Workshop: Mit Sicherheit Datenschutz in der Gesetzlichen Unfallversicherung - 11 - DSGVO - Datenschutz und Sicherheit von Anfang an!

München/HQ Aachen Bamberg Berlin Đà Nẵng Dresden Grenoble Hamburg Köln Leipzig Nürnberg Prag Washington, D.C. Zug
Datenschutz und Sicherheit von Anfang an
Dr. Bastian Braun
mgm security partners gmbh
Mit Sicherheit Datenschutz in der Gesetzlichen UV - Herausforderungen und Chancen bei der Umsetzung der EU-Datenschutzgrundverordnung (EU-DSGVO), Berlin, 26.05.2018

27.04.2018 2EU-DSGVO-Workshop für die Träger der Gesetzlichen Unfallversicherung, 26.04.2018, Berlin
Wir haben einen starken Softwareentwicklungshintergrund
Statische CodeanalysePenetrationstests Seminare/Trainings BeratungArchitekt. AnalyseSecure CodingSDL Beratung
Solide praktische Erfahrung
in grossen und
geschäftskritischen
Software-
Entwicklungsprojekten ist
das Rückgrat unserer Web-
Security-Dienstleistungen.
Web ShopsAgile Entwicklung DevOps B2BLogistik
SSG
Security
PROJEKT 3
Security
PROJEKT 2
Security
PROJEKT 1
Web-Security-
Dienstleistungen
Software-
Entwickung

 ein Grundstück kaufen
 evtl. Makler engagieren
 einen Architekten beauftragen
 Grundrisse und Pläne zeichnen lassen
 einen Bauträger/Verwalter finden
 Termine und Zahlungen vereinbaren
 Nicht vergessen
 Strom, Gas, Wasser
 TV
 Telekommunikation
 Badeinrichtung
 Bodenbeläge
Bauen wir ein Haus…

 Was haben wir vergessen?
 die Statik!
 Wann sollte die Statik geprüft werden?
 Am Anfang?
 Während der Bauphase?
 Bei der Abnahme?
Bauen wir ein Haus…
 ein Grundstück kaufen
 evtl. Makler engagieren
 einen Architekten beauftragen
 Grundrisse und Pläne zeichnen
lassen
 einen Bauträger/Verwalter finden
 Termine und Zahlungen
vereinbaren
 Nicht vergessen
 Strom, Gas, Wasser
 TV
 Telekommunikation
 Badeinrichtung
 Bodenbeläge

Würden Sie als Bauherr dieses
Gebäude abnehmen?

… oder noch schlimmer

Warum sagen Menschen dann
„Sicherheit und Datenschutz
machen wir am Schluss.“
in Softwareentwicklungs-
projekten?
Nein?

Wer ist der Statiker, der dies in
einem
Softwareentwicklungsprojekt
verhindert?

Unser Ansatz:
Datenschutz und Sicherheit von Anfang an
Advisor as a Service

 Was bedeuten Sicherheits- und Datenschutzrisiken für die Softwareentwicklung?
 Schwachstellen erlauben einem Angreifer, Schaden zu verursachen.
 Datenschutzverstöße machen das Unternehmen juristisch angreifbar.
 Beides kann zu schlechter PR führen.
Soweit klar… aber darum geht es hier nicht wirklich. Stattdessen:
Schwachstellen stellen ein Risiko dar für:
 die Entwicklungskosten
 die Einhaltung von Zeitplänen & Fristen
Risiko

 Heute üblicher Ansatz für Softwaresicherheit und Datenschutz:
 praktisch keine Unterstützung durch Experten während der Entwicklungsphase
 große Überraschung nach der abschließenden Sicherheitsüberprüfung/Datenschutzprüfung kurz
vor dem Go-Live
 Ergebnis
 Wahl zwischen Verschiebung des Go-Live und Inkaufnahme des erhöhten Risikos
 Nachfolgende Einbeziehung von Sicherheits- und Datenschutzeigenschaften erfordert eine
Erhöhung des Budgets. Selbst dann: Das Hinzufügen von Sicherheits- und
Datenschutzeigenschaften in die Anwendungsarchitektur ist meist nicht möglich.
Konventioneller Ansatz

 Sicherheit und Datenschutz sind (genauso wie funktionale Qualität) ein fundamentaler Baustein
unseres Softwareentwicklungsprozesses.
 Sicherheitstrainings für Entwickler
 Einbindung eines Sicherheits- und Datenschutzexperten in jedes Projekt
 entwicklungsbegleitende Tests und Analysen
 Ergebnis
 keine bösen Überraschungen mehr: weder Deadlines noch Budgets werden durch
Testergebnisse gefährdet
Unser Ansatz

