SQ Magazin

Arbeitskreis Software-Qualität und -Fortbildung e.V.

Arbeitskreis Ausgabe 34 | Software-Qualität März 2015

IT SECURITY In der Diskussion: Bring Your Own Device Fluch oder Segen?

Seite 12

Im Team: Schulterschluss zwischen Safety und Security Seite 17

Im Gespräch: mit Prof. Dr. Joachim Hornegger Seite 20

und -Fortbildung e.V.

So schützen sich Unternehmen vor der virtuellen Bedrohung

Bis zum 31.05.2015 ein beliebiges D&H Training buchen und ein kostenloses Konferenzticket* sichern! *Gilt für ein Tagesticket auf der Mobile App Europe 2015 oder den Agile Testing Days 2015.

Bitte bei der Buchung den Rabattcode „Konf2015“ angeben.

TRAINING

Unser breitgefächertes Trainingsangebot umfasst akkreditierte Schulungen zu den Themen Software Test, Requirements Engineering, Agile Testing, Test-Driven Development und Mobile Application Testing.

EVENTS Europas größte Konferenz zum Thema agile Methoden rund um den Bereich Software Testing. 2014 wurden die Agile Testing Days als die weltweit zweitbeste Agile Konferenz ausgezeichnet. www.agiletestingdays.com

Mobile App Developement, Design, Testing, Marketing und Management sind die inhaltlichen Schwerpunkte der anwenderfokussierten Mobile App Europe Konferenz. Hier erfahren Sie alles über die neusten Mobile App Technologien der Zukunft. www.mobileappeurope.com

LIMITIERTES KONTINGENT Nur 50 Tickets verfügbar

Díaz & Hilterscheid Unternehmensberatung GmbH www.diazhilterscheid.de training @diazhilterscheid.de

3

Editorial

Ausgabe 34 | März 2015

Der Preis der Freiheit Liebe Leserinnen und Leser, lassen wir gleich die harten Fakten für sich sprechen: In der Europäischen Union werden durch Cyber-Kriminalität pro Jahr schätzungsweise 150.000 Jobs vernichtet. Jährlich entsteht den G20-Staaten durch Verbrechen im Zusammenhang mit Datenverarbeitung ein Schaden von 200 Milliarden USDollar. Mehr als 400 Milliarden Dollar beträgt der globale Schaden pro Jahr.

Jeder zehnte Mensch weltweit wurde bereits einmal Opfer von Cyber-Kriminalität.* Fest steht daher: Wie überall gibt es auch bei der Anwendung innovativer Informations- und Kommunikationstechnik zwei Seiten der Medaille. Cyber-Kriminalität ist eine Art Preis des Fortschritts. Es ist der Preis der Freiheit, den wir – auch in der digitalen Welt – bereit sein müssen, zu zahlen.

Das zu akzeptieren, fällt uns oftmals

schwer. Allein die Verschärfung von Gesetzen kann aber nicht die Lösung sein. Bestrebungen zur Einschränkung der Internetfreiheit sei an dieser Stelle deshalb eine klare Absage erteilt.

Je schneller der digitale Wandel voranschreitet, desto wichtiger ist es, die Kommunikation über diese und andere Themen mit den Entscheidern in Politik und Wirtschaft zu führen . Ich freue mich daher sehr, dass Felix Winter seine 12-jährige Erfahrung zukünftig an dieser Schnittstelle einbringen wird. Er wechselt ab März an das International Software Quality Institute und wird in seiner neuen Rolle den Diskurs befördern.

In diesem Sinne

Ihr Stephan Goericke

*Alle Daten sind der Studie „Net Losses: Estimating the Global Cost of Cybercrime” des Center for Strategic and International Studies (CSIS) in Zusammenarbeit mit dem IT-Security-Anbieter McAfee, Juni 2014, entnommen. http://csis.org/files/attachments/140609_rp_economic_impact_cybercrime_ report.pdf

Stephan Goericke, Hauptgeschäftsführer ASQF e.V.

Inhalt

Ausgabe 34 | März 2015

4

3 EDITORIAL 6

ASQF-NEWS

Schieferdecker leitet Frauenhofer FOKUS //

iqnite EUROPE 2015 in Düsseldorf // ASQF-Förderpreis für IT-Security aus Erlangen // Der ASQF in Zahlen // ASQT 2015 in Graz // Testing Day Rhein- Main in Frankfurt // Automation Day 2015 // Felix Winter wechselt vom ASQF zu iSQI // Zuwachs: Neue Mitglieder // Neue ASQF Umfrage startet // IREB® führt neues „Advanced Level“-Modul ein

10 STATEMENT

Prof. Dr. Joachim Hornegger

20 IM GESPRÄCH 20 Prof. Dr. Joachim Hornegger,

„Exzellente Forschung schafft man durch

Prof. Dr.-Ing.

ein motivierendes Umfeld“

Ina Schieferdecker,

28 Jan deMeer, Jens Richter und Axel Rennoch,

IT-Sicherheit lebt vom

Mehr Datenschutz und Betriebssicherheit

Verständnis dafür

durch Cyber-Security-Testing

12 TITELTHEMA

23 SCHULUNGEN UND SEMINARE März bis Mai 2015

12 Bring Your Own Device – Fluch oder Segen?

34 INTERNATIONAL

14 Die Rolle der statischen Analyse bei

Use synthetic data to avoid data breaches

der Aufdeckung von Sicherheitsmängeln 18 Mehr Sicherheit durch Security-Testing –

32 iSQI-NEWS

Ein Prozessleitfaden zur ISO 27034

iSQI gründet weitere Tochtergesellschaft //

„Application Security“

HASTQB verlängert Exklusiv-Vertrag //

17 IM FOKUS

Zertifikatsnachweis für Schlüssel qualifkation in der Software-Sicherheit //

17 Schulterschluss zwischen

Transatlantische Partnerschaft:

Safety und Security

iSQI kooperiert mit ITMPI //

39 Rollen und Zuständigkeiten

Software Quality Days 2015 –

im Testdatenmanagement

Konferenz punktet mit Mobility und

42 Service-Virtualisierung – Die Simulation

Qualität als Schwerpunktthema

komplexer Systeme für kosteneffiziente Testumgebungen 44 Software-Qualitätssicherung mit Business Fokus

38 BUCHVORSTELLUNG 40 BRANCHENTICKER

EINE INVESTITION IN WISSEN BRINGT IMMER NOCH DIE BESTEN ZINSEN.

Talk im Park

(Benjamin Franklin)

Wissensvermittlung – Erfahrungsaustausch – Networking Diesen Zielen gibt Method Park mit „Talk im Park“ eine Plattform. Die kostenlose Vortragsreihe stellt regelmäßig branchenübergreifende Fragestellungen des Software und Systems Engineering in den Mittelpunkt von Vorträgen & Diskussionen und präsentiert dazu praxisorientierte Lösungen.

MÜNCHEN

REFERENT

THEMA

03.03. | 18.00 Uhr

Norbert Dürbeck (Siemens Healthcare)

Lean Elements Development and Turn-Key Project Management

05.05. | 18.00 Uhr

Dr. Wolfram Esser (Method Park)

AAMI TIR45:2012 – Die FDA bekennt agile Farbe bei der Entwicklung medizinischer Software

07.07. | 18.00 Uhr

Christian Graf (Qualitätssicherung & Statistik)

Big Data – Buzzword, Mythos & Realität

06.10. | 18.00 Uhr

Bernhard Sechser (Method Park)

AutoSPICE 3.0 – was "bleibt" anders?

STUTTGART

REFERENT

THEMA

17.03. | 18.00 Uhr

Dr. Markus Voss (Bosch)

Architektur- und konzeptorientierter Ansatz für das Variantenmanagement in der Entwicklung von Fahrerassistenzsystemen

12.05. | 18.00 Uhr

Marc Iseler (Method Park)

Prozesse für Menschen

14.07. | 18.00 Uhr

Daniel Morris (Polarion)

Traceability? Audits? Darüber muss ich mir doch keine Sorgen machen!!!

Dr. Wolfram Esser (Method Park)

AAMI TIR45:2012 – Die FDA bekennt agile Farbe bei der Entwicklung medizinischer Software

13.10. | 18.00 Uhr

Bernhard Sechser (Method Park)

AutoSPICE 3.0 - was "bleibt" anders?

ERLANGEN

REFERENT

THEMA

17.03. | 18.00 Uhr

Dr. Tobias Maier (Method Park)

Von den Anforderungen zur Architektur – ein steiniger Pfad?

19.05. | 18.00 Uhr

Oliver Knittel (Method Park)

Warum eigentlich (immer) Scrum? Welche agilen Ansätze passen zu welcher Unternehmenskultur?

21.07. | 18.30 Uhr

Christian Graf (Qualitätssicherung & Statistik)

Big Data – Buzzword, Mythos & Realität

20.10. | 18.00 Uhr

Bernhard Sechser (Method Park)

AutoSPICE 3.0 – was "bleibt" anders?

MÜNCHEN

STUTTGART

ERLANGEN

INFOS

Hopfenstraße 6 80335 München

Wildunger Straße 2 70372 Stuttgart

Wetterkreuz 19a 91058 Erlangen

info@methodpark.de www.methodpark.de/talk-im-park.html

ASQF NEWS

Ausgabe 34 | März 2015

6

Der ASQF in Zahlen Ein wesentlicher Baustein der ASQFVereinsarbeit wird von Fachgruppen geleistet. Wie in keinem anderen Jahr zuvor haben sich 2014 Experten aus Wirtschaft und Wissenschaft in dem überregionalen Netzwerk des ASQF engagiert. Das spiegelt sich auch in den Zahlen der Fachgruppentreffen wider. Weit mehr als 2.000 Teilnehmer nahmen am Austausch von Wis-

Schieferdecker leitet Frauenhofer FOKUS ASQF-Vizepräsidentin Prof. Dr. Ina Schieferdecker wurde in die Leitung des Frauenhofer-Instituts für Offene Kommunikationssysteme F O K U S berufen. Schieferdecker ist bereits seit 1993 für die Einrichtung tätig.

Mit ihrer Berufung in die Institutsleitung habe man eine hervorragende Expertin für die Qualitätssicherung von Software-Systemen gewonnen, sagte Prof. Dr. Reimund Neugebauer, Präsident der FraunhoferGesellschaft.

iqnite EUROPE 2015 in Düsseldorf Seit nunmehr fast 20 Jahren tragen die iqnite-Konferenzen mit ihrem Wissenstransfer zu einem Bewusstsein für ein verantwortungsvolles S o f t war e - Q uali t ä t s m a n a g e m e n t und -Testen bei. Die nächste Auflage der Fachkonferenz findet vom 28. bis 30. April im Congress Center Düsseldorf Süd statt. Während der Veranstaltungstage will man sich besonders auf die Software-Qualität im Zeichen der Digitalisierung konzentrieren. Der ASQF unterstützt die iqnite EUROPE 2015 als Partner und Aussteller. ASQF-Mitglieder erhalten kostenreduzierte Tickets.

KONFERENZPROGRAMM, PREISE UND TICKETS UNTER www.iqnite-conferences.com/de/index.aspx

22%

ASQF-Mitglieder

2014

2,3%

75,7%

Firmen-Mitglieder Fördernde Mitglieder Persönliche Mitglieder

senschaft und Praxis der 87 Fachgruppen-Veranstaltungen teil. Sie brachten fach- und themenspezifisch Experten aus Wirtschaft und Forschung zusammen. Über 100 Referenten gaben in den Veranstaltungen ihr Know-how über neue Trends, Technologien und Erfahrungen zur Software-Qualität weiter. Für zusätzlichen Input sorgten die 5 Fachgruppengründungen zu Mobile-Devices und Apps in Wien, Berlin, Nürnberg, dem Rhein-Main-Gebiet und Hamburg. Für das Jahr 2015 sind weitere Gründungen in der Schweiz und München geplant. Darüber hinaus wird die Fachgruppe zum SoftwareProdukt-Management bis in die Schweiz ausgedehnt. Der KickOff fand am 18. Februar statt. Ganz im Zeichen der Erweiterung standen im Jahr 2014 auch die ASQF-Days. An den 7 Expertenveranstaltungen, darunter 3 neue in Deutschland und Österreich, nahmen über 700 Personen teil. Mit insgesamt fast 100 Veranstaltungen und über 2.700 Teilnehmern setze der ASQF das Thema Software-Qualität und -Fortbildung erneut nachhaltig auf die Agenda von Wirtschaft und Wissenschaft.

ASQF-Förderpreis für IT-Security aus Erlangen Der ASQF e.V. hat Johannes Götzfried mit dem ASQF-Förderpreis ausgezeichnet. Götzfried, Mitarbeiter des Lehrstuhls für IT-Sicherheitsinfrastrukturen an der Universität Erlangen-Nürnberg, erhält den Preis sowohl für seine ausgezeichneten Studienleistungen, als auch für seine Masterarbeit zum Thema „Safe and Secure Code and Data Storage in Embedded Systems“.

Götzfried hat in seiner Masterarbeit einen komplett neuen Software-Stack für die sichere Speicherung von Programmcode und Daten innerhalb eingebetteter Systeme entworfen, implementiert und hinsichtlich SoftwareQualität und Sicherheit evaluiert. Der ASQF wünscht Johannes Götzfried auf dem weiteren privaten und beruflichen Weg viel Erfolg.

Der Preisträger (m.) zusammen mit Lehrstuhlinhaber Prof. Felix Freiling (l.) und ASQF-Präside Norbert Kastner (r.)

www.asqf.de/foerderung.html

ASQF NEWS

7

Zuwachs: Neue Mitglieder

ASQT 2015 in Graz Zur 13. Anwenderkonferenz für Software-Qualität, Test und Innovation (ASQT) treffen sich am 16. und 17.

April 2015 in Graz Berufsanwender und Fachwissenschaftler, um neueste Erkenntnisse und Expertise im Bereich von Software-Qualitätssicherung auszutauschen. Partner des Gedankenaustausches zwischen akademischer Forschung und Innovationen in den Unternehmen ist der ASQF. ASQFPräsident Rudolf van Megen wird den ASQF als Keynote-Speaker vertreten.

Für Mitglieder gibt es kostenreduzierte Tickets. www.asqt.org

Testing Day RheinMain in Frankfurt Mit einem angepassten Konzept geht der erfolgreiche Rhein-Main Testing Day in seine 10. Runde. Wie auf dem letzten Day diskutiert und abgestimmt, bietet das neue Konzept nun vorbereitete Vorträge und viel Raum für Open Space gleichzeitig. Thema ist und bleibt die aktuelle Entwicklung im Bereich Software-Test. Für die Teilnehmer geht es in diesem Jahr hoch hinaus: Veranstaltungsort ist der Silvertower der DB-Systel in Frankfurt am Main, Veranstaltungstag ist der 8. Juni.

