IT-Architekturen für auditierbare Geschäftsprozessanwendungen (Eingeladener Vortrag)

Transkript

1 IT-Architekturen für auditierbare Geschäftsprozessanwendungen (Eingeladener Vortrag) Fraunhofer-Symposium "Netzwert" 2013 J. Jürjens Das Forschungsprojekt ClouDAT (Förderkennzeichen ) wird/wurde durch das Land NRW und Europäischen Fonds für regionale Entwicklung Investition in unsere Zukunft unterstützt

2 IT-Architekturen für auditierbare Geschäftsprozessanwendungen Prof. Dr. Jan Jürjens Fraunhofer Institut für Software- und Systemtechnik ISST, Dortmund Fraunhofer-Attract-Projekt APEX ( ): Prof. Dr. Jan Jürjens Dr. Sven Wenzel Thorsten Humberg Daniel Poggenpohl Andreas Schmitz

3 Herausforderung Compliance Steigende Anzahl von Regulierungen (z.b. Finanzen: Solvency II, Basel III; Gesundheit: Medizinproduktegesetz (MPG); Pharma: Arzneimittelmarktneuordnungsgesetz (AMNOG)) Steigende Komplexität des Compliance-Nachweises: Viele Facetten: Anforderungen an Geschäftsprozesse (Design + Ausführung), IT-Infrastruktur (+ deren Prozesse), deren Abhängigkeiten Wechselseitige Abhängigkeiten von Vorgaben Aggregation von Vorgaben bei komplexen IT-Systemen Verteilung über verschiedene Standorte Anbindung von Lieferanten bzw. Partnern Cloud-Computing besondere Anforderungen Audits wiederholen Analyse der Änderungen 2

4 Notwendig: Werkzeuge für Compliance-Management Manueller Nachweis aufwendig und kostenintensiv. Erforderliche Daten schwer manuell erfassbar. Prüfung einzelner Eigenschaften bereits komplex und umfangreich. Großer Bedarf an Compliance-Werkzeugen (1,3 Mrd.$ (Forrester 2011)) Werkzeuge: bislang i.w. Unterstützung der manuellen Dokumentation. Schwachpunkte: Automatisierte Erfassung / Analyse von Complianceanforderungen. Überwachung der Compliancevorgaben. Derzeitige Risiko-Bewertungsmethoden generell nicht ausreichend. 1 1 S. Taubenberger, J. Jürjens: Durchführung von IT-Risikobewertungen und die Nutzung von Sicherheitsanforderungen in der Praxis. Studie, Fraunhofer ISST 2011 und DACH security

5 Vision: Automatisierte Compliance-Analysen Ziele: Bewältigung der Komplexität und Kostenersparnis durch automatische Compliance-Analysen. Bessere Überprüfbarkeit der Ergebnisse. Idee: Entwicklung automatischer Werkzeuge: Management und Analyse von Compliance-Anforderungen mit vorhandenen Artefakten: Textdokumente, Software-/Geschäftsprozessmodelle, Logdaten Expertensystem für Compliance Compliance- Report Compliant: NEIN Verstöße: - MaRISK VA 7.2: Einhaltung von BSI G3.1 nicht erfüllt Maßnahmen: - BSI Maßnahmenkatalog M

6 Vorgehen (1): Automatische Risiko-Identifikation Jürjens et al., Journal of Software and Systems Modeling, 2011 Kunde stellt Anfrage zu Cloud-Service Dienstleister erhält Serviceanfrage Eingabe personenbezogener Daten Verschlüsselung und Authentifikation Prüfung der Daten Gefundene Pattern Aktivität [Kunde stellt Anfrage zu Cloud-Service (233)] 4 Relevante Worte: [Information(200.0), Meldung(200.0), Nachricht(200.0), Internet(100.0)] 22 relevante Pattern: B_5.10 : Internet Information Server (300.0) G_2.96 : Veraltete oder falsche Informationen in einem Webangebot (200.0) G_3.13 : Weitergabe falscher oder interner Identifizierte Informationen (200.0) G_3.44 : Sorglosigkeit im Umgang mit Informationen (200.0) Ausdrücke 5

7 Vorgehen (2): Von Compliance zu Geschäftsprozessen J. Jürjens et al.. J. Inform. Management & Computer Security, 2013 Jürjens et al., Int. Journal on Intelligent Systems 25(8): (2010) 6

