\documentstyle[german]{article}
\input{trendsstyle_v2.tex}
%\baselineskip14pt
\newcommand{\ppp} [0]
        {\setlength{\parindent}{5mm}
        \setlength{\parskip}{0mm}
        }
\title{Zukunft der Softwaretechnik aus Sicht der IT-Sicherheit}
\author{Markus Ullmann\\ Bundesamt f"ur Sicherheit in der Informationstechnik\\
Postfach 200363, D-53133 Bonn\\
ullmann@bsi.de}
\date{~}
\begin{document}
\baselineskip13.6pt
\parindent0mm
\twocolumn
\maketitle
\thispagestyle{empty}

\section{Die Verl"asslichkeit von IT-Systemen als softwaretechnisches Thema}

Vor einigen Jahren noch als Spielwiese von Milit"ars und
Geheimdiensten abgetan, wird nunmehr selbst zunehmend in der
"Offentlichkeit das Thema IT-Sicher\-heit wahrgenommen. Denn durch
das ``Online-Fieber'' sind immer breitere Kreise der Bev"olkerung
an das Internet angeschlossen und Gef"ahrdungen, die durch das
bedenkenlose Surfen und Herunterladen von Code entstehen k"onnen
ausgesetzt. "Uber aktuelle Viren, Trojanische Pferde, etc. wird
inzwischen nicht nur in den einschl"agigen Fachkreisen sondern in
den allgemeinen Print-, TV und Onlinemedien berichtet. Solange
man nicht selbst merkt, dass man betroffen ist, wird man versucht
sein, alle Sicherheitsgef"ahrdungen herunterzuspielen, nach dem
Motto: Es wird mich schon nicht treffen. Verf"ugbarkeitsangriffe
auf Webseiten von Big Brother in Deutschland, ebay und
Amazon \linebreak in den USA oder massive Virenverbreitung "uber eine
Schwachstelle im MS-Outlook-Adressbuch zeigen, dass es reale
Verletzlichkeiten gibt. Sie machen die Notwendigkeit f"ur den
Einsatz von Sicherheitsma"snahmen deutlich. Nun stellt sich aber
das Problem: Wie kann man sich von der Verl"asslichkeit dieser
Ma"snahmen "uberzeugen. Dies ist selbst f"ur Fachleute\linebreak schwierig,
zumal es nicht m"oglich ist, ohne detaillierte technische
Spezifikationen ``in das Innere eines Produktes zu schauen''.\\

Inzwischen existieren unter dem Namen 'Common Criteria'
weltweit standardisierte Evaluierungskriterien, die die Pr"ufung
von Sicherheitsprodukten zum Gegenstand haben. In diesen
sind Anforderungen an die Art und den Detaillierungsgrad
einer Evaluierung spezifiziert. Diese Anforderungen sind in
unterschiedlichen Paketen  definiert und reichen bis hin zur
formalen Spezifikation und dem mathematischen  Nachweis von
Sicherheitseigenschaften.\\

Aber:

\begin{itemize}
\item[a)] Diese Pr"ufungen werden nur auf Veranlassung des Herstellers von
   Produkten durchgef"uhrt und sind je nach Pr"uftiefe mit gro"sen
   zeitlichen und finanziellen Aufw"anden verbunden. Daher sind sie
   eher die Ausnahme, weil der Markt die Mehraufw"ande nicht oder
   nur zum Teil honoriert und

\item[b)] es ist f"ur den Anwender schwierig zu entscheiden, welche
   Sicherheitsfunktionalit"at und Ver\-l"asslichkeit einer
   Sicherheitsl"osung seinen Sicherheitsbed"urfnissen Rechnung
   tr"agt.
\end{itemize}

Denkansto"s: Was k"onnen neue Verfahren der Softwaretechnik dazu
beitragen, Aussagen zur Verl"asslichkeit eines Produktes/Systems
leichter abzuleiten bzw. abzusch"atzen?



\section{Zusammenwirken des Security- und Softwareengineerings bei der Systementwicklung}