Automation Day 2015 Der 24. Automation Day befasst sich mit dem Thema „Agilität im Maschinenbau“: Agile Methoden haben in der Software-Entwicklung gezeigt, dass sie die Entwicklung schneller und effizienter machen. Lässt sich das auf die Automatisierungsindustrie übertragen? Und wenn ja, welche Besonderheiten sind dabei in der Automatisierung zu beachten und welche Voraussetzungen müssen die Infrastruktur und die Tool-Landschaft erfüllen? Der Automation Day findet am 15. Juli in der IHK Akademie in Nürnberg statt. www.automationday.de

BERIS consulting GmbH Wolfsburg www.beris-consulting.de Callis APS Århus N./Dänemark www.callis.dk insertEFFECT GmbH Nürnberg www.inserteffect.com

Felix Winter wechselt vom ASQF zu iSQI

QSIT GmbH Ingolstadt www.q-sit.de

Nach zwölf Jahren erfolgreicher Tätigkeit beim ASQF wechselt Geschäftsführer Felix Winter ab dem 1. März zum International Software Quality Institute. Dort wird er als Director Public Affairs das Unternehmen an der Schnittstelle zwischen Politik, Wirtschaft und Gesellschaft vertreten. Zu den Aufgaben des 34-Jährigen zählt darüber hinaus die erfolgreiche Begleitung des CONQUEST`15 – The Global IT Summit.

Bereits während seines Studiums der Politikwissenschaft und Volkswirtschaftslehre begann Felix Winter im Jahr 2003 seine Laufbahn beim ASQF und gestaltete u.a. als Assistent der Geschäftsführung die Verbandsarbeit erfolgreich mit. Im Jahr 2011 übernahm er die Funktion als Geschäftsführer und spielte eine wichtige Rolle beim strategischen Ausbau der internen und externen Vereinsarbeit sowie der Internationalisierung des IT-Fachverbandes.

Der ASQF dankt Felix Winter herzlich für seinen Einsatz und die geleistete Arbeit in den vergangenen Jahren und wünscht ihm für seine Tätigkeit am International Software Quality Institute viel Erfolg. Hauptgeschäfsführer Stephan Goericke und seine Mitarbeiter in Erlangen und Potsdam stehen wie gewohnt als Ansprechpartner zur Verfügung.

Samhammer AG Weiden www.samhammer.de Softgate GmbH Erlangen www.soft-gate.de SPF Consulting AG Ebikon/ Schweiz www.spf-consulting.ch WW Informatik GmbH Ludwigsburg www.ww-ag.com

Werden Sie Mitglied im ASQF! www.asqf.de/mitgliedschaft-vorteile.html

Einfach und schnell: Jetzt unter abo.sq-magazin.de registrieren und die aktuelle Ausgabe des SQ-Magazins als PDF lesen.

FOLLOW US

ASQF NEWS

Ausgabe 34 | März 2015

8

Neue ASQF-Umfrage startet Der ASQF hat seine traditionelle Branchenbefragung „Qualitätstrends in der Software-Entwicklung“ gestartet.

Bis zum 15. April können Teilnehmer mittels eines anonymen Online-Fragebogens ihre Bewertung abgeben.

Mit der alljährlichen Erhebung will das Expertennetzwerk ein konkretes Stimmungsbild aus der IT-Wirtschaft einfangen und zu mehr Transparenz in der Situation rund um die Entwicklung von Software-Qualität beitra-

gen. Erstmals im Jahr 2008 durchgeführt, haben sich bislang tausende Personen an der Befragung beteiligt und Fragen zur wirtschaftlichen Lage, der Bedeutung des Fachkräftemangels sowie ihrer Investition in die Ausund Fortbildung von Mitarbeitern beantwortet.

Hier geht es zur Umfrage: www.asqf.de/mitglieder-umfragen.html

IREB® führt neues „Advanced Level“-Modul ein Das IREB® stellt am 16. März auf der REConf® (Requirements Engineering Conference) das neue IREB® Certified Professional for Requirements Engineering – Advanced Level, Requirements Management vor. Damit erweitert das Board sein Produktportfolio um ein weiteres Modul. IREB®-Geschäftsführer Stefan Sturm berichtet dazu vorab in einem exklusiven Interview.

Wie gelingt es einem Unternehmen oder einer Organisation Requirements Engineering erfolgreich zu etablieren?

Ein nachhaltiges Requirements-Engineering ist nicht nur eine technische Herausforderung. Damit ist auch eine Art innerer Wandel verbunden, der von den Mitarbeitern getragen wird.

Unternehmen oder Organisationen, die Requirements-Engineering einführen oder verbessern möchten, sollten deshalb vor allem in die Ausbildung und Motivation ihres Personals investieren.

Was bietet das Zertifizierungsschema IREB® Certified Professional for Requirements Engineering (CPRE)?

IREB® Certified Professional for Requirements Engineering (CPRE) bietet die anerkannten Wissensgrundlagen

und essentiellen Fähigkeiten im Bereich Requirements Engineering in den verschiedenen Vorgehensmodellen zur Software-Entwicklung, egal ob „Agil“ oder „Wasserfall“.

Oftmals liegt der Ursprung von Mehrkosten der Produktentwicklung und -Testung bei den ungenügenden Anforderungen. Requirements Engineering hat zum Ziel, sie verständlich, eindeutig und testbar zu beschreiben.

Das neue CPRE – Advanced Level „Requirements Management“ befähigt insbesondere zum professionellen Verwalten der Anforderungen im Requirements Engineering.

Stefan Sturm ist Geschäftsführer der IREB GmbH mit Sitz in Karlsruhe.

Welche Kombination mit anderen Zertifikaten empfehlen Sie?

Umso wichtiger ist es, sich fachübergreifend weiterzubilden. So bietet die Zertifizierung iSQI® Certified Agile Business Analysis Schlüsselqualifikationen für Business-Analysts, Product-Owners und RequirementsEngineers für die Analyse von Businessanforderungen in einem agilen Umfeld. IREB® empfiehlt deshalb iSQI® Certified Agile Business Analysis für die Erweiterung der IREB® CPRE-Schlüsselqualifikationen im agilen Umfeld.

Die Bedeutung des Anforderungsmanagements wird in der Zukunft weiter steigen, weil die zu entwickelnden Produkte immer komplexer werden.

ZUM NEUEN ADVANCED LEVEL-MODUL UND ISQI® CERTIFIED AGILE BUSINESS ANALYSIS UNTER: www.agile-teaming.org/products.html

Titelthema

9

IT-Security So schützen sich Unternehmen vor der virtuellen Bedrohung IT-Sicherheit und der Schutz interner Informationen sind in Zeiten von Cyberkriminalität und Spionageangriffen so aktuell wie nie zuvor. Die damit verbundene Gewährleistung der Informationssicherheit z.B. im Bereich der mobilen IT stellt Firmen vor große Herausforderungen. Sie ist ein wichtiges Qualitätsmerkmal – sowohl im internen Geschäftsbetrieb als auch in der Beziehung mit Kunden und Geschäftspartnern.

Die nachfolgenden Autorenbeiträge beleuchten unterschiedliche Möglichkeiten wie sich Unternehmen vor Cyberkriminalität schützen können.

Statement

10

Prof. Dr. Ina Schieferdecker

Bring Your Own Device

12

Rudolf E. Groetz

Die Rolle der statischen Analyse bei der Aufdeckung von Sicherheitsmängeln

14

Harry M. Sneed & Richard Seidl

Schulterschluss zwischen Safety und Security

17

Jens Palluch

Mehr Sicherheit durch Security-Testing 18 Hartmut Pohl & Thomas Bötner

Mehr Datenschutz und Betriebssicherheit durch Cyber-Security-Testing

28

Jan de Meer, Axel Rennoch, Jens Richter

Use synthetic data to avoid data breaches Llyr Wyn Jones

34

Statement

Ausgabe 34 | März 2015

10

IT-Sicherheit lebt vom Verständnis dafür Prof. Dr.-Ing. Ina Schieferdecker, Vizepräsidentin des ASQF und Institutsleiterin des Fraunhofer FOKUS zum neu beschlossenen IT-Sicherheitsgesetz der deutschen Bundesregierung:

D

as Bundesministerium des Innern hat einen Referentenentwurf für ein Gesetz zur Erhöhung der Sicherheit informationstechnischer Systeme vorgelegt, welcher von der Bundesregierung am 17. Dezember 2014 beschlossen wurde [1]. Der Entwurf entstand entlang der Vereinbarungen des Koalitionsvertrags zur Absicherung der für das Gemeinwesen zentralen Infrastrukturen, sogenannten kritischen Infrastrukturen wie den Energienetzen oder Telekommunikationsnetzen.

Dabei geht es um die Erhöhung der Sicherheit informationstechnischer Systeme, die Verbesserung der IT-Sicherheit von Unternehmen und ebenso um einen verstärkten Schutz der Bürgerinnen und Bürger im Internet.

So formuliert der Gesetzentwurf Mindeststandards an IT-Sicherheit für den Betrieb kritischer Infrastrukturen und eine Meldeplicht an das Bundesamt für Sicherheit in der Informationstechnik (BSI) bei erheblichen IT-Sicherheitsvorfällen. Diensteanbieter im Telekommunikations- und Telemedienbereich sollen Sicherheit nach dem jeweiligen Stand der Technik bieten und zudem ihre Kunden warnen, wenn deren Anschluss für Angriffe missbraucht wird.

Es fallen kommunale Unternehmen der Netz- und Energiewirtschaft, der Wasser- und Abwasserwirtschaft und der Telekommunikation in den Anwendungsbereich des Entwurfs.

Mit Hinblick auf die zunehmende Vernetzung der Infrastrukturen im öffentlichen Raum, in der Wirtschaft und Gesellschaft werden die Qualität, Sicherheit und Widerstandsfähigkeit von Informations- und Kommunikationsnetzen (IKT) selber und ihren

Anwendungen in anderen Bereichen immer zentraler. Das Gemeinwesen und die öffentliche Sicherheit sind von IKT zunehmend abhängig. Der Gesetzentwurf stellt sich den damit verbundenen Herausforderungen. Der ASQF begrüßt diesen weiteren Schritt, die Widerstandsfähigkeit als auch Schutzmaßnahmen bei den Betreibern kritischer Infrastrukturen durch Kooperation und gesetzliche Vorgaben weiter zu verbessern. Jedoch muss das kommende IT-Sicherheitsgesetzt mit Leben gefüllt und operationalisiert werden: Verordnungen und Bestimmungen sollten die Mindestanforderungen, Meldepflichten, etc. detaillieren und zudem an EU-Richtlinien und laufende Aktivitäten auf europäischer und internationaler Ebene anpassen. Es ist Augenmaß bei den Auflagen an die Unternehmen zu wahren. Das spricht gleichsam eine noch unterbeleuchteten Aspekt an: den des konstruktiven Quality-Engineerings. Qualität, Widerstandsfähigkeit und Sicherheit der IKTbasierten Systeme und Infrastrukturen sollten proaktiv in Entwurf und Entwicklung umgesetzt werden, so dass sich die Aufwände in Auditierungs-, Zertifizierungs-, Melde- und Korrekturverfahren reduzieren. Der ASQF wird sich für entsprechende Angebote an die Wirtschaft stark machen.

Ein besonderes Augenmerk ist zudem auf die Stärkung des Verständnisses bei Unternehmen für IT-Sicherheit zu richten. Ohne das Bewusstmachen, Verstehen und Umsetzen hilft auch das beste Gesetz nicht. Heute sind Unternehmen noch viel zu zögerlich und warten (leider) ab, ob es sie denn überhaupt trifft. Bereits 2011 [7] spra-

chen Guus Dekkers, CIO von Airbus, und Dieter Schmidbaur, Cassidian, davon, dass IT-Sicherheit 2021 mehr als ein Viertel der gesamten Bundeswehr kosten könnte. Wenn man diese Schätzung mit den durchschnittlichen Kosten von Unternehmen für eine Cyber-Attacken vergleicht (Schätzungen zufolge [8] sind es durchschnittlich über 360.000 Euro Folgekosten für ein deutsches Großunternehmen), ist dies betriebswirtschaftlich mittlerweile nachvollziehbar.

Diese Folgekosten von vornherein durch hinreichende Qualitätsanforderungen an IKT-basierte Infrastrukturen, die betrieblichen Prozesse und agierende Personen wesentlich zu reduzieren, ist derzeit in der Wirtschaft, Gesellschaft und Politik noch nicht konsensfähig. Weitere Schritte zu widerstandsfähigen und sicheren Infrastrukturen sollte der ASQF kritisch und konstruktiv begleiten.

Referenzen: [1] Gesetzentwurf der Bundesregierung zum IT-Sicherheitsgesetz: http://www.bmi.bund.de/SharedDocs/ Downloads/DE/Nachrichten/Kurzmeldungen/entwurf-it-sicherheitsgesetz.pdf?__blob=publicationFile [2] Lagebericht zur IT-Sicherheit http://www.bmi.bund.de/SharedDocs/Downloads/DE/Broschueren/2014/bsi-lagebericht-it-sicherheit. pdf?__blob=publicationFile [3] BITKOM: Stellungnahme zum Entwurf des IT-Sicherheitsgesetzes http://www.bitkom.org/ files/documents/Stellungnahme_BITKOM_ITSIG_final.pdf [4] GDD: Stellungnahme zum Entwurf des IT-Sicherheitsgesetzes https://www.gdd.de/downloads/aktuelles/stellungnahmen/GDD_Stellungnahme_IT-Sicherheitsgesetz_07.10.2014. pdf [5] Cyber-Sicherheitsrat: Stellungnahme zum Entwurf des IT-Sicherheitsgesetzes. http://www.cybersicherheitsrat. de/CyberSecurityCouncil//wp-content/uploads/ITSiG_Entwurf19112014_PM_CSRD_finalfinal.pdf [6] DIHK: Stellungnahme zum Entwurf des IT-Sicherheitsgesetzes http://www. dihk.de/themenfelder/recht-steuern/rechtspolitik/nationalestellungnahmen/dihk-positionen-zu-nationalen-gesetzesvorhaben/dihk-stellungnahme-refentwurf-it-sicherheitsgesetz/at_ download/file?mdate=1416383819168 [7] Lars Reppesgaard: IT-Security: Wie sich EADS schützt, Stuxnet war nur der Anfang. http://www.cio.de/a/stuxnet-war-nur-der-anfang,2272318 [8] Kaspersky Lab: Schäden durch Cyberangriffe gehen für deutsche Unternehmen in die Hunderttausende. http://www. kaspersky.com/de/about_kaspersky/news/business/2014/ Schaden_durch_Cyberangriffe_gehen_fur_deutsche_Unternehmen_in_die_Hunderttausende

Titelthema EUROPE 2015

Die Konferenz für Software-Qualität und -Testen 28. – 30. April 2015 | Congress Center Düsseldorf Süd

Konferenz-Motto: „Qualität im Zeichen der Digitalisierung“

re Weite mm Progra hts h i g h l i g e re r s auf un ite Webs

Es erwarten Sie hochkarätige Keynotes Mikko Hypponen, F-Secure: „The Online Arms Race“

Dr. Steffi Burkhart, GEDANKENtanken: „Generation Y - moderne Ansprüche an die Arbeitswelt“ Dr. Walter Kirchmann, Finanz Informatik Technologie Service: „Banken und Versicherungen im Spagat zwischen Digitalisierung und Regulierung“ Dr. Carl Naughton, BRAINCHECK: „NEUGIER:ICH – Wie man sich und anderen Lust auf Neues & Veränderung macht…“ Prof. Tim Bruysten, richtwert: „Datengrab oder Datenschatz – Chancen der Digitalisierung für Unternehmen“ ... und viele weitere spannende Vorträge

iqnite-conferences.com/de

Titelthema

Ausgabe Ausgabe 33 | 34 Dezember | März 2015 2014

12

Bring Your Own Device – Fluch oder Segen?

