Usable Security by Design

Transkript

1 Usable Security by Design Unterstützung für kleine und mittlere Softwarehersteller in frühen Phasen der Produktentwicklung 15. Deutscher IT-Sicherheitskongress Bonn-Bad Godesberg, 18. Mai 2017 Hartmut Schmitt, HK Business Solutions GmbH

2 Situation mittelständischer Softwarehersteller Produkte müssen hohe Sicherheitsanforderungen erfüllen Anforderungen steigen: Internet of Things, Industrie gleichzeitig steigende Usability-Anforderungen heutige Schutzmechanismen/Sicherheitsfunktionen stellen oft eine Barriere dar (Bedienung zu aufwendig, Bedienung zu kompliziert) Bedarf nach adäquaten Sicherheitskonzepten und -lösungen aber: i. d. R. kein Usability-Expertenteam/-Labor

3 Motivation für Forschungsprojekt Ziele: herstellerseitig: Entwicklung systematisieren, Werkzeuge bereitstellen anwenderseitig: Nachfrage wecken, Produktauswahl/-bewertung ermöglichen Usable Security als innovatives Qualitätsmerkmal bekannt machen Leitideen: konstruktiv ( by Design ) patternbasiert (Musterlösungen) KMU-tauglich leichtgewichtige Methoden/Werkzeuge einfache Integration in bestehende Prozesse 3

4 Projekt Usable Security by Design Förderinitiative Einfach intuitiv Usability für den Mittelstand Laufzeit: Zielgruppe: Anwenderfirmen und Herstellerfirmen 4

5 USecureD-Qualitätsmodell Ziel: ganzheitliches Qualitätsverständnis dokumentieren Umsetzung: Analyse von bekannten Softwarequalitätsmodellen Erstellung des USecureD-Modells auf Basis der ISO Ergänzung einzelner Teilmerkmale (aus anderen Normen, Literatur, eigenen Vorarbeiten) 5

6 Anwendungsbereiche für Usable Security Sammlung typischer Anwendungsfälle im Bereich betrieblicher Software Analyse von 8 Softwarelösungen (ERP-Systemen) Literaturrecherche Aufbau einer Use-Case-Sammlung (321 Use Cases, 22 UML-Diagramme) Erstellung eines Use-Case-Templates Dokumentation 6 exemplarischer Use Cases 6

7 Anforderungsermittlung Online-Studie Verständnis und Stellenwert des Themas Usable Security ermitteln Umsetzungsgrad aktuelle Schwierigkeiten von KMU im Umgang mit Sicherheitsmechanismen Input gewinnen für bedarfsgerechte Weiterentwicklung von IT- Sicherheitslösungen für KMU ergänzende Benutzerinterviews und Expertenworkshops 7

8 Sicherheitsmechanismen Belastung und aufgewendete Zeit für Sicherheitsmechanismen aufgewendete Zeit: 62% der Anwender täglich bis zu 1 Stunde 8

9 Sicherheitsmechanismen Belastung und aufgewendete Zeit für Sicherheitsmechanismen aufgewendete Zeit: 9% der Anwender täglich zwischen 1 und 2 Stunden 9

10 Entwurfs- und Gestaltungswerkzeuge Ziele Unterstützung für Softwarearchitekten und -entwickler vorhandenes Wissen und Erfahrungen im Bereich Usable Security zusammenführen und dokumentieren Bündelung aller Werkzeuge in einer zentralen Plattform Vorgehensweise 75 Quellen ausgewertet (patterns, guidelines, principles, heuristics, practices ) Werkzeugarten (Artefakttypen) festgelegt Beschreibungstemplates erarbeitet Artefakte ausgearbeitet (deutsch/englisch) 10

11 Werkzeugarten 11

12 Beispiel Prinzip der Sichtbarkeit konkretisiert durch mehrere Richtlinien: Sichtbarer Sicherheitszustand Sichtbare Sicherheitsfunktionen Deutliche Kennzeichnung sensibler Daten Hervorhebung kritischer Inhalte passende Patterns: Aktive Warnungen Bemerkbare kontextabhängige Hinweise 12

13 Templates (Beispiel: Richtlinien) 13

14 Referenzen 14

15 Wie finde ich das passende Werkzeug? Werkzeugsammlungen auf platform.usecured.de 23 Prinzipien 33 Richtlinien 47 Patterns deutsch/englisch 15

16 Wie finde ich das passende Werkzeug? 16

17 17

18 18

19 19

20 weitere Arbeiten/Ergebnisse Evaluationskonzept für analytische Evaluationen für empirische Evaluationen Metriken/Indikatoren Evaluationswerkzeuge (Fragebögen) in mehreren Pilotprojekten erprobt 20

21 weitere Arbeiten/Ergebnisse Checklisten zur Auswahl von Softwareprodukten zur Evaluation von Produkten (Prototypen, lauffähige Software) für insgesamt 14 Bereiche Demonstrator mehrere Anwendungsfälle betrieblicher Software prototypische Anwendung von USecureD-Prinzipien, -Richtlinien und -Patterns 21

22 22

23 Ansprechpartner: Hartmut Schmitt HK Business Solutions GmbH Mellinweg Sulzbach Telefon: Fax: Projekt-Webseite: 23

24 Das Projekt USecureD ist Teil der Förderinitiative Einfach intuitiv Usability für den Mittelstand, die im Rahmen des Förderschwerpunkts Mittelstand-Digital Strategien zur digitalen Transformation der Unternehmensprozesse vom Bundesministerium für Wirtschaft und Energie (BMWi) gefördert wird. Der Förderschwerpunkt unterstützt gezielt kleine und mittlere Unternehmen (KMU) sowie das Handwerk bei digitalen Transformation sowie der Entwicklung und Nutzung moderner Informations- und Kommunikationstechnologien (IKT). Mittelstand-Digital setzt sich zusammen aus den Förderinitiativen Mittelstand 4.0 Digitale Produktions- und Arbeitsprozesse, estandards: Geschäftsprozesse standardisieren, Erfolg sichern und Einfach intuitiv Usability für den Mittelstand. Weitere Informationen finden Sie unter 24