GESINE: Sicherheit in Geschäftsprozessen

Transkript

1 GESINE: Sicherheit in Geschäftsprozessen SWAT: Secure Workflow Analysis Toolkit Richard Zahoransky Universität Freiburg Institut für Informatik und Gesellschaft

2 Motivation Kleine und Mittelständische Unternehmen nutzen nicht das volle Potential automatisierter Prozesse Abschreckende Komplexität Erstellen von Prozessen Ausführung Sorge um Sicherheit Ungewollter Informationsfluss Abgreifen von Daten Verlust von Geschäftsgeheimnissen und Vertrauen Hinderung weiterer Integration (teil-)automatisierter Geschäftsprozessen Herausforderung: Leichte Modellierbarkeit sowie das Vermeiden potentiellen Sicherheitsschwachstellen 2

3 Ziele Beratungs- und Lernkonzepte mit der IHK Oberfranken Verständliche, automatisierte Prozesse Prüfung von Compliance und Einhaltung von Sicherheitsrichtlinien 3

4 Kontrollierter Ablauf Sichere Prozesse Einfacher Einsatz Aufgabentrennung Grafische Modellierung des Prozessablaufs Beobachtung des laufenden Prozesses möglich Beispielprozess: Digitale Rechnung 4

5 Warum vielschichtige Sicherheit Sicherheit ist ein vielschichtiges Problem Sicherheit auf einer Ebene nicht ausreichend Sicherheit auf allen Abstraktionsebenen gefordert Annahme: Techniken zur Einhaltung der Sicherheit auf unteren Ebenen existieren Sicherheit des gesamten Systems somit gewährt? Sicherheits und Compliance Anforderungen Notwendig: Zusätzliches absichern der übergeordneten Instanz der Geschäftsprozess 5

6 Sicherheit in Geschäftsprozessen Herausforderung: Sicherheitsanforderungen prüfen Geschäftsprozess: Formale Beschreibung Gegeben durch Modellierung, z.b. durch AristaFlow (BPMN, ) Gesine: Sicherheit in Prozessen Gibt es potentielle Schwachstellen Wo können Gefahren auftreten Fehlen von Aktivitäten 6

7 Analyse Tool SWAT (Secure Workflow Analysis Toolkit) Sicherheitsanforderungen Analyse Prozess Model + Transformation + Sicherheitsanforderungen Sicherheitsanforderungen IFnet-Model mit Sicherheitsspezifikationen Zertifikat 7

8 Möglichkeiten der Prüfung Vor, während oder nach der Ausführung Design Zeit (Model) Laufzeit (Instanz) Audit Zeit (Log) Zeit Präventiv Monitoring Detektiv 8

9 Sicherheitsprüfung nach der Ausführung Weitere Sicherheitseigenschaften Vier-Augen-Prinzip Wurden alle Aktivitäten ausgeführt Wer hatte Zugriff auf Daten Mathematisches Modell Prüfung nach der Laufzeit Sicherheitsmuster LTL Verifikation Ergebnisse: 1. Alle Ausführungen stimmen überein 2. Einige Ausführungen verletzen das Muster 3. Alle Ausführungen verletzen das Muster 9

10 Analyse mit SWAT: Secure Workflow Analysis Toolkit 10

11 Grafische Bearbeitung der Sicherheitsregeln 11

12 Betrachten der Ergebnisse Anzeigen der Verletzungen im Log 12

13 Gesine Ziel: den Einsatz automatisierter Geschäftsprozesse zu fördern Schulungen und Aufklärung Einfache Modellierbarkeit Nachgelagerten Prüfung BF/M: Schulungskonzepte zum Thema sicherer Prozesse Arbeiten mit Industriepartner Arista Flow: Automatisierte Workflowengine Vorgefertigte, sichere Prozesse Institut für Informatik und Gesellschaft: SWAT Secure Workflow Analysis Toolkit Prüfen von Prozessen nach Sicherheitsverletzungen 13

14 Ansprechpartner: Richard Zahoransky Universität Freiburg, Institut für Informatik und Gesellschaft Friedrichstr Freiburg

15 Das Projekt GESINE ist Teil der Förderinitiative estandards: Geschäfts-prozesse standardisieren, Erfolg sichern, die im Rahmen des Förder-schwerpunkts Mittelstand-Digital IKT-Anwendungen in der Wirtschaft vom Bundesministerium für Wirtschaft und Technologie (BMWi) gefördert wird. Der Förderschwerpunkt unterstützt gezielt kleine und mittlere Unternehmen (KMU) sowie das Handwerk bei der Entwicklung und Nutzung moderner Informations- und Kommunikationstechnologien (IKT). Mittelstand-Digital setzt sich zusammen aus den Förderinitiativen ekompetenz-netzwerk für Unternehmen mit 38 ebusiness-lotsen, estandards: Geschäftsprozesse standardisieren, Erfolg sichern mit derzeit 11 Förderprojekten und Einfach intuitiv Usability für den Mittelstand mit zurzeit 10 Förderprojekten. Weitere Informationen finden Sie unter 15