Rudolf E. Groetz

M

obile Endgeräte wie Smartphones und Tablets bestimmen den Arbeitsalltag. Immer mehr Angestellte verwenden ihre privaten Geräte auch für berufliche Aufgaben. Der Einsatz von Smartphones und Tablets hat die Grenzen zwischen Arbeitszeit und Freizeit verwischt. Umfragen [1] haben gezeigt, dass 89 Prozent der Berufstätigen mobile Endgeräte für berufliche Zwecke während ihrer Freizeit nutzen und dabei neun Stunden Produktivität gewinnen.

Schätzungen [2] gehen davon aus, dass bis Ende 2015 mehr als 75 Prozent der beruflichen Tätigkeiten mit Geräten ausgeübt werden, die sich im Privatbesitz befinden und nicht vom Arbeitgeber bereitgestellt wurden.

Dieses Phänomen wird „Bring your own device“ (BYOD) genannt und befindet sich mittlerweile dort, wo es Gartner’s Hype Cycle [3] 2012 vorausgesagt hat: am Plateau der Produktivität. Das wiederum bedeutet, dass die Vorteile allgemein anerkannt, akzeptiert und von Unternehmen umgesetzt werden.

Produktivität vs. Risiko Auf der einen Seite bringt BYOD den Mitarbeitern mehr Freiheiten und erhöht damit die Produktivität, auf der anderen Seite schafft es aber auch Sicherheitsrisiken für ein Unternehmen.

Diese Risiken (siehe Abbildung unten) müssen vom IT-Management der einzelnen Unternehmen erkannt, untersucht und in weiterer Folge durch den Einsatz entsprechender Technologie gemildert werden.

Das eigene Unternehmen schützen Der BYOD-Trend bringt konkret folgende Risiken für ein Unternehmen mit sich: Private Daten können mit Unternehmensdaten vermischt werden und umgekehrt.

Mobile Geräte können leichter verloren oder gestohlen werden.

Drittanbieterprogramme können Daten fälschen bzw. unbrauchbar machen.

Drittanbieterprogramme können Viren im gesamten Unternehmensnetzwerk verbreiten.

Unternehmen sind möglicherweise nicht in der Lage, ComplianceAnforderungen zu erfüllen.

Unzureichende Sicherheitsmaßnahmen können die Geräteleistung senken.

Wikipedia [4] definiert diese Risiken wie folgt: […BYOD kann für Organisationen ein Sicherheitsrisiko darstellen, da damit Daten der Organisation auf nicht- oder nur teilweise kontrollierbaren, fremden Geräten verarbeitet werden und sich diese Geräte auch im internen Netzwerk der Organisation bewegen und dieses stören oder ausspionieren könnten. BYOD läuft zudem der Strategie zur Vereinheitlichung der IT-Infrastruktur entgegen. Es wird befürchtet, dass mit BYOD die Komplexität und damit der Betriebsaufwand steigt. Neben Sicherheitsfragen wirft BYOD juristische Probleme auf. Der Datenschutz von zu verarbeitenden, personenbezogenen Daten und Betriebs- und Geschäftsgeheimnissen muss gewahrt bleiben. Die rechtliche Haftung im Fall, dass BYOD-Geräte bei der Nutzung zu Schaden kommen oder andere Geräte beschädigen oder stören, muss geklärt sein.…]

Nachdem sich bei den Mitarbeitern der Umgang mit privaten und firmenbezogenen Daten immer mehr vermischt, benötigen Firmen effektive und effiziente Infrastrukturen, um mit dem BYOD-Trend mithalten zu können.

Mobile Sicherheit und Verwaltbarkeit sind die wesentlichen Anliegen der Chief Information Officers (CIOs).

Dennoch kämpfen noch viele Unternehmen damit, private mobile Geräte zu überwachen und zu managen.

Viele CIOs müssen einsehen, dass die Sicherheitsmaßnahmen, die derzeit in ihrem Unternehmen für mobile Endgeräte angewendet werden, einer Compliance-Prüfung durch Wirtschaftsprüfer nicht standhalten würden. EY [5] berichtet: Nur 28 Prozent der CIOs glauben die betriebliche Sicherheit für mobile Devices entspricht der geforderten Compliance, 42 Prozent glauben den Anforderungen nicht zu entsprechen und der Rest ist sich nicht sicher.

Die Lösung: Mobile-DeviceManagement (MDM) Um mit dem BYOD-Trend erfolgreich zu sein, müssen CIOs dafür sorgen, dass dem IT-Support leistungsfähige Werkzeuge zur Verfügung stehen, die verschiedene Aspekte der Mobilität bzgl. Geräte-Management und Sicherheit abdecken. MDM-Werkzeuge ermöglichen IT-Organisationen die Festlegung und Umsetzung von Unternehmensrichtlinien auf Knopfdruck.

MDM ist zuständig für die Bereitstellung, Sicherung, Überwachung, Integration und Verwaltung von Smartphones, Tablets und Laptops am Arbeitsplatz. Die Absicht des MDM ist es, die Funktionalität und Sicherheit von mobilen Geräten innerhalb des Unternehmens zu optimieren, während sie gleichzeitig den Schutz des Unternehmensnetzwerkes gewährleistet.

Titelthema

13

MDM-Lösungen stellen u. a. folgende Funktionen bereit: Fernsteuerung der Geräte mit Helpdesk-ähnlicher Funktionalität Konfiguration und Änderung der Einstellungen über das Mobilfunknetz Überwachung und Durchsetzung der Corporate-IT-Richtlinien App-Management Löschen von Daten oder Sperren der Geräte via Fernsteuerung Aktivieren oder Deaktivieren von spezifischen Funktionen wie Kamera, Wi-Fi, Bluetooth, Mikrofon und Daten-Roaming Benutzer-Autorisierung und Authentifizierung Festplattenverschlüsselung URL-Filter, Inhalt und ProgrammDownload-Filterung

Fazit Mobile Technologie verändert den Arbeitsalltag. Mit Smartphones und Tablets können Mitarbeiter von jedem Ort und zu jeder Zeit ihrer Arbeit nachgehen. Durch die Einführung von BYOD wird der Firmenschreibtisch auf die mobilen Endgeräte der Mitarbeiter verlagert. Dieser Transfer überträgt sich in weiterer Folge auf die Motivation der Mitarbeiter, erhöht die Produktivität und sorgt für eine bessere Kundenbindung.

Um uneingeschränkt produktiv zu sein, müssen Unternehmen den Zugriff auf ihre Business-Anwendungen einfach und sicher gestalten.

Eine umfassende BYOD-Strategie und der Einsatz von MDM-Lösungen sind entscheidend dafür, dass die Sicherheit der Geschäftsanwendungen und der internen IT-Landschaft gewährleistet sind.

QUELLEN: [1] http://blog.cebit.de/2014/02/21/infographic-mobiletrends-2014/ [2] http://promo.acronis.com/CEE-DE-DRI_BYOD_Guide. html [3] h t t p : // w w w. c o m p u t e r w o c h e . d e / i / d e t a i l / a rtikel/1235539/1/946084/EL_53FFEFF5-ABD5-412DAAD58144069A7E62/ [4] http://de.wikipedia.org/wiki/Bring_your_own_device [5] http://www.ey.com/Publication/vwLUAssets/EY_-_ Bring_your_own_device:_mobile_securit y_and_ risk/$FILE/Bring_your_own_device.pdf

Rudolf E. Groetz, Head of QA bei Jumio INC, ist ISTQB® Full Certified Tester und leitet die ASQF-Fachgruppe Mobile Devices & Apps Österreich.

Titelthema

Ausgabe 34 | März 2015

14

Die Rolle der statischen Analyse bei der Aufdeckung von Sicherheitsmängeln Harry M. Sneed & Richard Seidl

sie im gültigen Wertebereich liegen.

Wenn nicht, soll eine Ausnahmebedingung ausgelöst werden.

Das Gleiche gilt für Return-Ergebnisse. Werte, die von aufgerufenen Methoden in entfernten Klassen zurückgegeben werden, sollten vor ihrer Verwendung kontrolliert werden.

Ein weiteres Beispiel für fehlenden Code ist das Fehlen der „final“ Klausel in einer Klassendefinition. Die Tatsache, dass die folgende Klasse nicht mit „final“ deklariert ist, erlaubt es einem Eindringling den Code zu kopieren und zu manipulieren. Um dies zu verhindern, sollten alle untergeordneten Klassen mit „final“ deklariert sein.

Mindestens ein Drittel des Codes sollte aus sicherheitsprüfenden Anweisungen bestehen. Ist dies nicht der Fall, ist das ein Zeichen dafür, dass die Ausführung des Codes nicht abgesichert ist [4].

Potenzielle Sicherheitslücken im Code Es stehen mittlerweile viele Werk-

A

ngesichts der zunehmenden Gefahr für die Sicherheit der IT-Anwendungssysteme wird von dem Software-Test erwartet, dass er einen Großteil der potenziellen Sicherheitslücken aufdeckt. Aber dynamisches Testen ist nicht die einzige Möglichkeit, Sicherheitsmängel im System zu entdecken. So kann die statische Analyse des Codes eine preisgünstige Methode darstellen, potenzielle Sicherheitsgefahren aufzudecken. Dadurch können zwar nicht alle, aber ein Teil der potenziellen Sicherheitsmängel erkannt werden.

(Hier verwendete Beispiele beziehen sich auf Java.)

Zweck der statischen Analyse

zeuge für die statische Analyse von Source-Code zur Verfügung. Bei der Auswahl

eines

geeigneten

Werk-

zeugs stellt sich die Frage nach den Mängelarten, die von dem Werkzeug berichtet werden. Eine weitere Frage ist die nach der Häufigkeit der Falschmeldungen, sogenannte “false positives”. Das sind Meldungen über Mängel, die in Wahrheit keine echten Mängel sind. Wenn Tools viele solcher Meldungen bringen, lenkt das nur von den echten Mängeln ab.

Was die echten Mängel anbetrifft, ist es wichtig, ein Klassifikationsschema zu haben. Aus der Sicht der CodeSicherheit gibt es fünf Hauptklassen von Mängeln: fehlender Code, unerlaubter Code, manipulierbarer Code, fehleranfälliger Code, nicht-konformer Code [3].

Unerlaubter Code Die statische Analyse ist einer von

Fehlender Code

vielen Testansätzen, um Mängel in ei-

Ein Beispiel von fehlendem Code ist die fehlende Kontrolle der Eingangsparameter von Public-Methoden. Als erstes wird geprüft, ob die Eingangsdaten den richten Typ haben und ob

nem Software-System zu finden. Sie ist eine Technik für die Untersuchung der Anforderungstexte, Entwurfsmodelle und Code-Komponente, die zu einem

Software-Produkt

Ein Beispiel für den unerlaubten Code sind eingebaute Konstanten. Solche Werte im Code zu haben, ist nicht wartungsfreundlich und auch gefährlich. Hacker, die Zugriff zum ByteCode gewinnen, können diese Werte

gehören,

ohne das Produkt real auszuführen.

[1]. Design-Reviews und Code-Ins-

Files

Socket

Web Page

pektionen basieren auf dem gleichen Prinzip, nur werden sie von Men-

Input Data

User Input

schen durchgeführt. Eine statische Analyse wird von einem Automaten

Blind Passenger Data enters System via conventional ports

ausgeführt, der auf verschiedene Regeln prüft. Das Ziel ist, Mängel in der Konstruktion der Software vor dem dynamischen Test aufzudecken [2].

Point of Input

Blast

Point of Input

Point of Input Blast

Blast Once inside the system the Blind Passenger throws a bomb

Blast

Blast

Abbildung 1: Prüfung aller einfließenden Daten aus externen Quellen

Titelthema

verändern. Deshalb empfiehlt es sich, alle Konstanten in externe Ressourcen auszulagern. Dies gilt besonders für Texte [5].

Weitere Beispiele für Problemstellen sind Casts und Verschachtelungen.

Manipulierbarer Code

Ein Beispiel für den manipulierbaren Code sind eingebaute SQL-Anweisungen. Sie sind für SQL-InjectionAngriffe anfällig, womit Externe den Datenbankinhalt korrumpieren können. SQL-Anweisungen haben im Anwendungscode somit nichts zu suchen. Wenn sie überhaupt verwendet werden, dann nur in einer geschützten Zugriffsschicht [6].

Weitere Beispiele für den manipulierbaren Code finden sich in den Bereichen des Cloning und der Deserialisation.

Fehleranfälliger Code

Fehleranfälliger Code kann unter bestimmten Umständen leicht zu einem Fehler führen. Typisch für diese Art Mangel ist der Vergleich eines

Objektes mit einem String oder eine Rekursion ohne Endbedingung. Was die Sicherheit anbetrifft liegt eine potentielle Sicherheitslücke vor, wenn die Anzahl der Parameter beim Funktionsaufruf geringer ist als die Anzahl Parameter in der aufgerufenen Methode. In dem Fall hat der Eindringling die Möglichkeit, eigene Daten an der Parameterliste anzuhängen und auf diese Weise Viren in dem Code zu streuen [7].

Nicht-konformer Code

Nicht-konformer Code beinhaltet Abweichungen von einer vorgegebenen Norm. Dies ist zwar keine direkte Bedrohung für die Sicherheit, aber in manchen Fällen könnte es eine werden. Nehmen wir das Beispiel, wenn bestimmte Standard-Services zu vermeiden sind, weil sie eventuell korrumpiert sind. Wer sie trotzdem in seinem Code anwendet, geht die Gefahr ein, dass er infizierte Objekte übernimmt.

Fallstudie zur Aufdeckung von Code-Mängeln Eine Studie wurde an der North Carolina State University mit drei Millionen C++ Codezeilen von der Nortel Networks Corporation durchgeführt, um zu zeigen, wie effektiv automatisierte statische Analyse sein kann [8].

Mit dem Werkzeug “Flexlint” hat das Experiment mehr als 136.000 Mängel bzw. einen Mangel pro 22 Codezeilen aufgedeckt und das, obwohl der Code schon über drei Jahre im Betrieb war.

Die Anzahl der Mängel aus der statischen Analyse korrelierte mit einer Genauigkeit von 83 Prozent mit der Anzahl an Fehlermeldungen aus dem Pre-Release-Test. Dies spricht dafür, dass die Fehler genauso gut durch die statische Analyse hätten aufgedeckt werden können. Im Gegensatz zum dynamischen Test, der zwölf Personenmonate kostete, hätte die statische Analyse nur zwei Personenmonate gekostet.

Titelthema Erkennung von Sicherheitsmängeln in Java-Code Wie die Studie zeigt, kann die Mehrzahl der Mängel bereits im Code erkannt werden, noch ehe getestet wird.

Dies gilt ebenso für Sicherheitsmängel, nicht aber für andere nicht-funktionale Mängel wie z. B. Zeitverbrauch, Datenvolumen, Durchlaufkapazität [9].

Werkzeuge, die die Prüfung unterstützen, können ohne großen Aufwand in den Entwicklungsprozess integriert werden (z.B. Continuous-Integration).

