liste von möglichen Motivationspunkten. Wovor soll geschützt werden...
  • Das Image eines Software Unternehmens ist sehr wichtig. Vertrauen in die Beständigkeit und Leistungsfähigkeit des Softwarehauses ist eines der wichtige Auswahlkriterien bei der Beschaffung von Software..
  • Zumindest in Deutschland kann sich ein Unternehmen nicht aus der Produkthaftung befreien. Auch bei Auftragsarbeit besteht das Risiko von Regressansprüchen
  • Für bestimmte Einsatzbereich fordern Kunden Explizit Audits und Zertifizierungen des Entwicklungsprozesses. In bestimmten Bereichen wird dies auch durch Gesetzgeber oder Verwaltung gefordert. Compliance ist ein wichtiges neues Thema.
  • Software Unternehmen sind der Prototyp eines IT-lastigen Unternehmens. Entsprechend wichtig ist ein Securitymanagement in diesem Bereich.
  • Die IT gilt zwar gemeinhin als Rationalisierungsmittel, Software Hersteller und Beratungshäuser sind aber extrem personalintensive Dienstleistungsunternehmen. Der Faktor Mensch im Prozess bringt aber einige Probleme mit sich. Von personenbezogenen Daten über irrationales Verhalten (und der Herausforderung der Führung) bis hin zu den unvermeidlichen Fehlern.
  • Unternehmen mit hohem Anteil an F&E stehen unter verstärkter Wettbewerbsbeobachtung bis hin zur Industriespionage. Der Schutz von Intellectual Property wird oft als wichtiger Überlebensfaktor angesehen. Mit den drohenden Softwarepatenten wird diese Situation nur schlimmer.
  • Der Trend zur Software aus dem Regal (COTS) existiert auch in sicherheitskritischen Bereichen. Als Softwarehersteller kann man sich hier schnell in der Verantwortung finden. Menschenleben oder Menschenrechte können von der ordnungsgemäßen Funktion der Software abhängen.
Diese Gründe sprechen dafür der IT-Sicherheit im Entwicklungsprozess und im fertigen Produkt verstärkte Aufmerksamkeit zukommen zu lassen. Es gibt allerdings auch Herausforderungen zu meistern sind:
  • Die Aufgabenstellung ein sicheres System zu implementieren ist höchst Komplex, es gibt noch keine silberne Kugel. Weder bei den Methoden noch den Technologien. Oftmals spricht man von der jungen Wissenschaft Informatik
  • Der Teufel steckt im Detail, Angreifer müssen nur eine Lücke finden, Software Hersteller müssen alle Fehler vermeiden
  • Der Markt ist für den Kunden schwer zu überblicken. Kunden entscheiden sich wegen fehlendem Überblick, wegen mangelndem Bewusstsein oder wegen externen Zwängen nicht immer für die sicherste Lösung. In vielen Segmenten ist der Preisdruck hoch, Investitionen in Sicherheit werden weniger belohnt als Features oder Time-to-Market.
  • Vermutlich auch weil es Niemand wirklich im Griff hat sind Bugs akzeptiert. Es ist z.B. unwahrscheinlich dass ein Betriebsystem Hersteller für Virenanfälligkeit haften muss.
  • Selbst bei unbeschränktem Budget sind die Ressourcen knapp, es ist nicht möglich alle nötigen Positionen mit erfahrenen All-Round Experten zu besetzen. Und selbst wenn haben diese auch mal schwache Momente.
  • Software Entwicklung bewegt sich oft in einem Umfeld das geprägt ist durch Altlasten, Kompatibilität und ständige zusätzliche Anforderungen. Das führt zu sicherheitskritischem Wildwuchs.
  • Robuste Lösungen zeichnen sich durch Redundanz, definiertes Fehlverhalten und Sicherheit auf mehreren Ebenen aus. Dem Zugrunde liegt aber die Einsicht, dass es eine 100%ige Sicherheit nicht gibt. In vielen Bereichen ist es schlichtweg nicht Objektiv möglich zu definieren welcher Ansatz nun mehr Sicherheit bringt
  • Wenn im Entwicklungsprozess die Anzahl der Personen die Zugriff haben minimiert wird (zur Risikoreduzierung), so führt dies auch dazu dass weniger Personen informiert sind, Reviews durchfühen oder Funktionen mehrfach implementiert werden. Generell herrscht die Meinung, dass die Produktivität von Entwicklungsteams sinkt.
  • Faktoren wie Spezialisierung, Flexibilität und Geschwindigkeit bedingen zunehmend den Einsatz von Komponenten und Libraries von Dritter Seite. Die Integration dieser Software (oftmals auch Blackboxen) bringen neue Herausforderungen in allen Phasen des Produktlebenszyklus. Auch das Thema Open Source kann man hier zwiespältig beurteilen.
Zu jedem der Punkte kann man sicher einen ausführlichen Artikel schreiben. So ist es zum Beispiel bemerkenswert wie weit man mit Schönwetter-Software kommen kann. Man sehe sich nur den Shareware Markt für kleine nützliche Helferlein an. Aus Seiten der Software Industrie würden sicherlich einige hilfreiche Programme nicht geschrieben werden, wenn der Verbraucher eine gestärkte Position hätte und sein Risiko beim Einsatz in verstärktem Masse auf den Lieferanten abwälzen könnte (einfach weil das Risiko noch so groß ist). Lassen Sie es mich wissen, welchen der Aspekte Sie besonders interessiert.

Trackbacks

No Trackbacks

Comments

Display comments as Linear | Threaded

Tobias Schmid on :

(Comment removed)

Bernd Eckenfels on :

Ich persönlich finde solche Texte die mit "Workshop um Schutzniveau festzustellen" beginnen und mit "Firewall implementieren" enden immer sehr bedenklich. Auch wenn es drin steht, dass Sicherheit im Unternehmen ist ein Prozess, dieser hat kein Anfang und keine Ende, es ist sehr gefährlich dies nahe zu legen, denn man wird da gerne missverstanden (und der wichtige Teil ignoriert). Ebenso tendieren Unternehmen bei einmalige größeren Investiotionen dazu dass man sich danach sicher fühlt, aber dann die Alltagskosten scheut. Viel besser sind kleine Schritt und stetige Kontrolle und Verbesserung. Eventuell ganz ohne Kickoff und Investitionen. Das soll jetzt nicht heissen dass man ohne definierte Ziele auskommt, aber viel zu oft bleibt es nach meiner Beobachtung bei diesen... Gruss Bernd

Add Comment

BBCode format allowed
Enclosing asterisks marks text as bold (*word*), underscore are made via _word_.
E-Mail addresses will not be displayed and will only be used for E-Mail notifications.
To leave a comment you must approve it via e-mail, which will be sent to your address after submission.

To prevent automated Bots from commentspamming, please enter the string you see in the image below in the appropriate input box. Your comment will only be submitted if the strings match. Please ensure that your browser supports and accepts cookies, or your comment cannot be verified correctly.
CAPTCHA