Agile Security Strategie

Transkript

1 Agile Security Strategie Sicherheit in agile Entwicklung verankern!

2 DATEV eg Zukunft gestalten. Gemeinsam. DAS ALLES IST DATEV RUND MITGLIEDER VERTRAUEN DATEV 26 STANDORTE SICHERN BUNDESWEIT REGIONALE PRÄSENZ verbundene Unternehmen vertreten die DATEV in Europa SIE ERZIELTEN 2017 EINEN UMSATZ VON 978 MITARBEITER SIND FÜR DIE MITGLIEDER DER GENOSSENSCHAFT TÄTIG MILLIONEN EURO

3 DATEV eg Unser Angebot

4 Referent Said Moftakhar Informatikstudium Arbeite in DATEV Kompetenz Center Security Verantwortlich für die Umsetzung der Agile Security Strategie in DATEV Softwareentwicklung

5 Was ist Agile Security? Entwicklungsschwerp unkte Prof. Dr. Peter Krug

6 MESSBARKEIT Robustheit KUNDENZUFRIEDENHEIT AGILE SECURITY STRATEGIE Definition Die agile Security Strategie fördert eine Umgebung, die geprägt ist von Security Prozessen, Testautomatisierung, Zusammenarbeit, Selbstorganisation und einem schnellen Abschluss, sodass Security von Anfang an in die Projekte mit einbezogen wird.

7 Warum Agile Security? Entwicklungsschwerp unkte Prof. Dr. Peter Krug

8 The Old World e.g. 1-2 Releases Pro Jahr

9 The New World Wie sich DATEV Softwareentwicklung geändert hat Asha Sreenivas / fotolia.com Kontinuierliche Projektinitiierung 3-Monatsplanung statt Jahresplanung Portfoliostrategie wird einmal jährlich angepasst Nahezu alle Teams arbeiten nach agilen Methoden Entwicklung und Test finden in kurzen Iterationen statt, dadurch Verkürzung der externen und internen Sicherheitsmaßnahmen Kein Fokus auf nicht-funktionale Anforderung

10 Alter Security Zustand in agilen Projekten!

11 Sicherheit nach der Integration in die agile Entwicklung

12 Zielbilder Ziele für die Implementierung von Agiler Security Strategie in der Entwicklung! Agile security Prozess Rollen Automatisierung Secure Foundation Schulungen Gesamtheitliche Integration von agilen Security-Prozessen in alle DATEV agile Projekte Integration von Security Engineers als lokale Experten für Anwendungssicherheit in alle DATEV Entwicklungsbereichen Integration von automatisierten Security-Tests und Etablierung von agilen Pentesting-Teams für die gesamte DATEV Integration von Sicherheitsprozessen in Entwicklungssystemen für die Bewertung des Einsatzes neuer Technologien Ausbau der Schulung-Plattform für Security Engineers und Entwicklungsteam Awarenesskampagnen Noch mehr Sichtbarkeit für AppSec durch verschiedene Veranstaltungen wie Hacker Challenge für Entwickler und Vergabe von Security Award für Hauptabteilungen

13 Agile Security Prozess Agil security ist Evil User stories Ab-use Case Security stories Thread modeling Security Baustein für DoD / DOR Sichere Software

14 Rollen und Zuständigkeiten Produkt Owner Entwicklungsteam SECURITY ENGINEER KCS & PENTEST TEAM

15 Der Security Engineer ist ein Kernpunkt der Agile Security Methodik.

16 Pentestautomatisierung Sec-Testfälle Entwickler Projekt-Spezifikation Sec Checks (every build) SAST Pipeline Resultate Projekt Security Pipeline (every 24h) P:URL DAST Pipeline IAST Pipeline Projekt CI Security CI Testdurchführung Sec-Eng Testumgebung

17 Secure Foundation Ziel: Sicherheitsprobleme durch sichere Systeme und Technologien vermeiden Security Architektur Secure Defaults Secure Ecosystem Verhinderung von Schwachstellen (z.b. durch Architektur, sichere Defaults und Policies) Blueprints von Security Architektur-Patterns für Teams Kontinuierliche Verbesserung der Sicherheit durch vordefinierte Härtungsmaßnahmen des Produktes. Viele Frameworks bieten bereits impliziten Schutz gegen XSS, CSRF, etc. Security Guideline Sicherheit in Entwicklungssystemen integrieren

18 Security Schulung Ziel: Ausbau von Schulung-Plattformen für Security Engineers Master Online Expert Online Junior Online Master On Premise Security Schulungen für Master Expert On Premise Security Schulungen für Expert Junior On Premise Master Mobile Expert Mobile Junior Mobile Schulung IT-Security Grundlagen

19 Awarenesskampagnen Awarenesskampagnen berufen, um Sichtbarkeit für Software Sicherheit zu verbessern Online Informationen durch zentrale Blogs Seminare / Veranstaltungen Trainingsplattform (Learning by Doing) Web Based Training Hacker Challenge für Entwickler Security Award

20 Reifegrad von agile Security Stufe 6: Optimierend Es erfolgt eine kontinuierliche Verbesserung des Sicherheits-Prozesses durch systematische Analyse. Stufe 5: Quantitativ kontrolliert Die Qualität des Prozesses wird laufend anhand von Kennzahlen ermittelt. Stufe 4: Wohldefiniert Es existiert ein ausgereiftes und dokumentiertes Prozessmodell, durch welches eine konsistente Prozess-Implementierung sichergestellt ist. Stufe 3: Geplant und nachverfolgbar Es existiert ein stabiler und etablierter Prozess, der in der Entwicklung durchlaufen wird. Stufe 2: Informell Einzelne Maßnahmen werden umgesetzt, ohne dass diese einem strukturierten Prozess unterliegen. Stufe 1: Initial (Chaos): Security Prozesse sind nicht umgesetzt. (jeder tut, was er will)

21 Wichtige Punkte für die Operationalisierung Mit Piloten und ausgewählten Teams erproben Lokale Security Experten in Teams ausbilden Projektbegleitung und Coaching Community etablieren (CoP) Ziele definieren und eigene Roadmap erstellen

22