Im Zeitalter der agilen Entwicklung und der fortwährenden Auslieferung der Software müssen Mängel schnell und ohne großen Aufwand aufgedeckt und beseitigt werden. Dazu ist die statische Analyse des Codes ein probates Mittel [10].

Folgende Liste soll beispielhaft zeigen, welche Regeln bei solchen Werkzeugen implementiert sind. Sie stammen aus dem Werkzeug-Java-Audit: 1 Vermeide die Allokation nicht initialisierter Objekte.

2 Beschränke den Zugang zu Klassen und Methoden.

3 Finalisiere alle Klassen und Methoden.

4 Verbiete das Hinzufügen neuer Klassen zu fertigen Paketen.

5 Verbiete die Verschachtelung von Klassen.

6 Erlaube keine Signatur „signing“ des

Ausgabe 33 | Dezember 2014

16

Fazit Erfahrungen mit der statischen Code-Analyse zeigen, dass viele Sicherheitsmängel in einem IT-System schon im Code sichtbar sind. Die statische Analyse ist ein preiswerter, schneller und zuverlässiger Weg, diese Sicherheitsmängel aufzudecken.

Entwickler brauchen lediglich die richtigen Werkzeuge und den festen Willen, einen sauberen Code zu produzieren [11].

References: [1] Ayewah, N., Pugh, W., “Using Static Analysis to find Bugs”, IEEE Software Magazine, Sept. 208, p. 22 [2] Chess, B.: “Improving Computer Security using extended Static Checking”, Proc. of IEEE Symposium on Security and Privacy, 2002, p. 160 [3] Nagappan, N., Ball, T., “Static Analysis Tools as early Indicators of Prerelease Defect Density”, IEEE Proc. of Int.Conf. on S.E. (ICSE2005), p. 580 [4] Nakajo, T., “A Case History Analysis of Software Error Cause and Effect Relationships”, IEEE Trans. on S.E., Vol. 17, Nr. 8, August, 1991, S. 830 [5] Sneed, H. “Separating Hard-wired Data from Code”, in Proc. of CSMR2002, Budapest, March 2002, p. 64 [6] Merlo, E./ Letre, D./Antoniol, G.: “Automated Protection of Java Applications against SQL Injection Attacks”, IEEE Proc. of CSMR2007, Amsterdam, March 2007, p. 191 [7] Viega, J., McGraw, G., Felten, E.: “Statically Scanning Java Code – Finding Security Vulnerabilities”, IEEE Software Magazine, Sept. 2000, p. 68 [8] Zheng,, J.,Williams, L.,Nagappan, N., Snipes, W.: “On the Value of Static Analysis for Fault Detection in Software”, IEEE Trans. on S.E., Vol. 32, No. 4, April 2006, p. 240 [9] Lai, C., “Java Insecurity – accounting for Subtleties that can compromise Code”, IEEE Software Magazine, Jan. 2008, p. 13 [10] Zhang, M./ Hall, T./Baddoo, M.: “Code Smells – A Review of Current Knowledge”, Journal of Software Maintenance and Evolution, Vol. 23, N. 3, April 2011, p. 179 [11] Martin, R.: Clean Code – A Handbook of agile Software Craftsmanship, Prentice-Hall, Pearson Education Books, New Jersey, 2009

Codes.

7 Packe den gesamten Code in einem einzigen Jar. 8 Definiere alle Klassen als „uncloneable“.

9 Definiere alle Klassen als „unserializeable“.

10 Definiere alle Klassen als „undeserializeable“.

11 Verbiete eingebettete SQL-Anweisungen.

12 Verbiete das Casting von Datentypen.

13 Prüfe alle Eingangsargumente.

14 Prüfe alle Return-Werte.

Harry M. Sneed ist Berater und unterrichtet Software-Entwicklung an verschiedenen Hochschulen.

Er erhielt 2011 den ersten deutschen Preis für Software-Qualität und 2013 den internationalen Preis des ISTQB.

15 Stelle alle IO-Operationen in „try...catch“Klammern.

16 Stelle alle Aufrufe entfernter Methoden in „try…catch“-Klammern.

17 Vergleiche den Typ und die Anzahl der Parameter in jeder Schnittstelle.

18 Vermeide die Nutzung hard-codierter Datenwerte.

Richard Seidl leitet die Testabteilung der GETEMED Medizinund Informationstechnik AG.

Im Fokus

17

Schulterschluss zwischen Safety und Security Jens Palluch

Mit Safety-Vorgehen und Security-Reifegradmodellen lässt sich eine ganzheitliche Sicherheit im Unternehmen verankern.

Zum Thema Funktionale Sicherheit (Safety) gibt es branchenabhängig viele Normen, die bei der Entwicklung von Produkten zu berücksichtigen sind, z.B. die ISO 26262 in der Automobilindustrie oder die ISO 14971 für die Medizintechnik. Den Aspekt der Informationssicherheit (Security) berücksichtigen diese Normen nicht – leider. Einerseits hängen Safety und Security eng zusammen (keine Safety ohne Security – und umgekehrt), andererseits führt die zunehmende Vernetzung von Produkten zu einem erhöhten Security-Bedarf.

Security-Vorgehen analog Safety nach ISO 26262

Ebenen abgeleitet werden, sollten entsprechende Security-Goals definiert und in Security-Requirements konkretisiert werden.

Grundlegende Security-Praktiken aus Reifegradmodellen Es reicht jedoch nicht, kryptografische Verfahren zur Verschlüsselung einzusetzen, um ganzheitliche Security zu erreichen. Welche Praktiken sind aber im Unternehmen einzuführen? In der Automobilindustrie sind Reifegradmodelle wie Automotive SPICE®, aber auch CMMI verbreitet, die grundlegende Praktiken für Engineering-Prozesse fordern. Daher bietet es sich auch für Security an, entsprechende Modelle als Ausgangsbasis für einen Security-Engineering-Prozess zu nehmen: System Security Engineering Capability Maturity Model® (SSE-CMM®, ISO/IEC 21827) Security by Design with CMMI for Development, Version 1.3 Software Assurance Maturity Model (SAMM) [2]

Security erfordert Prozessänderungen im Unternehmen Diesen Modellen ist gemeinsam, dass sie nicht nur die Entwicklung im Fokus haben, sondern auch organisatorische Aspekte. Um ein Unternehmen ganzheitlich zu schützen, muss man die Prozesse im Unternehmen überarbeiten und ergänzen. Die Zertifizierung nach ISO 27001 für ein Informationssicherheitsmanagementsystem rundet die Reorganisation dieser Prozesse ab.

L i t e r a t u r & L i n k s : [1] CAR 2 CAR Communication Consortium, http://www.car-2-car.org [2] Software Assurance Maturity Model, http://www.opensamm.org

Jens Palluch ist für Method Park als Trainer und Berater zu den Themen Requirements Engineering, Systems Engineering, Safety und Security tätig.

Gerade im Automotive-Bereich bietet es sich an, für Security ein ähnliches Vorgehen aufzubauen wie es sich schon für Safety nach ISO 26262 etabliert hat: Gefährdungsanalyse und Risikobewertung sind um eine Bedrohungsanalyse zu ergänzen, denn die Gefährdungsanalyse betrachtet nur schädliche Auswirkungen des Produktes auf die Umwelt. Genau hier liegt der wesentliche Unterschied zwischen Safety und Security: Welche Bedrohungen wirken von außen auf das Produkt ein und können Informationsvertraulichkeit, Datenintegrität oder Verfügbarkeit des Produktes beeinträchtigen?

Analog der Definition von sogenannten Safety-Goals, aus denen SafetyRequirements über verschiedene

Überblick über die Praktiken des Software-Assurance-Maturity-Models

Titelthema

Ausgabe 34 | März 2015

18

Mehr Sicherheit durch Security-Testing Ein Prozessleitfaden zur ISO 27034 „Application-Security“ Hartmut Pohl & Thomas Bötner

IT-Security zum Schutz vor Cyberkriminalität sowie Spionage- und Sabotage-Angriffen wird von Unternehmen und Behörden eine immer größere Bedeutung beigemessen.

Die fortschreitende Digitalisierung in den Unternehmen mit All-IP, „Industrie 4.0“, „Internet-of-Things“ und die interagierenden – auch mobilen – Endgeräte wie Handys, Smartphones, Tablets, Wearables und weitere vergrößern die Angriffsflächen und wecken gleichzeitig immer mehr Begehrlichkeiten bei Angreifern aus Geheimdiensten und insbesondere der Organisierten Kriminalität.

Die damit verbundenen Herausforderungen sind enorm – technisch, organisatorisch und rechtlich – denn Vorstand und GmbH-Geschäftsführer haften persönlich nach AktG § 91 II bzw. GmbHG § 43 Abs. 1 mit der Sorgfalt eines ordentlichen Geschäftsmannes für ‚ein System zur frühzeitigen Erkennung von den Fortbestand des Unternehmens bedrohenden Entwicklungen und Risiken‘ (KonTraG). IT-Security ist also angesichts der möglichen hohen finanziellen Verluste längst Chefsache

geworden. Dies gilt nicht nur für den internen Geschäftsbetrieb sondern auch für die Beziehungen zu Kunden und Geschäftspartnern. Die technischen Aspekte sollen hier anhand der ISO 27034 dargestellt werden.

Sicherheitslücken identifizieren und beheben Vermutlich wird jegliche digitale (und auch die analoge) Kommunikation von den Sicherheitsbehörden insbesondere aber von der Organisierten Kriminalität vollständig abgehört („jedes Gerät, überall, jederzeit“).

Gespeicherte Daten (Forschungsdaten, Personendaten, Meinungen, Dokumente, Bilder, Industriesteuerungen – auch von (Kern-)Kraftwerken, Wahlergebnisse, Gesundheitsdaten) werden vollständig ausgelesen oder werden per Tauschhandel von Anderen erworben.

Alle abgehörten und ausgelesenen Daten werden für die – eventuell zukünftige – Auswertung gespeichert.

Daten werden – bei Bedarf auch in Echtzeit – manipuliert. Die mögliche Manipulation und die Sabotage bis hin zur vollständigen Stilllegung des Betriebsablaufs stellen ernsthafte Bedrohungen für Unternehmen aller Größen dar. Diese Angriffe werden

meist gar nicht erkannt. Systematisches Security-Testing ist unverzichtbar, weil funktionales Testen und Penetration-Testing nicht ausreicht.

Technische Maßnahmen helfen weder gegen Abhören noch gegen Manipulation der Kommunikation! So ist z.B. die „Ende-zu-Ende“-Verschlüsselung nur sicher, wenn sie selbst und die erforderliche umfangreiche Sicherheitsinfrastruktur tatsächlich sicher implementiert ist – also z.B. keine Backdoors und Sicherheitslücken enthält.

Sicherheitsmaßnahmen wie Firewalls, Intrusion-Detection und PreventionSystems, Virensuchprogramme, digitale Signatur, Verschlüsselung – auch „Ende-zu-Ende“ – können umgangen oder geknackt werden.

Jedoch kann das Eindringen in Computer durch die Identifizierung der Sicherheitslücken (und deren Behebung) vollständig verhindert werden, denn alle Cyberangriffe basieren auf der Ausnutzung sicherheitsrelevanter Fehler bzw. Sicherheitslücken in Software und Firmware. Es gilt: Ohne Sicherheitslücke kein erfolgreicher Angriff! Daher muss es das Ziel sein, möglichst alle Sicherheitslücken zu identifizieren und zu patchen.

Titelthema

19

Prozessleitfaden zur ISO 27034 konformen sicheren Software-Entwicklung mit fünf Tool-gestützten Methoden.

ISO 27034 bietet Rahmen Einen allgemeinen Ansatz zum Management von Software-Sicherheit liefert die 2011 veröffentlichte ISO 27034-1: „Information technology – Security techniques – Application security“. Die Norm unterstützt die Integration von Konzepten, Frameworks und Prozessen zur Application-Security in den unternehmerischen Entwicklungszyklus. Die ISO 27034 liefert damit einen Rahmen, um alle Sicherheitsprozesse auf Organisationsebene zu steuern – inkl.

Beschaffung und Outsourcing der Software-Entwicklung.

Den Kern der ISO 27034 bildet eine unternehmensweite Bibliothek mit allen Sicherheitsaktivitäten für die Softwareentwicklung. Gemäß den Anforderungen für das jeweilige Software-Projekt werden ausgewählte Sicherheitsaktivitäten angewandt und in der Verifikationsphase auf ihre erfolgreiche Implementierung hin überprüft.

Zur Identifizierung bisher unbekannter und nicht veröffentlichter bzw. nicht erkannter Sicherheitslücken (Zero-Day-Vulnerabilities) werden von der Norm die folgenden fünf Methoden vorgeschlagen: 1. Security-Requirements-Analysis: Identifizierung und Überprüfung exakter Sicherheitsanforderungen.

2. Security-by-Design: Threat-Mo­ deling überprüft die Software-Architektur kritischer IT-Infrastruk­ turen und Netzwerke.

3. Code-Review: Static-Source Code-Analysis – semi-automatisiertes Scannen des Quellcodes auf Sicherheitslücken zur Identifizierung von Sicherheitslücken wie Race-Conditions, Deadlocks, Zeiger- und Speicherverletzungen.

4. Penetration-Testing: Dynamische Sicherheitsprüfung mit bekannten Angriffen zur Identifizierung bekannter Sicherheitslücken.

5. Dynamic-Analysis – Fuzzing: Dynamische Sicherheitsprüfung – mit erfahrungsgemäß erfolgreichen Angriffsdaten werden bisher neuartige Angriffe gefahren zur Identifizierung von Zero-Day-Vulnerabilities.

Zur sicheren Software-Entwicklung wird ein Prozessleitfaden vorgeschlagen, der auf der Basis der ISO 27034 mit fünf Tool-gestützten Methoden SQUARE (Threat-Modeling, Static-Source-Code-Analysis, Penetration Testing und Dynamic Analysis

Thomas Bötner, B.Sc, ist als Consultant bei der softcheck GmbH tätig.

– Fuzzing insbesondere zur Identifizierung bisher nicht-bekannter Sicherheitslücken (Zero-Day-Vulnerabilities)) beruht. Der Prozessleitfaden soll dem Ziel dienen, Tool-gestützt sichere ISO 27034 konforme SoftwareEntwicklung zu implementieren. Das aufwändige Einarbeiten aller Projektbeteiligten in die Norm ist bei der Verwendung des Prozessleitfadens nicht notwendig. Auch bereits bestehende Sicherheitskonzepte und Maßnahmen lassen sich mit dem Prozessleitfaden zusammenführen.

Praxis-orientierter Prozessleitfaden Der vorgeschlagene Prozessleitfaden ist unabhängig vom verwendeten Software-Development-Lifecycle (vom Wasserfallmodell, über V-Modell bis hin zu modernen agilen Ansätzen wie Scrum). Mit einem ISO 27034 konformen Entwicklungsprozess und dem darin vorgeschlagenen Security-Testing-Process können Software, Firmware und Apps gegen Cyberangriffe gesichert werden.

Prof. Dr. Hartmut Pohl ist geschäftsführender Gesellschafter der softcheck GmbH.