Zunehmend entstehen Anforderungen an informationstechnische
Systeme, die nicht rein funktionaler Art sind und die im Hinblick
auf ihre Bedeutung durchaus gleichgewichtig zu funktionalen
Aspekten zu betrachten sind. Ein Beispiel hierf"ur sind
Krankenhausinformationssysteme. Hier spielen neben funktionalen
Anforderungen auch Sicherheitsanforderungen eine wichtige Rolle.
F"ur die Systementwicklung bedeutet dies, dass "uber die gesamte
Entwicklungsphase bis hin zur Installation, mindestens zwei
Sichten auf das System existieren m"ussen. Eine funktionale - und
eine Sicherheits - Sicht. In Anlehnung an das Wasserfallmodell
gedacht, beginnen die Entwicklungsarbeiten mit der Erstellung der
funktionalen Anforderungen und der Durchf"uhrung der
Bedrohungsanalyse. Ist dies abgeschlossen, so besteht der n"achste
Schritt aus der Erstellung eines funktionalen Grobkonzeptes bzw.
einer geeigneten Sicherheitspolitik (Security Policy), um\linebreak den
definierten Bedrohungen entgegenzuwirken. Sp"a\-testens an dieser
Stelle wird auffallen, dass bestimmte ``Sicher"-heits-Objekte'' der
Security-Policy ``Daten-Objekte'' aus der funktionalen Betrachtung
sein k"on\-nen, bspw. die Datei, in der die Angestellten einer Klinik
gespeichert sind. D.h., es existiert mindestens in Teilen eine
starke Wechselwirkung zwischen diesen beiden ``System-Sichten''.
Diese Wechselwirkungen und Abh"angigkeiten m"ussen im Rahmen des
Entwurfsprozesses angemessen ber"ucksichtigt werden.\linebreak Hierzu z"ahlt
insbesondere auch die Sicherheitsbetrachtung von
Verfeinerungsprozessen. Gehen wir auf das Bsp. mit der
Angestellten-Datei zur"uck. Auf der Ebene der Security-Policy
reicht es vielleicht aus, von einem ``Sicherheits-Objekt'' zu reden.
Im Rahmen des Designs des Systems kann es aber vielleicht sinnvoll
sein, diese auszusplitten in abteilungsbezogene
Angestelltendateien, die auch noch auf verteilten Rechnersystemen
liegen. Nun finden wir die Situation vor, dass das urspr"ungliche
``Sicherheits-Objekt'' nun in `n` verteilte Sicherheitsobjekte
verfeinert wurde, die wiederum spezifischen Bedrohungen
unterliegen k"onnen. Derartige Probleme m"ussen angemessen
ber"ucksichtigt werden.\\

Denkansto"s: Wie sieht eine Entwicklungsmethodologie aus, die
die Entwicklung funktionaler - und sicherheitstechnischer
Anforderungen unter Ber"ucksichtigung von Wechselwirkungen
unterst"utzt?

\section{Automatische Generierung spezieller Produktspezifikationen}

Eine M"oglichkeit, die Verl"asslichkeit eines IT-Produk\-tes zu
pr"ufen, ist die Evaluierung nach standardisierten Kriterien, z.B.
den Common Criteria. Hierdurch entstehen beim Hersteller gro"se
Aufw"ande dadurch, weil er eine F"ulle von Spezifikationen "uber das
zu pr"ufende Produkt zur Verf"ugung stellen muss, die bei ihm im
Rahmen des ``normalen'' Entwurfsprozesses nicht entstanden sind.
Alles was im weitesten Sinne mit der Wirksamkeit von
Sicherheitsma"snahmen zu tun hat, kann nur das Ergebnis eines
vollst"andigen Security-Engineering-Prozesses sein. Aber
Spezifikationen, die im wesentlichen f"ur die
Korrektheits-Untersuchung notwendig sind (Grob-Design, Design,
Fein-Design, ...) m"ussten prinzipiell aus den Spezifikationen des
Entwurfsprozesses beim Hersteller generierbar sein.\\

Denkansto"s: Welche M"oglichkeiten sind hier denkbar?


\section{Sonstiges}

\begin{itemize}
\item[a)] Zur Ausbildung an Universit"aten und Fachhochschulen:

Abgesehen von Kryptologen, ist es im wesentlichen so, dass
nur wenige Absolventen die im Bereich der IT-Sicherheit eine
Anstellung finden "uber IT-Sicherheits-Kenntnisse verf"ugen.
D.h. es w"are w"unschenswert, das Gebiet der IT-Sicher\-heit
innerhalb der Ausbildung der Softwaretechnik angemessen zu
ber"ucksichtigen.


\item[b)] Zur Entwicklung getypter Softwaretechniken f"ur einzelne
Anwendungsbereiche:

Wir denken, dass heute die Situation besteht, st"andig mit neuen
Problemstellungen konfrontiert zu werden. Daher glauben wir, dass
eine gute Grundlagenausbildung und die Technik ``effizient Neues
zu lernen'' zielbringender ist. Dies bedeutet aber nicht, dass
die Hochschulen sich nicht entwickeln m"ussen. Ganz im Gegenteil:
Anwendungsbezogene Lehrinhalte m"ussen st"andig dem aktuellen
Stand der Entwicklung angepasst werden.


\item[c)] Zu ISO900x und den diversen Proze"sverbesserungsprogrammen: 

Die Idee, die Entwicklungs- und Herstellungsprozesse besser zu
verzahnen und zu optimieren, ist nat"urlich immer sinnvoll. Die
Frage ist nur, aus welchen Beweggr"unden man sich eines
Proze"sverbesserungsprogramms unterzieht.
Gelegentlich entsteht der Eindruck, dass nicht der Inhalt
eines Proze"sverbesserungsprogramms sondern das abschliessende
Zertifikat im Vordergrund stehen. In diesem Fall verkommt die
gute Idee zu einem reinen Marketinginstrument.
\end{itemize}




\end{document}  
  











