Security RiskFlows – Konzepte für die organisierte Suche nach der Nadel im Heuhaufen Ruth Breu, Michael Brunner Universität Innsbruck http://www.qe-lab.at/ Quality Engineering Laura Bassi Lab Living Models for Collaborative Systems Industry Partners 22.04.2015 Slide 2 http://posecco.eu PoSecCo's vision is to establish and maintain a consistent, transparent, sustainable and traceable link between high-level, business-driven security and compliance requirements on one side and low-level technical configuration settings of individual services on the other side. 22.04.2015 Slide 3 Zwei zentrale Fragen für Produkthersteller Wieviel Security braucht das Produkt? Wie sicher ist das Produkt aktuell? 22.04.2015 Slide 4 State of the Art: Security Lifecycle Management SAMM 22.04.2015 Slide 5 Wie viel Security braucht das Produkt? Compliance Kunde Geschäftlicher Nutzen Funktionale Requirements Security Requirements Kosten Safety EnergieEffizienz Privacy Usability Performanz 22.04.2015 Slide 6 Wie sicher ist das Produkt aktuell? Produkt-Anbieter Kunde SecurityAnforderungen Produkt Auditor 3 Haupt-Herausforderungen 22.04.2015 Slide 7 1. Negative Natur von Sicherheitsanforderungen Nur autorisierte Nutzer können auf Kundendaten zugreifen 22.04.2015 Slide 8 2. Abhängigkeit von Assets All payment information must be protected in transit Business Process: Payment Information Exchange All transmissions must enforce TLS 1.2 Payment Information Server 22.04.2015 Slide 9 3. Eigener Lebenszyklus Bedrohungen Funktionale Requirements Release Release Produkt-Entwicklung Security Requirements Release Release Produkt-Entwicklung 22.04.2015 Slide 10 Betrieb Security als Aufgabe kooperativen Wissensmanagements Vernetzte Prozesse Vernetztes Wissen 22.04.2015 Slide 11 Qualitativ hochwertiges Asset Management EAM Security Requirements Management Asset Management Modellierungstools aktuell vernetzt Service-Katalog CMDB user-orientiert 22.04.2015 Slide 12 Nachverfolgbare Security Requirements Quellen: BDSG COBIT PCI Data Security Standard Monitoring-App Zugriffskontrollen für alle Server eingerichtet Web-Server Zugriff auf sensible Daten beschränken Zugriffskontrollen für Server ""S00227.intern" S00227.intern" eingerichtet KundenDatenbank Schützt Server S00227.intern Gültigkeitsdauer für Passwörter festgelegt Root-Zugriff eingeschränkt Passwort-Policy eingerichtet Standard-Passwörter verändert Zugriffspunkte definiert 5 weitere Anfoderungen Standard-Passwörter verändert Schützt Admin-Konsole 22.04.2015 Slide 13 Workflow-Unterstützung /1 responsible stakeholder provides evidence manual/automatic Confirmation NOT_FULFILLED FULFILLED State Propagation State Propagation State Propagation PARTIALLY_FULFILLED State Propagation issue task for responsible stakeholder Time Trigger, manual/automatic Revocation 22.04.2015 Slide 14 Workflow-Unterstützung /2 Statusänderung wird automatisch propagiert Daten müssen in angemessen gesicherten Storages archiviert werden Logdaten werden mit niedrigem Schutzbedarf archiviert Kundendaten werden mit hohem Schutzbedarf archiviert Transaktionsdaten werden mit hohem Schutzbedarf archiviert Schützt Unzureichender Schutzbedarf wird automatisch Geschäftsdaten erkannt Schützt Logfiles Schützt Stammdaten Schützt Transaktionen Statusänderung erfolgt automatisch 5 weitere Anfoderungen Task Task für verantwortlichen Stakeholder wird erstellt 22.04.2015 Slide 15 Risikogetriebenes Vorgehen Technische Sicht Denial of Service Attacke Hoch Mittel Niedrig Eintrittswahrscheinlichkeit Server S00227.intern Hardware Versagen Diebstahl gehosteter vertraulicher Daten Niedrig Mittel Hoch Schadenspotenzial Geschäftsorientierte Sicht Risikobewertungsprozess Risikogetriebener Prozess (z.B. Integration mit Asset-Modellierung, Testen, Task-Priorisierung) 22.04.2015 Slide 16 Automation Prozess-Unterstützung Risiko-Metriken Überwachung von Security Requirements Generieren von Requirements/Unterstützung von Standards und Guidelines Generieren von Assets Überwachen von Qualitätsregeln 22.04.2015 Slide 17 Datenvisualisierung Self-service Dynamisch User-zentriert 22.04.2015 Slide 18 QE LaB Methoden und Prototypen IT Landscape Intelligence Efficient Security and Compliance Modellgetriebener Ansatz Risikobasiertes Testen Model-Based Security 22.04.2015 Slide 19 Links und Literatur • Txture: www.txture.org • ADAMANT: adamant.q-e.at • R. Breu, M. Brunner, C. Sillaber: Security im Produkt-Lifecycle – Lästige Pflicht oder Chance? Juni-Ausgabe Objektspektrum, 2015 • R. Breu, A. Kuntzmann-Combelles, M. Felderer: New Perspectives on Software Quality, IEEE Software, January/February 2014 • M. Felderer, I. Schieferdecker: Handreichung zur Methodenauswahl – Eine Taxonomie risikobasierter Softwaretests, Objektspektrum, Ausgabe Testing, 2014 http://www.sigsdatacom.de/fachzeitschriften/objektspektrum/archiv/artikelansicht.html?tx_mwjournals_pi1%5Bpointer%5D=0 &tx_mwjournals_pi1%5Bmode%5D=1&tx_mwjournals_pi1%5BshowUid%5D=7737 22.04.2015 Slide 20
© Copyright 2024 ExpyDoc