Im Gespräch

Ausgabe 34 | März 2015

Prof. Dr. Joachim Hornegger studierte Informatik an der Friedrich-AlexanderUniversität (FAU) Erlangen-Nürnberg und promovierte 1996 mit einer Arbeit zur statistischen Objektmodellierung und -erkennung. Nach seiner anschließenden Auslandstätigkeit als Gastwissenschaftler an den zwei US-Eliteuniversitäten Massachusetts Institute of Technology (M.I.T.) und der Stanford University wechselte er 1998 in die Industrie. Dort wirkte er als Entwicklungsingenieur bei Siemens Medical Solutions. Als Gastdozent engagierte sich Joachim

mehreren bayerischen Universitäten.

Ende 2003 kehrte er dann als Forscher und Hochschullehrer an die FAU zurück und bekleidete die Professur für Informatik an der Technischen Fakultät. Seit 2009 hielt er mehrere universitäre Sprecherfunktionen inne und übernahm u.a. als Prodekan der Technischen Fakultät Verantwortung in der akademischen Selbstverwaltung.

Im Jahr 2011 wurde Hornegger zum Vizepräsident für Forschung ernannt und als Mitglied in die Universitätsleitung der FAU berufen.

Ende des Jahres 2014 erfolgte seine

Hornegger berufsbegleitend an

Wahl zum Präsidenten der FAU.

20

Joachim Hornegger ist Zweitmitglied in der Medizinischen Fakultät der FAU und Mitglied des Leitungskreis der Max Planck Research School for the Science of Light (IMPRS) sowie in der Erlangen Graduate School in Advanced Optical Technologies (SAOT). Seit dem Jahr 2013 ist er Präsidiumsmitglied des ASQF.

„Exzellente Forschung schafft man durch ein motivierendes Umfeld“ Kürzlich ernannte die Friedrich-Alexander-Universität (FAU) ErlangenNürnberg Prof. Dr. Joachim Hornegger zu ihrem neuen Präsidenten.

Damit ist der 47-Jährige oberster Chef der Einrichtung, an der er selbst studierte und später auch forschte und lehrte. Im SQ-Gespräch erklärt Joachim Hornegger, welche Ziele er sich gesteckt hat und warum Volluniversität und Exzellenz-Forschung kein Widerspruch sein müssen.

SQ: Herr Prof. Hornegger, wo steht die Universität heute und mit welchen Zielen treten Sie Ihr Amt an?

Die Friedrich-Alexander-Universität (FAU) Erlangen-Nürnberg steht hervorragend da. Dies gilt sowohl für die Forschung als auch für die Lehre.

Wir haben ein Studienangebot mit

rund 240 Studiengängen, das sich nationaler wie internationaler Beliebtheit erfreut. Auch in der Forschung hat die FAU als Volluniversität sich in vielen Bereichen Spitzenpositionen erarbeitet – vornehmlich in den acht definierten Wissenschaftsschwerpunkten der Universität. Das Spektrum reicht hier beispielsweise von Materialwissenschaften über die Optik oder die Medizintechnik bis hin zu Geistes- und Sozialwissenschaften wie Sinologie oder Ethik und Menschenrechte.

Meine Hauptziele sind, genau diese Stärken der Volluniversität weiter auszubauen, die transdisziplinäre Forschung strukturiert voranzutreiben und dem wissenschaftlichen Nachwuchs früher Forschungsverantwortung zu übertragen. Die strategische Weiterentwicklung der Universität entlang ihrer Forschungsschwerpunkte wird dabei eine wichtige Rolle spielen.

SQ: Sie möchten die Forschung und Lehre der Universität weiter auf dem Weg ins internationale Spitzenfeld führen. Spitzenforschung und Massenuniversität: Passt das zusammen?

Die Anzahl der Studierenden hat in der Tat im letzten Wintersemester ein neues Maximum erreicht. Inzwischen haben wir fast 40.000 Studierende an unserer Universität. Durch ein einmaliges Ausbauprogramm des Freistaats Bayern haben wir jedoch ein ordentliches Betreuungsverhältnis an der FAU. Wir schaffen damit den Spagat zwischen Massenvorlesungen, die es unfraglich gibt, und den forschungsorientierten Vorlesungen sehr gut.

Das Ausbildungsniveau unserer Absolventinnen und Absolventen ist sehr gut und wir gewinnen aus den eigenen Reihen hervorragenden wissenschaftlichen Nachwuchs.

Im Gespräch

Foto: © Harald Sippel

21

SQ: Wie schafft man exzellente Forschung?

Exzellente Forschung schafft man nur mit exzellenten Wissenschaftlerinnen und Wissenschaftlern und exzellenten Studierenden in einem gut ausgestatteten und motivierenden Forschungsumfeld. Deswegen achten wir auf hohe Qualitätsansprüche bei der Berufung von Wissenschaftlern und tun alles dafür, ein attraktives, forschungsorientiertes Lehrangebot zu schaffen. „Kluge Menschen ziehen kluge Menschen an“, heißt es ja – und wir müssen mit den richtigen Themen und den richtigen Persönlichkeiten die kritische Masse erreichen. In den letzten Jahren ist uns dies in vielen Bereichen sehr gut gelungen.

SQ: Kritiker werfen den Universitäten vor, sie würden den Fachkräftenachwuchs, z.B. im IT-Bereich, zu wenig

berufsorientiert ausbilden. Was muss sich beim Verhältnis zur Wirtschaft ändern, damit ein bedarfsgerechter Interessenausgleich gelingt?

An der FAU hat die enge Zusammenarbeit mit der Industrie gute Tradition. Wir belegen laut einer Umfrage des Manager Magazins in 2014 den dritten Platz in der Liste der indus­ triedrittmittelstärksten Universitäten in Deutschland: Dies zeigt, wie stark die Industrie an gemeinsamen Forschungsarbeiten mit der FAU interessiert ist. Die industrienahe Forschung beeinflusst bei uns auch ganz intensiv die Lehre. Solide Grundlagenausbildung auf der einen Seite und anwendungsorientierte Lehre auf der anderen haben einen festen Platz bei uns. Den Erfolg dieses Konzepts belegen die sehr guten Jobangebote, die unsere Absolventinnen und Absolventen national wie international

erhalten, aber auch die hohe Anzahl an erfolgreichen Ausgründungen.

SQ: Wie beurteilen Sie den Wissenschaftsstandort Erlangen-Nürnberg?

Der Wissenschaftsstandort ErlangenNürnberg ist unterdessen weltweit bekannt. Berühmtheit hat die Metropolregion beispielsweise durch das Erlanger Programm von Prof. Felix Klein oder den in Erlangen entwickelten MP3Standard erlangt. Aber auch die starke Forschung z.B. in den Materialwissenschaften, der Energietechnik oder der Medizintechnik zeichnet unseren Wissenschaftsstandort aus. Die enge Zusammenarbeit mit der Industrie – viele der Global Player wie Siemens oder Adidas haben hier in der Region eine starke Präsenz – und die ungewöhnlich große Anzahl von Patentanmeldungen zeichnen die Region aus.

Das ASQF-Karriereportal Wir haben den passenden JOB für Sie.

FINARIS

FINANCIAL SOFTWARE PARTNER

FINARIS

FINANCIAL SOFTWARE PARTNER

Software-Tester (m/w) netcare Business Solutions GmbH

Tester/Testmanager Ebcont

Neustetten

Wien

Software-Testing-Engineers (m/w) PPI AG Informationstechnologie

iSQI Produktmanager (m/w) iSQI GmbH

Hamburg

Potsdam

(Junior) IT-Consultant (m/w) F I N A R I S GmbH

Key-Account-Manager (m/w) iSQI GmbH

Frankfurt am Main

Potsdam

(Junior) Consultant (m/w) Financial Services.

F I N A R I S GmbH

(Senior) Testmanager / Testspezialisten (m/w) ckc group

Frankfurt am Main

Braunschweig

Testanalyst (m/w) für CarIT-Produkte der Zukunft SQS AG

Juniorberater und -trainer (m/w) SOPHIST GmbH

Wolfsburg, München, Stuttgart

Senior Consultant - Banking SQS AG Frankfurt

Consultant: Software-Tester (m/w) Proventa AG Frankfurt am Main

Architekt Software-Testautomatisierung (m/w) ANECON Software Design und Beratung G.m.b.H. Wien

Spezialist Software-Testautomatisierung (m/w) ANECON Software Design und Beratung G.m.b.H. Wien

Software-Entwickler(m/w) „Embedded“ im Bereich Automotive Method Park Software AG Erlangen

Software-Entwickler (m/w) Automotive Method Park Software AG

Nürnberg

Berater und -trainer (m/w) SOPHIST GmbH Nürnberg

Software-Entwickler (m/w) Software Quality Lab GmbH München, Wien, Linz, Graz, Lustenau

Trainer und Berater (m/w) Software Quality Lab GmbH München, Wien, Linz, Graz, Lustenau

Bankkaufmann (m/w) als Test Professional Finance macros Consult GmbH Ottobrunn

Entwicklungsingenieur (m/w) BIOTRONIK SE & Co. KG Berlin

Qualitätsmanager (m/w) Embedded Software IAV GmbH Gifhorn

Erlangen

Die ausführlichen Stellenangebote finden Sie auf www.asqf.de/stellenangebote.html

Termine to go

einfach aus

Schulungen 2015

der Hef tmitt

e heraus tren

März bis Mai 2015 Certified-Schulungen werden ausschließlich von akkreditierten Unternehmen durchgeführt. Das iSQI fungiert hier als Vermittler. Anmeldeformular und Preise unter www.isqi.org.

Schulungstitel/Seminartitel

nen

Mehr als 100 weitere Termine finden Sie unter: www.isqi.org/de/schulungen-liste-op.html Ort

Datum (Start)

Dauer

Anbieter

ASQF® Certified Professional for Project Management ASQF Certified Professional for Project Management

Frankfurt

20.04.2015

4

SQS

ASQF® Certified Professional for Project Management

Hannover

22.06.2015

4

Method Park Consulting GmbH

CMAP Mobile App Testing – Foundation Level

Berlin

07.04.2015

2

Díaz & Hilterscheid GmbH

CMAP Mobile App Testing – Foundation Level

Hamburg

13.04.2015

2

Sogeti Deutschland GmbH

CMAP Mobile App Testing – Foundation Level

Braunschweig

04.05.2015

2

BREDEX GmbH

CMAP Mobile App Testing – Foundation Level

SQS Wien

21.05.2015

2

SQS

CMAP Mobile App Testing – Foundation Level

Berlin

01.06.2015

2

Díaz & Hilterscheid GmbH

CMAP Mobile App Testing – Foundation Level

Berlin

08.06.2015

2

Loyal Team GmbH

CMAP Mobile App Testing – Foundation Level

München

08.06.2015

2

Loyal Team GmbH

CMAP Mobile App Testing – Foundation Level, Englisch

Berlin

15.06.2015

2

Díaz & Hilterscheid GmbH

CMAP Mobile App Testing – Foundation Level

Frankfurt

22.06.2015

2

CGI (Germany) GmbH & Co. KG

CMAP Mobile App Testing – Foundation Level

Dresden

29.06.2015

2

ANECON

CMAP Mobile App Testing – Foundation Level

Braunschweig

29.06.2015

2

BREDEX GmbH

CMAP Mobile App Test Automation (in Planung)

Hamburg

15.04.2015

3

Sogeti Deutschland GmbH

CMAP Mobile App Test Automation (in Planung)

München

06.05.2015

3

Sogeti Deutschland GmbH

®

CMAP Mobile App Testing

iSQI® Certified Agile Essentials iSQI® Certified Agile Essentials

Berlin

13.04.2015

2

Loyal Team GmbH

iSQI Certified Agile Essentials, Englisch

Berlin

29.04.2015

2

Díaz & Hilterscheid GmbH

iSQI® Certified Agile Essentials

Frankfurt

07.05.2015

2

Loyal Team GmbH

iSQI® Certified Agile Essentials

Berlin

08.06.2015

2

Loyal Team GmbH

iSQI® Certified Agile Essentials

München

08.06.2015

2

Loyal Team GmbH

iSQI® Certified Agile Essentials

Stuttgart

09.06.2015

2

Method Park Consulting GmbH

Röttenbach

15.06.2015

2

sepp.med gmbh

®

iSQI Certified Agile Essentials ®

iSQI® CAT Certified Agile Tester iSQI® CAT Certified Agile Tester

Berlin

13.04.2015

5

Integrata / CGI (Germany) GmbH & Co. KG

iSQI® CAT Certified Agile Tester

Frankfurt

15.04.2015

5

Loyal Team GmbH

iSQI® CAT Certified Agile Tester

Köln

20.04.2015

5

Díaz & Hilterscheid GmbH

iSQI® CAT Certified Agile Tester

Wien

22.04.2015

5

ANECON

iSQI CAT Certified Agile Tester

München

18.05.2015

5

Sogeti Deutschland GmbH

iSQI® CAT Certified Agile Tester

Frankfurt

15.06.2015

5

Integrata / CGI (Germany) GmbH & Co. KG

iSQI® CAT Certified Agile Tester

Berlin

17.06.2015

5

Loyal Team GmbH

iSQI® CAT Certified Agile Tester

Frankfurt

22.06.2015

5

Díaz & Hilterscheid GmbH

iSQI® CAT Certified Agile Tester

München

22.06.2015

5

Software Quality Lab GmbH

iSQI CAT Certified Agile Tester

Frankfurt

29.06.2015

5

Sogeti Deutschland GmbH

iSQI® CAT Certified Agile Tester

München

29.06.2015

5

Method Park Consulting GmbH

®

®

ISTQB® Certified Tester – Foundation Level – Kompaktkurs

München

07.04.2015

3

Díaz & Hilterscheid GmbH

ISTQB® Certified Tester – Foundation Level

Stuttgart

13.04.2015

4

ANECON

ISTQB Certified Tester – Foundation Level

Hamburg

13.04.2015

4

CGI (Germany) GmbH & Co. KG

ISTQB® Certified Tester – Foundation Level

München

20.04.2015

4

Sogeti Deutschland GmbH

ISTQB® Certified Tester – Foundation Level

München

20.04.2015

4

ISARTAL akademie GmbH

ISTQB® Certified Tester – Foundation Level, Englisch

Berlin

20.04.2015

4

Díaz & Hilterscheid GmbH

ISTQB® Certified Tester – Foundation Level

Ingolstadt

20.04.2015

3

sepp.med gmbh

®

STAND: März 2015

ISTQB® Certified Tester – Foundation Level

ISTQB® Certified Tester – Foundation Level

Mödling (Österreich)

21.04.2015

4

Díaz & Hilterscheid GmbH

ISTQB Certified Tester – Foundation Level ISTQB® Certified Tester – Foundation Level

Braunschweig

27.04.2015

4

Muth Partners GmbH

München

04.05.2015

4

CGI (Germany) GmbH & Co. KG

ISTQB® Certified Tester – Foundation Level

Berlin

04.05.2015

3

Loyal Team GmbH

ISTQB® Certified Tester – Foundation Level

Wien

05.05.2015

4

SQS

ISTQB® Certified Tester – Foundation Level (Kurs I)

Stuttgart

11.05.2015

2

Lysant

ISTQB® Certified Tester – Foundation Level (Kurs II)