8 Vorgehen (3): Compliance vs. IT-Daten Business Process Mining: Prozesse aus Logdaten rekonstruieren A X C B Jürjens et al., Journal on Computers & Security 29(3): (2010) Alternativ: Compliance- Monitoring auf Logdaten. Beispiel: 4-Augen-Prinzip Ereignisdaten ERP SCM WfMS CRM... 7

9 Vorgehen (4): Re-Zertifizierung nach Systemänderungen Analyse nur auf Basis der Systemänderungen Effizienzgewinn. Jürjens, Wenzel et al. ServiceWave 2011 Jürjens et al., The Computer Journal,

10 Werkzeugunterstützung: Überblick Wenzel, Humberg, Wessel, Poggenpohl, Ruhroth, Jürjens. 3rd Int. Conf. Cloud Computing and Services Science, 2013 CARiSMA Unterneh- mens- Daten 9

11 Werkzeugunterstützung: Textprozessor 10

12 Herausforderung: Komplexität der Analyse Beispiel: MaRisk (VA) (Mindestanforderungen an das Risikomanagement im Versicherungswesen) Querverweise ausgehend von 10 (Ausschnitt) 11

13 Textbasiertes Compliance-Mining: Experimentelle Resultate Jürjens et al. Requirements Engineering Journal (REJ), 2010 Anforderungsdokumente Common Electronic Purse Specifications (epurse) Customer Premises Network specification (CPN) Global Platform Specification (GPS) Metriken für Information Retrieval: Recall: Trefferquote Precision: Genauigkeit F-Measure: Kombination P&R Baseline: Alle Anforderungen als security relevant klassifiziert 12

14 Spin-Off-Projekte SecureClouds (BMBF): Compliance-Analyse bei Auslagerung in Cloud. [Kooperationsmöglichkeiten: vgl. Vortrag Oliver Strauß] SECONOMICS (EU): Werkzeuge für ökonomische Bewertung von Sicherheitsmaßnahmen (insb. cyber-physikalische Systeme). [Kooperationsmöglichkeiten: vgl. Vortrag Prof. Riedel, Dr. Kohlhammer] Fhg-ZV-Studie: Anwendbarkeit eines Informationssicherheits- Risikomanagements nach ISO 2700x in FhG WBMP: Industrieauftrag Text-Processing-Werkzeug ClouDAT (IKT.NRW, via TUDo): Sicherheitszertifizierung von Clouds. Secure Change (EU, via TUDo): Rezertifizierung von Compliance nach Änderungen der Software, insbes. Sicherheitstesten [Kooperationsmöglichkeiten: vgl. Vortrag Prof. Schieferdecker] SecVolution (DFG, via TUDo): Rezertifizierung von Compliance nach Änderungen der Systemumgebung 13

15 In Arbeit: Integrierte Compliance Management Plattform 14

16 Zusammenfassung Problem: Compliance zunehmend komplexe Herausforderung. Lösung: Automatische Werkzeuge für Compliance-Management und -Analyse mit relevanten Artefakten (z.b. Textdokumente, Software-/Geschäftsprozessmodelle, Logdaten). Erfolgreicher Einsatz in Pilotprojekten. Aktuelle Arbeiten: Integrierte Compliance Management Plattform (ICMP) Spin-off Projekte z.b. SECONOMICS, ClouDAT Kontakt:

