05. Mai 2022

Digitalisierung, aber sicher!

Special-egov-2022-deiringer-header

Security by Design // Ob Industrie, öffentliche Verwaltung oder Privatwirtschaft, etliche Branchen erleben tiefgreifende Veränderungen und befinden sich in einem unaufhaltsamen digitalen Wandel. Dies bietet jedoch nicht nur grossartige Möglichkeiten, sondern birgt auch eine deutliche Vergrösserung von potenziellen Angriffsflächen und Schwachstellen.

Auch im Bund, bei den Kantonen und Gemeinden ist die Transformation in eine «digitale Verwaltung Schweiz» mit einem benutzerfreundlichen und effektiven Dienstleistungsangebot an die Schweizer Bürgerinnen und Bürger in vollem Gange.

Mit der damit einhergehenden erhöhten Vernetzung und zunehmender Komplexität der eingesetzten Technologien steigen auch die Risiken rund um die IT-Security und den Datenschutz. Immer wieder sorgen Berichte über Datendiebstahl, Hackerangriffe und Sicherheitslücken in digitalen Anwendungen für Aufsehen und lösen Verunsicherung aus.

Sicherheit, Compliance, Datenschutz und Usability
Für eine breite Akzeptanz der neugeschaffenen digitalen Dienstleistungen braucht es Vertrauen, ohne welches jegliche Digitalisierungsvorhaben zum Scheitern verurteilt sind. Und dieses Vertrauen schafft man über die konsequente Einhaltung der klassischen Grundpfeiler der Informationssicherheit: Vertraulichkeit, Integrität und Verfügbarkeit. Diese wiederum werden durch adäquate Massnahmen zur technischen Secu­rity, zur Compliance, zum Datenschutz und zur Benutzerfreundlichkeit realisiert. Speziell in Anwendungsfällen, bei denen es um kritische Infrastrukturen oder hochsensible Daten geht – Steuererklärungen, das Ausstellen von Reisepässen oder digitale Unterschriften – ist eine konsequente Umsetzung dieser Massnahmen erforderlich. Oft werden solche Massnahmen jedoch erst nach der Entwicklung, sozusagen als notwendiges Übel, auf die rein funktionale Lösung «aufgepfropft». Mit dem Risiko, dass ein Stückwerk entsteht, an dessen Bruchstellen Vertraulichkeit, Integrität und Verfügbarkeit zur leichten Beute für Angreifer werden.

Sicherheit in allen Phasen der Softwareentwicklung
Hier ist ein Umdenken bei der Entwicklung von digitalen Lösungen notwendig. Sicherheit, Schutz und Einhaltung der Regulatorien müssen als integraler Bestandteil der Lösung behandelt werden und dementsprechend bereits in allen Phasen der Softwareentwicklung adäquat adressiert werden. Das fängt bei der ersten Architekturskizze an, geht über den Zyklus von Unit-Tests, funktionalen Tests und Akzeptanztests und hört beim Deployment noch lange nicht auf. Dieses «Security by Design» garantiert auch bei häufigen Updates und raschen Erweiterungen der Lösung eine integrale Einbettung von Sicherheits-, Schutz- und Usability-Aspekten und erhöht so wesentlich die Robustheit gegenüber Cyber-Attacken. Was wiederum das Vertrauen der Bürgerinnen und Bürger in die angebotene digitale Dienstleistung erhöht.

Agile Entwicklung und «Security by Design» – ein perfekter Match
Dieser Ansatz korrespondiert hervorragend mit einem Grundprinzip der agilen Entwicklung, nämlich dem Prinzip der «Built-In Quality». Und so haben wir bei ti&m die Formulierung der Sicherheitsanforderungen sowie die Sicherheitstests und -checks nahtlos in die agilen Arbeitsweisen und Zeremonien unserer SAFe- und Scrum-Vorgehensweisen eingebettet. Sicherheit ist ein Akzeptanzkriterium für jede Story, spezielle Stories zu Sicherheitsfeatures und -tests sind obligatorisch in jeder Iteration durchzuführen, und auch beim Pair-Programming spannt der Anwendungsentwickler mit der Security-Expertin zusammen, um so die Einhaltung der Best Practices für die Erstellung sicheren Codes zu gewährleisten. Und der Einsatz von Security-Analyse-Tools im Rahmen des CI-/CD-Prozesses ist für jedes Projekt bereits vom Start weg aufgesetzt. Auf diese Art sind die Sicherheitsmassnahmen eng mit dem Entwicklungsprozess verwoben, ohne die Reaktionsfähigkeit und die Geschwindigkeit des agilen Prozesses zu schmälern. Die wachsenden Anforderungen an die Cyber-Sicherheit unserer Produkte werden so über den gesamten Entwicklungszyklus hinweg transparent, konkret und überprüfbar dar­gestellt. Alle Beteiligten, vom Auftraggeber bis zum System Engineer, sind für die sicherheitsrelevanten Aspekte sensibilisiert und verstehen sie als inhärente, nicht zu verhandelnde Massnahmen. Als begleitende Massnahmen werden unsere Engineers in diesem Ansatz im Rahmen unserer Academy aktiv geschult und gecoacht. Fundiertes Branchen-Know-how, exzellente Tech­nologie-Expertise sowie das Verständnis für den Benutzer und seine Bedürfnisse werden bei ti&m auf diese Weise zu sicheren und erfolgreichen digitalen Produkten.

Special-egov-2022-dieringer-grafik-de

Secure Scrum

Folgende Security-Massnahmen sind im Laufe eines Sprints abgedeckt:

  1. Security Refinement: Review und Planung von Security-Aktivitäten (Threat Assessment, Risiko Management)
  2. Peer-Programming, Erstellung der realisierten Features gemeinsam mit Security-Experten
  3. Kontinuierliches Security Testing
  4. Dokumentation der Produkthärtungen und Security Massnahmen
  5. Refinement von Stories durch Security Experten
  6. Ständiger Ansprechpartner für Stakeholder (steht in Kontakt mit CISOs)
  7. Erfassung bestehender sicherheitsrelevanten Probleme/Impediments, Schulung der Teammitglieder bzgl. Security, Organisation Workshops, Vorträge etc. bei Bedarf
  8. Daily Scrum Meeting zur effizienten Kommunikation
  9. Erhebung des Leistungsfortschritts
  10. Führen von Burn Down Charts und Reports
  11. Check Anforderungen der Definition of Done – Glossare, Checklisten, Guidelines und (Code und Business)-Richtlinien
  12. Automatisierte Security Checks durch CI Server
  13. Manuelle Abnahme durch Security Assessoren im Review Meeting
  14. Ablage der Artefakte durch CI Server als Release-fähiges Inkrement (inkl. Code, Test und Dokumentation) & Prüfung der Sicherheitsrisiken für jeden Release.

 

ti&m special E-Government
Wie steht es um die digitale Transformation des Service public? In unserem Magazin ti&m special haben wir bei weiteren Digitalisierungsexpertinnen und -experten aus Politik und Verwaltung nachgefragt. Zum Download


Philip Dieringer
Philip Dieringer

Philip Dieringer arbeitete nach seinem Master-Abschluss in Micro- und Optoelectronic an der ETH Zürich für einige Jahre bei der Credit Suisse, bevor er bei ti&m als Projekt- und Programm Manager unterschiedliche Projektvorhaben realisieren durfte. Aktuell verantwortet er als Head Bern den Standort der Bundesstadt.