Stuttgart

18.05.2015

2

Lysant

ISTQB Certified Tester – Foundation Level

Köln

18.05.2015

4

SQS

ISTQB® Certified Tester – Foundation Level

München

18.05.2015

4

ISARTAL akademie GmbH

ISTQB® Certified Tester – Foundation Level

Wien

19.05.2015

4

OBJENTIS

ISTQB® Certified Tester – Foundation Level – Kompaktkurs

München

26.05.2015

3

Díaz & Hilterscheid GmbH

ISTQB® Certified Tester – Foundation Level

Berlin

26.05.2015

4

CGI (Germany) GmbH & Co. KG

ISTQB Certified Tester – Foundation Level – Kompaktkurs

Berlin

01.06.2015

3

Díaz & Hilterscheid GmbH

ISTQB® Certified Tester – Foundation Level

Hamburg

08.06.2015

4

SQS

ISTQB® Certified Tester – Foundation Level

Frankfurt (Main)

08.06.2015

4

Díaz & Hilterscheid GmbH

ISTQB® Certified Tester – Foundation Level

Berlin

10.06.2015

3

Loyal Team GmbH

ISTQB® Certified Tester – Foundation Level

Ravensburg

15.06.2015

4

CGI (Germany) GmbH & Co. KG

ISTQB Certified Tester – Foundation Level

Sibiu (Rumänien)

22.06.2015

4

Method Park Consulting GmbH

ISTQB® Certified Tester – Foundation Level

Düsseldorf

22.06.2015

4

Sogeti Deutschland GmbH

ISTQB® Certified Tester – Foundation Level – Kompaktkurs

Dresden

22.06.2015

3

Díaz & Hilterscheid GmbH

ISTQB® Certified Tester – Foundation Level

München

22.06.2015

4

ISARTAL akademie GmbH

ISTQB® Certified Tester – Foundation Level

Wiesbaden

23.06.2015

4

Muth Partners GmbH

ISTQB® Certified Tester – Foundation Level Extension Agile Tester

Wien

15.06.2015

2

SQS

®

®

®

®

ISTQB Certified Tester – Advanced Level, Test Manager ®

ISTQB® Certified Tester – Advanced Level, Test Manager

Berlin

13.04.2015

5

Method Park Consulting GmbH

ISTQB® Certified Tester – Advanced Level, Test Manager

München

22.04.2015

5

Loyal Team GmbH

ISTQB® Certified Tester – Advanced Level, Test Manager

Berlin

04.05.2015

5

CGI (Germany) GmbH & Co. KG

ISTQB® Certified Tester – Advanced Level, Test Manager

Köln

04.05.2015

5

SQS

ISTQB Certified Tester – Advanced Level, Test Manager

München

04.05.2015

5

ISARTAL akademie GmbH

ISTQB® Certified Tester – Advanced Level, Test Manager

Berlin

06.05.2015

5

Loyal Team GmbH

ISTQB® Certified Tester – Advanced Level, Test Manager

Frankfurt

18.05.2015

5

Sogeti Deutschland GmbH

ISTQB® Certified Tester – Advanced Level, Test Manager

Lustenau

15.06.2015

5

Software Quality Lab GmbH

ISTQB® Certified Tester – Advanced Level, Test Manager

München

15.06.2015

5

Software Quality Lab GmbH

ISTQB Certified Tester – Advanced Level, Test Manager

München

22.06.2015

5

CGI (Germany) GmbH & Co. KG

ISTQB® Certified Tester – Advanced Level, Test Manager

Hamburg

22.06.2015

5

SQS

®

®

ISTQB® Certified Tester – Advanced Level, Test Analyst ISTQB® Certified Tester – Advanced Level, Test Analyst

Wien

13.04.2015

4

ANECON

ISTQB® Certified Tester – Advanced Level, Test Analyst

Hamburg

13.04.2015

4

SQS

ISTQB Certified Tester – Advanced Level, Test Analyst

Wiesbaden

14.04.2015

4

Muth Partners GmbH

ISTQB® Certified Tester – Advanced Level, Test Analyst

Braunschweig

14.04.2015

4

Muth Partners GmbH

ISTQB® Certified Tester – Advanced Level, Test Analyst

Hamburg

20.04.2015

4

CGI (Germany) GmbH & Co. KG

ISTQB® Certified Tester – Advanced Level, Test Analyst

Köln

20.04.2015

4

SQS

ISTQB® Certified Tester – Advanced Level, Test Analyst, Englisch

Berlin

26.05.2015

4

Díaz & Hilterscheid GmbH

ISTQB® Certified Tester – Advanced Level, Test Analyst

Düsseldorf

08.06.2015

4

CGI (Germany) GmbH & Co. KG

ISTQB Certified Tester – Advanced Level, Test Analyst

Mödling (Österreich)

08.06.2015

4

Díaz & Hilterscheid GmbH

ISTQB® Certified Tester – Advanced Level, Test Analyst

München

15.06.2015

4

Software Quality Lab GmbH

ISTQB® Certified Tester – Advanced Level, Test Analyst

Hamburg

29.06.2015

4

SQS

ISTQB® Certified Tester – Advanced Level, Test Analyst

Erlangen

30.06.2015

4

Method Park Consulting GmbH

®

®

ISTQB® Certified Tester – Advanced Level, Technical Test Analyst ISTQB® Certified Tester – Advanced Level, Technical Test Analyst

Stuttgart

27.04.2015

3

Method Park Consulting GmbH

ISTQB® Certified Tester – Advanced Level, Technical Test Analyst

Wien

28.04.2015

3

ANECON

ISTQB® Certified Tester – Advanced Level, Technical Test Analyst

Hamburg

26.05.2015

3

SQS

ISTQB® Certified Tester – Advanced Level, Technical Test Analyst

Berlin

22.06.2015

3

CGI (Germany) GmbH & Co. KG

iSQI® Certified Model-Based Tester iSQI® Certified Model-Based Tester

Röttenbach

23.04.2015

2

sepp.med gmbh

iSQI® Certified Model-Based Tester

Lustenau

24.06.2015

2

Software Quality Lab GmbH

ISPMA® Certified Software Product Manager SPM Software Produkt Training nach ISPMA Foundation Level Software Produkt Management Excellence Level Training nach ISPMA - Produkt Planung Software Produkt Management Excellence Level Training nach ISPMA - Produkt Orchestrierung

Wien

13.04.2015

3

anthares GmbH

Köln

27.04.2015

3

anthares GmbH

Köln

30.04.2015

1

anthares GmbH

Software Produkt Management Foundation Level Training nach ISPMA Software Produkt Management Excellence Level Training nach ISPMA - Strategie Management

Frankfurt (Main)

01.06.2015

3

anthares GmbH

Frankfurt (Main)

25.06.2015

1

anthares GmbH

UXQB Certified Professional for Usability and User Experience ®

Usability und User Experience gestalten (inkl. Zertifizierung CPUX-F)

Hamburg

20.07.2015

3

oose Innovative Informatik GmbH

05.05.2015

2

Testing Technologies IST GmbH

TTCN-3 Training ®

TTCN-3® Training "Theory and Practice of TTCN-3®"

Berlin

ISSECO® Certified Professional for Secure Software Engineering ISSECO® Certified Professional for Secure Software Engineering

Köln

27.04.2015

3

SQS

SOF T WA RE TEST

PROJECT MANAGEMENT

SPI

SECURIT Y

MEDICAL

OTHER

Seminare 2014/15 März bis Mai 2015 Das iSQI fungiert hier als Vermittler.

Ausführliche Seminarbeschreibungen, Preise und Anmeldeformular: www.isqi.org

Mehr als 100 weitere Termine finden Sie unter: www.isqi.org/de/seminare.html

Seminartitel

Ort

Datum (Start)

Dauer

Anbieter

Agile / Scrum Agile Testing in a Nutshell

Bremen

14.04.2015

1

ANECON

Scrum für Projektmitarbeiter

Erlangen

16.04.2015

1

Method Park Consulting GmbH

Agiles Software – Projektmanagement

Hamburg

04.05.2015

4

oose Innovative Informatik GmbH

Agile Tester kompakt

Wien

27.05.2015

2

Software Quality Lab GmbH

Agile Tester kompakt

München

27.05.2015

2

Software Quality Lab GmbH

Wien

03.06.2015

1

ANECON

Scrum für Projektmitarbeiter

Stuttgart

12.06.2015

1

Method Park Consulting GmbH

Scrum Master Professional

Lustenau

24.06.2015

2

Software Quality Lab GmbH

Scrum Master Professional

München

24.06.2015

2

Software Quality Lab GmbH

Agiles Software – Projektmanagement

Hamburg

13.07.2015

4

oose Innovative Informatik GmbH

Agile Testing in a Nutshell

TTCN-3

®

Effiziente Testautomatisierung mit TTCN-3® Grundlagen und Anwendungen

Erlangen

14.04.2015

2

FraunhoferFokus

Effiziente Testautomatisierung mit TTCN-3® Grundlagen und Anwendungen

Erlangen

30.06.2015

2

FraunhoferFokus

Linz

20.04.2015

2

Software Quality Lab GmbH

Requirements Moderationstechnik im Requirements Engineering Moderationstechnik im Requirements Engineering

Wien

20.04.2015

2

Software Quality Lab GmbH

Requirements Engineering in der Praxis – Blended Learning

Nürnberg

11.05.2015

2

SOPHIST GmbH

Requirements Engineering und Management inkl. CPRE-Aufbaukurs

Hamburg

01.06.2015

5

oose Innovative Informatik GmbH

Requirements Engineering in der Praxis

Nürnberg

15.06.2015

2

SOPHIST GmbH

Moderationstechnik im Requirements Engineering

Lustenau

23.06.2015

2

Software Quality Lab GmbH

Moderationstechnik im Requirements Engineering

München

23.06.2015

2

Software Quality Lab GmbH

Requirements Engineering & Scrum

München

29.06.2015

2

SOPHIST GmbH

Professionelles Requirements Engineering und Management

München

30.06.2015

3

Software Quality Lab GmbH

Automotive SPICE® – iNTACS™ zertifizierter Provisional Assessor

Kornwestheim

13.04.2015

5

Kugler Maag CIE GmbH

Einführung in die Funktionale Sicherheit (Automotive - ISO 26262) Automotive System Design according to ISO 26262. TÜV-Certification Functional Safety Engineer (with exam and certificate) Automotive SPICE® – iNTACS™ certified Provisional Assessor

Kornwestheim

20.04.2015

2

Kugler Maag CIE GmbH

04.05.2015

4

Kugler Maag CIE GmbH

Troy, MI (USA) Ludwigsburg

18.05.2015

5

Kugler Maag CIE GmbH

Agile and compatible to automotive standards

Kornwestheim

18.06.2015

2

Kugler Maag CIE GmbH

Automotive SPICE® – iNTACS™ zertifizierter Provisional Assessor

Kornwestheim

22.06.2015

5

Kugler Maag CIE GmbH

Stuttgart

01.04.2015

Method Park Consulting GmbH

online

01.04.2015

2 4

Test Testen von Embedded Systems Test endlich optimal konzeptionieren Coaching Workshop – Online-Seminar

Live-Sessions

Maud Schlich, THE QUALITEERS

STAND: März 2015

Automotive

Testen für Softwareentwickler mit Unit-Tests

Wien

14.04.2015

Systematisches Testen – Wissen in die Praxis umsetzen – Online-Seminar

online

16.04.2015

3 5

Software Quality Lab GmbH

Live-Sessions

Maud Schlich, THE QUALITEERS

Testen für Softwareentwickler mit Unit-Tests

München

21.04.2015

3

Software Quality Lab GmbH

Test Basics

Stuttgart

04.05.2015

2

Lysant GmbH

GUI-Testautomatisierung in Theorie und Praxis

Linz

10.06.2015

2

Software Quality Lab GmbH

GUI-Testautomatisierung in Theorie und Praxis

München

10.06.2015

2

Software Quality Lab GmbH

TMap NEXT® Test Engineer (TMPTE)

Frankfurt (Main)

15.06.2015

5

Sogeti Deutschland GmbH

TPI NEXT® Foundation (TPIF)

Frankfurt (Main)

22.06.2015

2

Sogeti Deutschland GmbH

Puchheim bei München

28.04.2015

3

Anywhere.24 GmbH

Puchheim bei München

12.06.2015

1

Anywhere.24 GmbH

Berlin

16.06.2015

3

Method Park Consulting GmbH

CMMI Einführung in CMMI für Produktentwicklung (CMMI-DEV v1.3) & Einführung in CMMI für Services (CMMI-SVC v1.3) Einführung in CMMI für Produktentwicklung (CMMI-DEV v1.3) & Einführung in CMMI für Services (CMMI-SVC v1.3) Einführung in CMMI für Produktentwicklung (CMMI-DEV v1.3) & Einführung in CMMI für Services (CMMI-SVC v1.3) Upgrade zu CMMI für Produktentwicklung v1.3 Einführung in das CMMI für Entwicklung

ISO 26262 FMEDA Training

München

27.04.2015

2

Engineers Consulting

FTA Training

München

29.04.2015

1

Engineers Consulting

FMEA Training

Stuttgart

11.06.2015

2

Engineers Consulting

Hamburg

04.05.2015

5

oose Innovative Informatik GmbH

UML Objektorientierte Analyse und Design mit UML inkl. UML-Zertifizierung OCUP2-F UML Basics für Fachbereichsmitarbeiter

Linz

05.05.2015

2

Software Quality Lab GmbH

Wien

05.05.2015

2

Software Quality Lab GmbH

München

24.06.2015

2

Method Park Consulting GmbH

Graz

09.04.2015

1

Software Quality Lab GmbH

Risikomanagement in Softwareprojekten

Linz

09.04.2015

1

Software Quality Lab GmbH

Software Usability

Wien

21.04.2015

3

Software Quality Lab GmbH

Problemlösungstag Testmanagement

online

22.04.2015

1

Maud Schlich, THE QUALITEERS

Hamburg

27.04.2015

4

oose Innovative Informatik GmbH

Erfolgreich im Reviewteam mitarbeiten – Präsenz-Workshop

Kirchheimbolanden

11.05.2015

1

Maud Schlich, THE QUALITEERS

Reviews effizient moderieren – Präsenz-Workshop

Kirchheimbolanden

12.05.2015

2

Maud Schlich, THE QUALITEERS

Aufwandsschätzung in Softwareprojekten

München

19.05.2015

2

Software Quality Lab GmbH

Aufwandsschätzung in Softwareprojekten

Lustenau

19.05.2015

2

Software Quality Lab GmbH

Continuous Integration and Delivery

München

21.05.2015

1

Software Quality Lab GmbH

Software Craftsmanship

Hamburg

08.06.2015

4

oose Innovative Informatik GmbH

Risikomanagement in Softwareprojekten

München

16.06.2015

1

Software Quality Lab GmbH

Wien

23.06.2015

2

Software Quality Lab GmbH

UML Basics für Fachbereichsmitarbeiter Embedded Architecture mit UML

weitere Seminare Risikomanagement in Softwareprojekten

Software Craftsmanship

Funktionale Sicherheit – kompakt

AGILE / SCRUM

TEST

SOF T WA RE A RCHITEC T URE

AUTOMOTIVE

V-MODEL X T

UML

CMMI

ISO 26262

WEITERE SEMINARE

REQUIREMENTS

T TCN-3®

Zusätzliche Schulungs- und Seminartermine finden Sie auf www.isqi.org!