17 Backup-Folien 16 IT-Architekturen für auditierbare Geschäftsprozessanwendungen

18 Veröffentlichungen Impakt:»10 years most influential paper«für UML 02-Veröffentlichung Mehr als 3000 Zitierungen, h-index 29 Einige aktuelle Veröffentlichungen (ab 2011): Vorträge zu Sicherheit und Compliance (z.b. in Clouds) auf: iqnite 2012, Anw. Informationstechnik und Telekommunikation (AKIT) 2012, CloudConf 2011, CloudDays 2011, Object-Oriented Programming (OOP 2011), iqnite 2011 Compliance-Management: S. Islam, H. Mouratidis, J. Jürjens. A Framework to Support Alignment of Secure Software Engineering with Legal Regulations. Journal of Software and Systems Modeling (SoSyM) 2011 Sichere Software Migration in die Cloud: S. Wenzel, T. Humberg, C. Wessel, D. Poggenpohl, T. Ruhroth, J. Jürjens. Ontology- Based Analysis of Compliance and Regulatory Requirements of Business Processes. In: 3rd Int. Conference on Cloud Computing and Services Science (Closer 2013) S. Wenzel, C. Wessel, T. Humberg, J. Jürjens. Securing Processes for Outsourcing into the Cloud. In 2nd Int. Conf. on Cloud Computing and Services Science Text-basiertes Risk-Mining: K. Schneider, E. Knauss, S. Houmb, S. Islam, J. Jürjens. Enhancing Security Requirements Engineering by Organisational Learning. Requirements Engineering Journal (REJ), ModellbasiertesSicherheits-Testen: E. Fourneret, M. Ochoa, F. Bouquet, J. Botella, J. Jürjens, P. Yousefi. Model-Based Security Verification and Testing for Smart-cards. In ARES 2011 Werkzeugunterstützung: M. Ochoa, J. Jürjens, J. Cuellar. Non-interference on UML State-charts. In 50th Int. Conference on Objects, Models, Components, Patterns (TOOLS Europe 2012) M. Ochoa, J. Jürjens, D. Warzecha. A Sound Decision Procedure for the Compositionality of Secrecy. In 4th Int. Symp. on Engin. Secure Software and Systems 2012 Rezertifizierung bei Softwareevolution: A. Bauer, J. Jürjens, Yijun Yu. Runtime Security Traceability for Evolving Systems. The Computer Journal, Oxford Univ. Press, vol. 54, no. 1, 2011, pp J. Jürjens, K. Schneider. On modelling non-functional requirements evolution with UML (invited contribution). In Festschrift for Martin Glinz 2012 T. Ruhroth, J. Jürjens. Supporting Security Assurance in the Context of Evolution: Modular Modeling and Analysis with UMLsec. In 16th IEEE Intern. Symp. on High Assurance Systems Engineering (HASE 2012), IEEE, 2012 F. Massacci, F. Bouquet, E. Fourneret, J. Jürjens, M.S. Lund, S. Madelenat, J.T. Mühlberg, F. Paci, S. Paul, B. Solhaug, S. Wenzel, F. Piessens. Orchestrating Security and System Engineering for Evolving Systems (Invited paper). In 4th European Conf. ServiceWave 2011, LNCS 6994, Springer 2011, pp Studien zu IT-Sicherheits-Risikobewertung in der Praxis: S. Taubenberger, J. Jürjens, Y. Yu, B. Nuseibeh. Resolving Vulnerability Identification Errors using Security Requirements on Business Process Models. J. Inform. Management & Computer Security, 2013 S. Taubenberger, J. Jürjens. Studie zu IT-Risikobewertungen in der Praxis. In D-A-CH Security S. Taubenberger, J. Jürjens, B. Nuseibeh, Yijun Yu. Problem Analysis of Traditional IT-Security Risk Assessment Methods An Experience Report from the Insurance and Auditing Domain. In 26th IFIP International Information Security Conference (IFIP SEC 2011), Lucerne, 7-9 June 2011 J. Jürjens, K. Schneider: The SecReq approach: From Security Requirements to Secure Design, Software Engineering IT-Architekturen für auditierbare Geschäftsprozessanwendungen

19 Compliance-Methodik: Überblick Abstrakte Gesetze und Regularien Konkrete Sicherheits- Bestimmungen Basel II SOX AktG KWG VAG MARisk ISO 2700x Solvency II BSI-Grundschutzhandbuch Apex Werkzeuge Risk Finder Compliance pattern analyzer 18 IT-Architekturen für auditierbare Geschäftsprozessanwendungen

20 Automatische Compliance-Analyse auf Geschäftsprozessen Strukturanalyse von Geschäftsprozess auf Compliance-Muster Beispiel: 4-Augen-Prinzip bei Vertragsabschluss (Formalisierung in temporaler Logik). formula four\_eyes\_principle ( a1:activity, a2:activity ) := forall [ p:person (!(execute(p, a1)) \/!(execute(p, a2)) ) ]; 19 IT-Architekturen für auditierbare Geschäftsprozessanwendungen