 Ohne Experten werden Sicherheits- und Datenschutzentscheidungen getroffen
 von Menschen mit begrenzter Expertise
 als ja/nein-Entscheidungen
 mit auf den Einzelfall eingeschränktem Blick
 Resultat
 zu viel Sicherheit & Datenschutz => unnötig hohe Kosten und ggf. Komplikationen
 üblicherweise allerdings: ungenügende Sicherheit und lückenhafter Datenschutz!
 Mit Experten werden Sicherheits- und Datenschutzentscheidungen getroffen
 durch einen Experten
 individuell ausbalanciert
 und hochgradig auf die Gesamtsituation abgestimmt
 Resultat: umfassende und kosteneffiziente Integration von Sicherheit und Datenschutz ins Produkt.
Vorteile durch den Sicherheitsexperten

Funktioniert das auch in agilen Prozessen?

Was ist agile Softwareentwicklung?
 Individuals and interactions over processes and tools
 Working software over comprehensive documentation
 Customer collaboration over contract negotiation
 Responding to change over following a plan
src: Manifesto for Agile Software Development, http://www.agilemanifesto.org

Wie fügt man Sicherheit und Datenschutz in agile Entwicklungsprozesse ein?
src: https://www.microsoft.com/en-us/SDL/process/training.aspx
Von Wasserfall…

src: https://www.microsoft.com/en-us/SDL/process/training.aspx
Requirements Release
Requirements
Release
Design
Implementation
Verification
Design
Implementation
Verification
… zu agiler Entwicklung

Requirements
Release
Design
Implementation
Verification
Design
Implementation
Verification

Requirements
Release
Design
Implementation
Verification
Design
Implementation
Verification
Dies ist das wesentliche
Arbeitsfeld – aber es ist
TEAMWORK!

Requirements
Release
Design
Implementation
Verification
Design
Implementation
Verification
Sicherheitsfunktionen der
Frameworks + automatisiertes
Testen!

 Integration von Sicherheit und Datenschutz – keine Neuerfindung von Prozessen
 Sicherheitstraining für Entwickler / Scrum Master / PO
 Awareness-Seminar für Entscheidungsträger
 Sicherheits- und Datenschutzeigenschaften als Teil der Definition of Done
 Nutzen der Ergebnisse aus automatisierten Tests, z.B. SAST
 Advisor-as-a-Service (AaaS)
 bei Bedarf: Penetrationstesten, manuelle Code-Reviews
Lektionen aus der Integration von Sicherheit und Datenschutz in agile
Softwareentwicklung

Als Belohnung…

… oder sogar

 Datenschutz und Sicherheit von Anfang an sind der effizienteste und zuverlässigste Weg
zu einem sicheren Produkt.
 Software Engineering muss Produktsicherheit beachten wie jede andere
Ingenieurstätigkeit auch.
 Agile Entwicklung
=> Dynamische Spezifikation von Funktionalitäten
=> entsprechend dynamische Definition von Sicherheits- und Datenschutzeigenschaften
 EU-DSGVO verlangt frühe Beachtung jenseits von Sicherheit:
 (In der Lage sein zu) löschen, insb. Nutzerdaten  Recht auf vergessen werden
 Landing Pages & Gewinnspiele  nach Zustimmung fragen vor Nutzerverfolgung
Zusammenfassung & Ausblick

Wir machen Software. Sicher.
PragMünchen Berlin Hamburg Köln NürnbergGrenoble LeipzigDresdenBamberg Đà Nẵng ZugWashington
mgm security partners GmbH
Frankfurter Ring 105a
80807 München
Tel.: +49 (89) 35 86 80-0
Fax: +49 (89) 35 86 80-288
http://www.mgm-tp.com
Dr. Bastian Braun
IT Security Consultant
Tel: +49 (89) 35 86 80-424
Mob: +49 (1575) 885 0137
Bastian.Braun@mgm-sp.com

Workshop: Mit Sicherheit Datenschutz in der Gesetzlichen Unfallversicherung - 11 - DSGVO - Datenschutz und Sicherheit von Anfang an!

Recomendados

Recomendados

Mais conteúdo relacionado

Mais procurados

Mais procurados (20)

Semelhante a Workshop: Mit Sicherheit Datenschutz in der Gesetzlichen Unfallversicherung - 11 - DSGVO - Datenschutz und Sicherheit von Anfang an!

Semelhante a Workshop: Mit Sicherheit Datenschutz in der Gesetzlichen Unfallversicherung - 11 - DSGVO - Datenschutz und Sicherheit von Anfang an! (20)

Mais de Fujitsu Central Europe

Mais de Fujitsu Central Europe (20)

Workshop: Mit Sicherheit Datenschutz in der Gesetzlichen Unfallversicherung - 11 - DSGVO - Datenschutz und Sicherheit von Anfang an!