Irrtümer, Termin- und Preisänderungen vorbehalten. Es gelten die allgemeinen Geschäfts- und Preisbedingungen des jeweiligen Veranstalters.

Alle Themen auch als Inhouse-Angebot buchbar!

iSQI GmbH | www.isqi.org Henkestr. 91, Haus 8, 3. OG 91052 Erlangen Tel.: + 49 9131 91910-0 Fax: + 49 9131 91910-10

Friedrich-Engels-Straße 24 14473 Potsdam Tel.: + 49 331 231810-0 Fax: + 49 331 231810-10

Ansprechpartner: Beatrice Michelis Trainings and Seminars Tel.: +49 331 231810-16 trainings@isqi.org

SIE WOLLEN IHR SEMINAR AUCH IM NÄCHSTEN SQ-MAGAZIN BEWERBEN? Wir freuen uns über eine Nachricht. Bitte senden Sie uns Ihre Termine per E-Mail zu: trainings@isqi.org

27

Advertorial

Schnelles Feedback für agile Teams!

Mit der neuen ISTQB® Ausbildung zum zertifizierten Agile Tester

Der Lehrplan

D

ie Arbeitsweise eines SoftwareTesters in einem agilen Projekt unterscheidet sich von der Arbeitsweise in einem traditionell (z.B. nach V-Modell) ablaufenden Projekt.

Agile Projekte sind durch kurze Entwicklungsiterationen gekennzeichnet, die frühe und kontinuierliche Rückmeldungen (Feedback) zur Produktqualität möglich machen. Ein sehr wichtiger Lieferant dieses Feedbacks ist der Tester mit seinen Testergebnissen.

Schnellere, leichtgewichtigere Testmethoden und Testtechniken helfen dabei. Auch die Rolle und die Art der Zusammenarbeit im Team ändern sich.

Tester sind genauso wie Entwickler und Fachbereichsvertreter gleichberechtigte Mitglieder des agilen Teams und müssen entsprechend agieren.

Die neue ISTQB® Ausbildung zum zertifizierten Agile Tester adressiert die beiden folgenden Themenfelder: Sie erleichtert Software-Testern, die aus traditionellen Projekten in agile Entwicklungsprojekte (z. B. Scrum) wechseln, den Umstieg. Und sie vermittelt in kompakter Form das methodische Rüstzeug für erfolgreiches, agiles Testen.

Der Lehrstoff ist für einen mindestens zweitägigen Trainingskurs ausgelegt.

Die wichtigsten Lerninhalte sind: Die Grundlagen der agilen SoftwareEntwicklung: Agiles Manifest, WholeTeam-Approach u.a..

Aspekte agiler Ansätze: Kennzeichen und Unterschiede von XP, Scrum und Kanban, grundlegende Techniken wie User-Stories, Retrospektiven, Continuous-Integration.

Die Unterschiede zwischen traditionellen und agilen Ansätzen im Test: Unterschiede der Testaktivitäten, Umsetzung im Projekt, Bedeutung von Unabhängigkeit im Test.

Erhebung des Teststatus in agilen Projekten: Arbeitsergebnisse, Testfortschritt und Produktqualität sichtbar machen, Risiken im Regressionstest.

Die Rolle und die Fähigkeiten eines Testers in einem agilen Team.

Agile Testmethoden: testgetriebene Entwicklung, Testpyramide, Testquadranten und ihre Beziehungen zu (traditionellen) Teststufen und Testarten.

Qualitätsrisiken beurteilen und Testaufwände schätzen, z.B. auf Basis des Iterationsinhalts und der Qualitätsrisiken.

Testrelevante Techniken für agile Projekte: z.B. testbare Abnahmekriterien definieren, Testfälle für eine User-Story schreiben können.

Werkzeuge in agilen Projekten.

Trainings Deutschsprachige Trainingskurse zur ISTQB® CTFL Extension Agile Tester werden bereits von einigen Trainingsanbietern durchgeführt. Weitere Kurse von weiteren Anbietern befinden sich aktuell im Akkreditierungsverfahren. Über die Webseiten der deutschsprachigen Testing Boards (ATB, GTB, STB) können die jeweiligen Trainingsprovider gefunden und kontaktiert werden.

Ebenfalls kann dort der aktuelle Lehrplan herunter geladen werden.

Prüfung und Zertifizierung Die Zertifizierungsprüfung, die von allen autorisierten Zertifizierungsstellen des German Testing Boards (GTB) angeboten wird, umfasst 40 MultipleChoice-Fragen. Die Prüfungszeit beträgt 60 Minuten. Voraussetzung für die Teilnahme an der Prüfung ist der Nachweis des ISTQB® Certified Tester Foundation Level Zertifikates.

Links http://goo.gl/M7GTbt http://goo.gl/OnksB8 Kontakt German Testing Board e.V., info@german-testing-board.info www.german-testing-board.info

Im Gespräch

Ausgabe 34 | März 2015

Mehr Datenschutz und Betriebssicherheit durch Cyber-Security-Testing Eine Anleitung zur Cyber-DefenseBenchmarking und VulnerabilityAnalyse in Unternehmen und Organisationen.

C

yber-Security wird für Unternehmen wie auch für die Politik immer mehr zu einem kritischen Thema, denn Cyber-Angriffe, Wirtschaftsspionage und Datenmissbrauch können eine existenzbedrohende Gefährdung darstellen. Vor diesem Hintergrund gründete im Jahr 2009 der französische IT-Sicherheitsexperte Gérard Gaudin den Club R2GS (Réflexion et Recherche en Gestion opérationnelle de la Sécurité) mit dem Zweck, Wissen und Erfahrungen aus den unterschiedlichsten Branchen zu nutzen, um spezifische europäische Sicherheitsstandards zum Schutz vor CyberKriminalität in Unternehmen, Behörden und Organisationen zu entwickeln. Der Club mit mehr als 150 Mitgliedern aus rund 40 namhaften Unternehmen und Einrichtungen der EU, operiert europaweit und hat sog. R2GS-Chapters in Frankreich, Großbritannien, Deutschland, Italien, Luxemburg und Belgien gegründet.

Das deutsche Chapter „Club R2GSSoSo“ unter der Leitung von Jan de Meer und Axel Rennoch gibt es seit 2012. Das Ziel der Club-Mitglieder ist die Erarbeitung einer Handlungsanleitung zum Aufbau digitaler Sicherheitsarchitekturen in mittelständischen Dienstleistungsunternehmen, gestützt auf Empfehlungen und Normen des „European Telecommunication Standardization Institute (ETSI)“ sowie nationaler Einrichtungen wie z.B. DIN, BSI und VDI.

Gemeinsam mit seinen Kollegen Jens Richter und Axel Rennoch beantwortet Jan deMeer SQ-Fragen zum Thema Cyber-Security-Testing und gibt Handlungsempfehlungen zur Cyber-Defense-Benchmarkingbzw. Vulnerability-Analyse in Unternehmen.

SQ: Welche Strategien und Lösungsansätze zum Schutz der Informations- und Kommunikationstechnik (IKT)-Infrastrukturen sehen Sie und welche Wege schlagen Sie vor?

IKT-Sicherheit betrifft alle Wirtschafsbetriebe, z.B. in den Sektoren Logistik, Finanzen, Verkehr, Elektrogewerbe, Energie, IKT/Cloud Computing, Technischer Messtechnik, aber auch Juristen, Forschungseinrichtungen und Behörden. Die Bandbreite und die Aktivitäten sind so vielseitig und umfassend, dass sich alle Beteiligten auf ihre zentralen Aufgaben fokussieren müssen. Aus Sicht eines Forschungsinstituts wie Fraunhofer FOKUS gehören dazu insbesondere Forschungsprojekte zum modell- und risiko-basierten Sicherheitstesten, Behörden wie das Bundesamt für Sicherheit in der Informationstechnik (BSI) konzentrieren sich u.a. auf Produktzertifizierungen nach Common Criteria [5], die Firmen orientieren sich an Standardisierungsarbeiten

28

Im Gespräch

29

und organisieren sich z. B. in Inte­ ressenverbänden wie der Allianz für Cybersicherheit des BSI, den Security-Fachgruppen der GI und natürlich dem ASQF. Jeder Beitrag ist wichtig.

Zu den wichtigen Ergebnissen zählen wir Qualitätsprüfungen, z.B. eine möglichst automatisierte Herleitung und Ausführung von Sicherheitstests, u.a. aus Modellen der hochkritischen Software-Anteile (z.B. unter Verwendung innovativer Fuzzing Methoden). Wir halten viel von sicherheitstechnischen Produktprüfungen, die von der Begutachtung einer Entwicklungsumgebung bis zur Anerkennung internationaler Sicherheitszertifikate reichen. Und wir setzen auf die Erarbeitung und Anwendung von Standards zur Messung von Sicherheit in großen und kleinen Betrieben.

Gerade der letzte Aspekt ist noch nicht in ausreichendem Maße erarbeitet bzw. gelöst worden und steht im Mittelpunkt der Arbeiten vom Club R2GS. SQ: Der Club R2GS strebt eine Sammlung von Sicherheitsindikatoren und den Austausch von Praxiswissen aus Security-Operation-Centern (SOC) über Normungs- und Rechtsgrundlagen zum sicheren Betrieb der IKT in Unternehmen unterschiedlicher Branchen an. Wie beurteilen Sie die aktuelle Bedrohung durch CyberKriminalität?

Das eine ist die Gefahr aus dem Netz, das andere ist die Verletzlichkeit (vulnerability) unserer IKT-Systeme und Infrastrukturen. Während das BSI mit Recht vor Angriffen warnt, versucht der Club R2GS, Maßstäbe (Indikatoren) zu finden, um die Verletzlichkeit der IT zu messen – ggf. auch in Echtzeit während des Betriebs (resiliency) – damit passende Maßnahmen bei jeder Gefährdungslage zeitnah ergriffen werden können.

Das BSI hält in seinem Register aktueller Cyber-Gefährdungen und Angriffsformen sechs besonders bedrohliche relevante Formen fest, darunter: das gezielte Hacking von Webservern;

Drive-by-Exploits zur Kontaminierung von Rechnern mit Schadsoftware per E-Mail oder beim Surfen; DistributedDenial-of-Service-Angriffe per Botnetze; Schad-Software mittels SPAM oder Identitätsdiebstahl und die Kompromittierung von zentralen Sicherheitsinfrastrukturen. Diese Formen der Gefährdung sind alltäglich und können daher zu jedem Zeitpunkt, in jedem Unternehmen oder bei jeder Inanspruchnahme digitaler (Cloud-) Dienstleistungen auftreten.

SQ: Welche Bedeutung haben die Information-Security-Indicators (ISI) für den Schutz der IKT-Infrastrukturen in Unternehmen und Organisationen?

Zwischen der industriellen Normungsgruppe „ETSI ISG Information Security Indicators (ISI)“ [1], unterstützt durch den mit ihr verbundenen Club R2GS, und der internationalen Normungsgruppe „ISO/ IEC SC27 WG4 Security controls and services“ besteht eine formale Normungs-Liaison [10, 11] zur Entwicklung von ISI-gestützten Methoden zur Evaluation der Cyber-Sicherheit und Cyber-Defense.

Der Club R2GS [3] ist ein Zusammenschluss − außerhalb der Normungsorganisationen − von privaten und öffentlichen Organisationen, Unternehmen und Dienstleistern aus allen möglichen Branchen, die ein Security-Operation-Center (SOC) oder ein Securit y-Incident-Response -Team (SIRT) [12, 13] zur Kontrolle ihrer IKT-Infrastrukturen betreiben oder beraten.

Die nationalen Gliederungen vom R2GS unterstützen die Verbreitung von Verfahren und Zielen von Sicherheitsnormen und Industriestandards zur Evaluierung kritischer IKT/ Daten-Infrastrukturen oder SOCs, um sie vor Zerstörung, Missbrauch oder Veränderungen zu schützen; aber auch, um Sicherheit, Zuverlässigkeit, Wirtschaftlichkeit oder Wettbewerbsfähigkeit der verwendeten Technologien zu steigern.

SQ: Welchem Zweck dient das normierte SIEM-Referenz-Modell?

Das „Security Information and Event Management“ (SIEM) -Modell [9] beschreibt ähnlich dem Phasenmodell „Information Security Incident Management (ISIM)“ [7] die Auswertung von beobachteten Sicherheitsereignissen in fünf Schritten. Es dient daher zur Überprüfung von Sicherheitserfordernissen. Das SIEM- wie das ISIM-Modell ist ereignisorientiert und stützt sich auf das sog. PublishSubscribe-Kommunikations-Paradigma, in welchem alle Ereignisse einer bestimmten Domäne, z.B. alle spezifizierten Sicherheitsindikatoren des SIRT/SOC eines Unternehmens, verwaltet werden.

Im SIEM-Modell gibt es, neben Ereignis, Beobachter und Bekanntgeber (-Objekten), eine weitere Funktionalität bzw. Rolle, die von Analysten (-Objekten) ausgeführt wird. Die Analystenrolle zeichnet sich darin aus, zum Einen zu entscheiden, welche Maßnahmen aufgrund kritischer Sicherheitsereignisse ergriffen werden müssen und zum Anderen zu kontrollieren, welche Wirkung die ergriffene Maßnahme auf das beobachtete sicherheitsrelevante Ereignis hat.

SQ: Was sind normierte Beschreibungselemente zur Spezifikation von Ereignisinformationen?

Jedes Ereignis ist Träger konkreter Informationen, welche mittels sog.

SIEM-„Deskriptoren“ in standardisierter Form beschrieben werden.

Davon getrennt ist die InterprozessKommunikation zu betrachten: Beobachtung und Erzeugung von Ereignissen müssen „mandanten-spezifisch“ (vgl. Bundesdatenschutzgesetz) abgewickelt werden, in dem die Ereignisse, in sog. Ereignisklassen voneinander getrennt, behandelt werden.

Ein Beispiel: Intrusion-Indikator-Spezifikationen bestehen i.d.R. aus drei Beschreibungsebenen: der definitorischen (category, correspondence,

Im Gespräch definition), der operativen (frequency, securityLevel, detectionMeans, detectionLevel) und der evaluatorischen Ebene (indicatorProduction, indicatorValue, KPSImaturity, benchmarking). Die Werte der Deskriptoren korrespondieren mit den Beobachtungen bzw. Messwerten des Systemzustands im SIEM-Modell. Erforderliche Maßnahmen, die sich aus der Evaluation ergeben, korrespondieren mit der Anwendung von Steuerungsmaßnahmen und der zyklischen Beobachtung ihrer Wirkung.

SQ: Wie kann ein allgemeines Anwendungsschema für ETSI-Sicherheitsindikatoren aussehen?

ISI-Indikatoren stehen Unternehmen und Organisationen mit den bei ETSI publizierten Spezifikation ETSI GS ISI 001 [1] zur Verfügung. Für die strukturierte Darstellung der Indikatoren ist ein den „Common Criteria“[5] entlehntes Klassifikationsschema angewendet worden: Die Indikatoren

Abbildung: Die Indikatoren der Familie VBH_HUW [Q2]

Ausgabe 34 | März 2015

sind in Bäumen mit den fünf Ebenen Oberklassen, Klassen, Familien, Komponenten und Parameter dargestellt.