21 Automatische Risiko-Annotation 20 IT-Architekturen für auditierbare Geschäftsprozessanwendungen

22 Von IT-Daten zu Geschäftsprozessen: Business Process Mining Analyse von Prozessen, die aus Log-Daten rekonstruiert wurden A X C B Process ID Activity ID Consultant Time Stampe 1 A John :15.01 Ereignis-Daten 2 A Mike : B Mike : C Carol :18.25 ERP SCM WfMS... CRM 21 IT-Architekturen für auditierbare Geschäftsprozessanwendungen

23 Log-Daten-basierte Compliance-Analyse Beispiel: Überprüfung des 4-Augen-Prinzips anhand Log-Daten Jürjens et al., Journal on Computers & Security 29(3): (2010) 22 IT-Architekturen für auditierbare Geschäftsprozessanwendungen

24 Evolution auf Design-Ebene: Differenz-basierte Verifikation Differenz-basierte Verifikation Idee: Erstmalige Verifikation: Registrieren, welche Modellelemente bei Verifikation gegebener Eigenschaft referenziert. Im verifizierten Modell gespeichert, inkl. Teil-Resultate (»proof-carrying models«). Mit Heuristiken Bedingungen an Änderungen definiert, die Verifikationsergebnis bewahren. Evolutions-Differenz zwischen altem und neuem Modell berechnen (z.b. mit SiDiff [Kelter]). Nur die Modell-Teile re-verifizieren, die 1) sich geändert haben und 2) in der Verifikation referenziert wurden und 3) deren Änderung die Bedingungen nicht erfüllt. Erheblicher Performanzgewinn gegenüber einfacher Re-Verifikation IT-Architekturen für auditierbare Geschäftsprozessanwendungen

25 Einige technologische Assets Werkzeug CARiSMA: Sicherheits-, Risiko- / Complianceanalysen auf Geschäftsprozess-/Software-Modellen: BPMN-/UML-Modellanalyse Anbindung von Process-Mining Differenzberechnung nach Modelländerungen Re-Verifikation auf Sicherheit nach Modelländerungen Ontologie zur systematischen Herleitung, Formalisierung, Verwaltung von Sicherheits/Compliance-Anforderungen CARiSMA Taxonomie für Sicherheitsstandards (z.b. BSI Grundschutz) Modell für Cloud-Umgebungen über Extraktion sicherheitsrelevanter Daten über Cloud-Interfaces. Werkzeugunterstützung zur Erfassung von Quelltexten (z.b. Gesetzestexte, BSI-Grundschutzkataloge), deren Verarbeitung und automatisierte Erkennung und Erfassung der Querbeziehungen.»RiskFinder«: Findet Sicherheits-/Compliance-Risiken in Prozessbeschreibungen. Werkzeug zur textbasierten Analyse von Compliance-Anforderungen. Analysewerkzeug für Rentabilität von Sicherheitsmaßnahmen (in Entwicklung). Analysewerkzeug für Clouds auf Sicherheitsanforderungen (in Entwicklung). 24 Unterneh- mens- Daten IT-Architekturen für auditierbare Geschäftsprozessanwendungen

26 Wissenschaftliche Grundlage: Modellbasiertes Compliancemanagement Anforderungen Einfügen Analysieren Evolution Code- / Testgen. Modelle Reverse Engin. Implementierung Generieren Verifizieren Ausführen Konfiguration Konfigurieren Laufzeitsystem 25 [ Secure systems development with UML. Springer Chines. Übers. 2009] IT-Architekturen für auditierbare Geschäftsprozessanwendungen

27 Wissenschaftliche Herausforderung: Automatische Analyse der Compliance Jürjens et al., TOOLS Europe 2012 Beispiel»sicherer Informationsfluss«: Kein Informationsfluss von vertraulichem zu öffentlichem Wert. Analyse: Wenn zwei Systemzustände state current, state current sich nur in den Werten der vertraulichen Attribute unterscheiden, darf ihr öffentlich beobachtbares Verhalten sich nicht unterscheiden: state current pub state current state current.t(m) pub state current.t(m) (wobei state current pub state current falls state current und state current sich in ihrem öffentlich beobachtbaren Verhalten nicht unterscheiden). Beispiel: Unsicher, weil vertrauliches Attribut money den Rückgabe-Wert der öffentlichen Methode rx() beeinflusst. ExtraService pub NoExtraService aber nicht: ExtraService.rx() pub NoExtraService.rx() 26 IT-Architekturen für auditierbare Geschäftsprozessanwendungen