A.5 Requirements
Objective: Das Adressieren von Sicherheit und Datenschutz in der Anforderungsphase ist die Grundlage sicherer Software und orientiert sich an Compliance-Anforderungen und den aus den funktionalen Anforderungen abgeleiteten Sicherheitsanforderungen.
Control 5.1: Security Advisor
Für jedes Software-Projekt sollte ein Sicherheitsbeauftragter (Security Advisor) benannt werden, der die Verantwortung für die Sicherheit des Produktes trägt und Ansprechpartner für Sicherheitsfragen in der Entwicklung ist.
Control 5.2: Sicherheitsüberprüfung
Für jedes Software-Projekt sollte eine Risiko-Abwägung darüber getroffen werden, ob und in welchem Umfang es den sicheren Software-Entwicklungsprozess durchlaufen muss. Die Entscheidung ist durch den Sicherheitsverantwortlichen im Unternehmen zu bestätigen, und die Entscheidung ist schriftlich zu begründen und zu dokumentieren.
Control 5.3: Verwendung von Fremdcode
Bei der Verwendung fremden Codes (Frameworks, Bibliotheken etc.) sollte geprüft werden, ob davon ausgegangen werden kann, dass dieser Fremdcode sicher ist. Die Entscheidung ist durch den Security Advisor zu bestätigen und schriftlich zu dokumentieren.
Control 5.4: Vorabkontrolle
Im Geltungsbereich des Bundesdatenschutzgesetzes (BDSG) [http://www.gesetze-im-internet.de/bundesrecht/bdsg_1990/gesamt.pdf] ist für Software, die dem BDSG unterliegt, in der Anforderungsphase eine Vorabkontrolle gemäß §4d, Absatz 5 BDSG durchzuführen.
Control 5.5: Angemessenheit
Die Angemessenheit von Sicherheitsmaßnahmen innerhalb eines Software-Projekts sollte durch eine Risiko-Analyse ermittelt werden.
Control 5.6: Security-Expertise
Das Requirements Engineering sollte von Personen begleitet werden, die mit gängigen Angriffsmustern und Sicherheitsarchitekturen und -mechanismen vertraut sind.
Control 5.7: Compliance-Prüfung
Für jedes Projekt sollte eine Compliance-Prüfung durchgeführt werden, um festzustellen, welchen regulatorischen Vorgaben die Software unterliegt. Die Sicherheitsanforderungen sind entsprechend den Vorgaben der entsprechenden Regularien zu formulieren.
Control 5.8: Ermitteln von Sicherheitsanforderungen
Für jedes Projekt sollten die relevanten Sicherheitsanforderungen bezüglich Vertraulichkeit, Integrität und Verfügbarkeit der zu verarbeitenden Daten identifiziert werden. Entsprechende Maßnahmen zur Erfüllung dieser Anforderungen müssen dokumentiert und berücksichtigt werden.
Control 5.9: Richtlinien für Sicherheitsanforderungen
Es sollten Richtlinien für das Ermitteln von Sicherheitsanforderungen vorhanden und allen Beteiligten bekannt sein. Die Richtlinien sollten regelmäßig überprüft und aktualisiert werden.
Ihr Kommentar
Wie hat Ihnen das <openbook> gefallen? Wir freuen uns immer über Ihre freundlichen und kritischen Rückmeldungen.
