Goverance-Maßnahmen für sicheren Entwicklungsprozess für Software.
Andreas Burkert
Das Entwickeln von Software ist per se eine anspruchsvolle Aufgabe. Das Vermeiden von Sicherheitslücken hingegen eine Herausforderung. Goverance-Maßnahmen sollen nun den Entwicklungsprozess erleichtern und Hackern den Zugriff erschweren.
Die Softwareentwicklung folgt in der Regel bekannten Mustern: Initialisierung, Konzept, Entwurf, Implementierung, Test, Installation und Wartung. Allerdings unterscheiden sich die Vorgehensmodelle je nach Anforderung im Detaillierungsgrad und Art des Durchlaufs. Beispielsweise wenn einige Phasen mehrmals durchlaufen werden müssen, um möglichst alle Sicherheitslücken im Vorfeld zu vermeiden. Diese entstehen nämlich „durch eine unzureichende Umsetzung von Sicherheitsvorgaben während der Entwicklung“, erklärt Springer-Autor Dr. Stefan Beißel in seinem Beitrag „Governance für sichere Softwareentwicklung“.
Die Folgen können fatal sein. Denn diese Unsicherheiten bieten Angriffspunkte für Hacker oder Schadsoftware. „Im Fall einer Ausnutzung können Daten kompromittiert, manipuliert oder beschädigt werden“. Dann steht die Sicherheit von Daten und Systemen auf dem Spiel, mahnt Beißel und erklärt, warum sogenannte Goverance-Maßnahmen umgesetzt werden sollten
Governance für sichere Softwareentwicklung
Nach Beißel umfasst Governance - im Rahmen der sicheren Softwareentwicklung - alle Maßnahmen, die durch „ein Unternehmen zur Steuerung und Regelung der Softwareentwicklung eingesetzt werden können.“. Das Ziel besteht also darin, die Strategien und Ziele des Unternehmens durch diese Maßnahmen zu unterstützen. Dabei sollen Strategien und Metriken helfen, dass die Planung bei der Softwareentwicklung zielgerichtet erfolgt, Rollen und Verantwortlichkeiten zugewiesen werden und Meilensteine identifiziert werden.
Weitere Artikel zum Thema Software-Sicherheit |
Die notwendigen Sicherheitspraktiken hingegen sind in sogenannten Best Practices beschrieben. Einige davon beziehen sich dabei speziell auf die Governance. Als Beispiele werden das „Software Assurance Maturity Model“ (SAMM) sowie das „Building Security In Maturity Model“ (BSIMM) genannt. SAMM (OpenSAMM 2009) definiert dabei auf der höchsten Ebene die vier Geschäftsfunktionen Governance, Construction, Verification und Deployment.