Es gibt die drei Oberklassen Incidents, Vulnerabilities sowie Impacts, die mittels den entsprechenden Bezeichnern „Ixx“, „Vxx“ und „IMP“ unterschieden werden.

Die Oberklasse „Incidents” enthält vier Klassen: IEX: Intrusion and external attacks (Eindringversuche und Angriffe von außen); IMF: Malfunctions (Fehlverhalten); IDB: Internal deviant behaviours (organisationsinternes, auffälliges Verhalten); IWH: Whole incident categories (sonstige Vorfälle).

Die Oberklasse „Vulnerabilities“ enthält fünf Klassen: VBH: Behavioural vulnerabilities (Angriffsfläche seitens des [System-] Verhaltens); VSW: Software vulnerabilities (An-

30

griffsfläche seitens der Software); VCF: Configuration vulnerabilities (Angriffsfläche seitens der Konfiguration VTC: General security technical vulnerabilities (Angriffsfläche seitens der Technologie); VOR: General security organizational vulnerabilities (Angriffsfläche seitens der (Betriebs-) Organisation).

Die Oberklasse „Impacts“ beinhaltet nur die Klasse „IMP – Impact Measurement“ (Maß für die Auswirkung eines Vorfalls).

Klassen beinhalten Familien von Komponenten, die eine Anzahl von Parametern besitzen können. Zum Beispiel beinhaltet die Familie „VBH_ HUW: Behavioural Vulnerabilities Human Weaknesses“ folgende zwei Komponenten (s. Abb.):

1 Ausspähen

nach Anklicken von Internet-Links oder Öffnen von Mailanhängen.

Im Gespräch

31

2 Ausspähen bei Telefonaten oder anderen Besprechungen.

Beide Komponenten errechnen sich unter Einbeziehung folgender Parameter: Anzahl der betroffenen Benutzer, Anzahl aller Benutzer sowie die durchschnittliche Anzahl der Beobachtungen in einem Zeitraum von 90 Tagen. Zusätzlich wird jede ISIKomponente durch die folgenden Kennzahlen bewertet: Frequenzrate, Gewichtung der Wirkung sowie Aufwand für die Aufspürung.

SQ: Welche Schlussfolgerungen ziehen Sie aus den Anwendungsschemata für die Sicherheit der IKT-Infrastruktur in Unternehmen und Or­ganisationen?

Benchmarking unter Verwendung des ISI-Katalogs kann von kleinen und mittelständischen Unternehmen oder anderen Organisationen zur (Selbst-) Bewertung ihrer (kritischen) IKT-Infrastruktur herangezogen werden. Dabei werden zwei Verfahren unterschieden: Erstens, das auf Kennzahlen und zweitens, das auf Erwartungswerten gestützte Messverfahren: Man spricht von einem kennzahlgestütztem Verfahren, wenn ein Bündel von ISI-Kennzahlen wie ein Index gestaltet wird. Dabei ist die verglichene aktuelle IKT-Infrastruktur gleich, besser oder schlechter als ein allgemeiner Vergleichswert. Der verantwortliche SIRT/SOC-Manager kann aus diesem Vergleich seine eigenen Schlüsse über die Sicherheit der betrachteten Infrastruktur ziehen.

Die zweite Art der Bündelung prüft einen bestimmten Erwartungswert, z.B. die Vermutung, dass Eindringversuche in die IKT-Infrastruktur ei-

Jan de Meer ist Geschäftsführer der smartspacelab.eu GmbH.

nes Unternehmens an bestimmten Schnittstellen (z.B. Browsern) erfolgreicher ablaufen als mit anderen. Dies kann auch mit einem geeigneten Bündel von ISI-Komponenten untersucht werden und die Vermutung dadurch bestätigen oder entkräften.

Benchmarking unterstützt auch die Bewertung von Maßnahmen zur Stärkung der Widerstandskraft (Resilienz) eines Unternehmens bzw. Systems gegenüber Angriffen auf die IKTInfrastruktur oder Destabilisierung eines Systems aufgrund offener, d.h. nicht indizierter, Schwachstellen.

Bitte wenden Sie sich bei Interesse an den beschriebenen Themen an das deutsche Chapter vom Club R2GS [4].

Wir freuen uns auf Ihre Mitarbeit.

Jan de Meer Ein besonders sensibler Bereich in einem Unternehmen ist ggf. die Sicherung der Produktion von Waren oder der Ressourcen zur Bereitstellung einer Dienstleistung, z.B. der Betrieb eines Cloud-Computing-Data-Centers.

Der Club R2GS-SoSo stützt sich u.a. auf folgende vier Säulen bzw. Modelle: Informations-Akquise-Modell, vertrauen-schaffendes Rollenmodell, Regelkreis-gestützte Sicherheitsarchitekturen und Informationszusicherungs- und Compliance-Modell. Hier werden die formalen Aspekte der Modellbildung beschrieben [12,13] sowie

Axel Rennoch ist Projektleiter am Fraunhofer Institut FOKUS.

das zugrundeliegende „Cyber-Defense und Security Modell“, das sich auf die vier Säulen stützt, anhand von Position-Statements erklärt [14].

International sind die Definition und Klassifikation der Sicherheits-Indikatoren in methodische Normungsprojekte eingebettet und vom Club R2GS begleitet: „Information Security Management“[6], „Information Security Incident Management“[7], „Selection, Deployment and Operations of Intrusion Detection and Prevention Systems“[8], „Guidelines for Security Information and Event Management“[9].

Q u e l l e n : [1] ETSI ISG Information Security Indicators (ISI) http://www.etsi.org/images/files/ETSITechnologyLeaflets/ InformationSecurityIndicators.pdf [2] ISI Quick Reference Card: Wikipedia “Information Security Indicators”, https:// en.wikipedia.org/wiki/Information_security_indicators, s.

“External links”. [3] R2GS Europe: http://www.linkedin.com/ groups/Club-R2GS-4725685/about [4] R2GS-SoSo Deutschland: http://www.school-of-technology.de/7.html [5] Common Criteria: https://www.commoncriteriaportal.org, http:// www.school-of-technology.de/resources/ccQRC.pdf I S O Q u e l l e n : [6] ISO/IEC 27004:2009 IT Security techniques- Information security management (ISM) – Measurements; [7] ISO/IEC 27035 (WD 2013) IT Security techniques – Information security incident management; [8] ISO/ IEC 27039:2006 IT Security techniques – Selection, deployment and operations of intrusion detection systems (IDPS); [9] ISO/ IEC 27044 (WD 2012) IT Security techniques – Guidelines for Security Information and Event Management (SIEM); [10] ISO/ IEC JTC1/SC27 N12739: Resolutions of the 25th SC 27 Plenary meeting held in Sophia Antipolis, France, 29th – 30th April 2013, Resolution 19 „Liaison Statements “ und Resolution 20 „Appointment of Liaison Officers“ [11] ISO/IEC JTC1/SC27 WG4 N12638: ETSI ISG ISI Liaison Request, 2013 W h i t e P a p e r s (www.school-of-technology.de): [12] Claudia Ermel, TUB, Jens Richter, Jan deMeer, ssl.eu GmbH: „Regel-gestützte Modellierung von Anwendungsszenarien Kritischer Infrastrukturen für Analyse und Ausbildung“ [13] Jan deMeer, ssl.eu GmbH: „Model-driven Safe & Secure Operation of a Virtual Power Plant“ (Industrie4.0), eingereicht zum FINESCE Open Call; [14] Jan deMeer, ssl. eu GmbH BEST IT2Energy Position Statements: PS01 Energie Lastprofilierung; PS02 Energiefluß-Steuerung; PS03 KRITIS Teilhabermodell; PS04 Maßnahmekatalog Energie-Effizienz;

Jens Richter ist Freiberufler im Bereich mobile Applikationen.

iSQI NEWS

Ausgabe 34 | März 2015

32

Aus dem iSQIKonferenzplaner Die iSQI GmbH ist auf qualifizierten und namhaften Veranstaltungen als Aussteller, Sponsor oder Co-Sponsor vertreten.

Treffen Sie die gefragten Spezialisten des iSQI am Stand oder erhalten Sie in Vorträgen immer topaktuelle Informationen zu Möglichkeiten der Zertifizierung von (IT-)Fachkräften: 17./18. März REConf® 2015 (Stand-Nr. A11) Unterschleißheim, Deutschland 18. März Swiss Testing Day (Stand-Nr. 26) Zürich, Schweiz 13.-17. April Mobile Dev + Test Conference San Diego, Kalifornien (USA) 22./23. April Apps World Germany (Stand-Nr. 59) Berlin, Deutschland 28.-30. April iqnite EUROPE 2015 (Stand-Nr. 6/7) Düsseldorf, Deutschland 30. April TestNet Nieuwegein, Niederlande Außerdem ist die iSQI GmbH mehrmals im Jahr bei den ASQF-Days vertreten.

Pilotkurse starten iSQIs Special Interest Group “CMAP Certified Mobile App Professional” kündigt ein neues Spezialisierungslevel im Bereich Test Automation an. Pilotkurse zum neuen CMAP Mobile App Test Automation starten im März in Berlin (Deutschland): 09.-11.03.2015 16.-18.03.2015 23.-25.03.2015 WEITERFÜHRENDE INFORMATIONEN UND KONTAKT ÜBER cmap@isqi.org.

iSQI gründet weitere Tochtergesellschaft Die bisherige britische Niederlassung des International Software Quality Institute ist zu Beginn des Jahres 2015 in eine eigenständige Tochterfirma umgewandelt worden. Damit gründete das Potsdamer Institut nach den Unternehmen in den Niederlanden und den USA die nunmehr dritte Tochtergesellschaft.

Managing Director der hundertprozentigen iSQI-Tochter ist die Britin Debbie Archer. Sie leitete bereits erfolgreich die Niederlassung in London. „Ich freue mich sehr über die Gründung der iSQI LTD und das mir entgegengebrachte Vertrauen als Managing Director. Dank der großartigen Unterstützung aller iSQI-Kollegen und zahlreicher Kunden konnte sich das Unternehmen im Jahr 2014 erfolg-

Debbie Archer

reich in Großbritannien etablieren. Der Erfolg ermutigt uns, das Geschäftsfeld im Jahr 2015 auszubauen, den Service für unsere Kunden zu erweitern und damit die Marke iSQI auf dem britischen Markt langfristig zu festigen“, sagte Debbie Archer.

HASTQB verlängert Exklusiv-Vertrag Mit der Verlängerung des Exklusiv-Vertrags für weitere zwei Jahre würdigt das Hispanic America Software Testing Qualifications Board (HASTQB) das International Software Quality Institute (iSQI GmbH) für seinen ausgezeichneten Service und seine langjährige Unterstützung.

Bereits im Jahr 2008 ernannte das HASTQB das iSQI zur exklusiven Zertifizierungsstelle für alle „ISTQB® Certified Tester“-Prüfungen. „Mit der Vertragsverlängerung bestätigt sich, dass die Investitionen in unser Produkt- und

Stephan Goericke

Service-Portfolio richtig waren. Im Laufe unserer langjährigen Partnerschaft mit dem HASTQB hat das iSQI fast 5.000 Zertifizierungsprüfungen abgenommen“, erklärt iSQI-CEO Stephan Goericke.

iSQI NEWS

33

Zertifikatsnachweis für Schlüsselqualifkation in der Software-Sicherheit Die steigende Komplexität und Vernetzung der IT haben dazu geführt, dass die Sicherheit im Software-Entwicklungsprozess als immer bedeutender erachtet wird. Das gemeinnützige International Secure Software Engineering Council (ISSECO®) hat es sich zur Aufgabe gemacht, Standards für die qualifizierte Tätigkeit in der Software-Sicherheit zu etablieren und hat hierfür die Zertifizierung zum Certified Professional for Secure Software Engineering geschaffen. Stetig weiterentwickelt von anerkannten SoftwareExperten und Wissenschaftlern bietet das ISSECO-Zertifikat die bestmögliche Qualifikation im Bereich Software-

Sicherheit. Zertifikatsinhaber weisen nach, dass sie ihr Wissen in allen Phasen des Entwicklungsprozesses einsetzen können; darunter Requirements Engineering, Design & Specification, Programming & Testing, Evaluation, Distribution & Maintenance. Das Zertifikat richtet sich insbesondere an Requirements Engineers, SoftwareArchitekten, -Designer, -Entwickler und -Tester, aber auch Software-Quality-Manager und Projektmanager.

AUSFÜHRLICHE INFORMATIONEN ZUM CERTIFIED PROFESSIONAL FOR SECURE SOFTWARE ENGINEERING UND ANSPRECHPARTNER AUF www.isqi.org/de/zertifikate.html

Software Quality Days 2015 Konferenz punktet mit Mobility und Qualität als Schwerpunktthema Vier Tage lang drehte sich in Wien alles um Software-Qualität. Bereits zum siebenten Mal in Folge fanden vom 20. bis 23. Januar 2015 die Software Quality Days im Austria Trend Hotel Savoyen statt. Veranstaltet wurde der viertägige Kongress von der Software Quality Lab GmbH. Dieses Mal lag der Schwerpunkt auf dem Thema „Software and Systems Quality in Distributed and Mobile Environments”. Rund 350 Teilnehmer aus über 20 Ländern nutzten die Veranstaltung als Plattform für Informationsaustausch, Interaktion und Networking. Die Zusammensetzung der Teilnehmer war eine bunte Mischung aus Wirtschaft, Industrie, Anbietern und Anwendern und dem universitären Bereich. „Mit dem Themenschwerpunkt waren die Software Quality Days auch dieses Mal am Puls der Zeit. Darüber hinaus bot die Konferenz in fünf parallelen Vortrags-Tracks ein breit gefächertes Spektrum an Vorträgen mit aktuellen Themen des modernen Software-Engineerings. Alles sehr praxisnah und für jeden Teilnehmer eine Bereicherung.“ erklärte

Transatlantische Partnerschaft: iSQI kooperiert mit ITMPI Durch eine starke neue Kooperation des iSQI mit dem IT Metrics and Productivity Institute (ITMPI), Pennsylvania (USA), eröffnen sich für ASQF-Mitglieder neue Fortbildungsmöglichkeiten. Nach erfolgreichen Verhandlungen durch die iSQI, Inc. in den USA, unterzeichneten beide Seiten Ende Februar eine Absichtserklärung zur Zusammenarbeit.

Das ITMPI ist einer der weltweit führenden Anbieter für On-demandWeiterbildung im Bereich IT-Management, Projektmanagement und Software-Entwicklung. Die renommierte Einrichtung hat dafür eine der weltweit größten Online-Bibliotheken aufgebaut.

„Eine Investition in Wissen bringt noch immer die besten Zinsen.“ Benjamin Franklin Drucker, Schriftsteller und einer der Gründungsväter der USA

Klaus Veselko, Geschäftsführer des Veranstalters Software Quality Lab. Britta Mühlenberg vom International Software Quality Institute berichtete über ein stark gestiegenes Interesse an Zertifizierungsnachweisen im Feld der agilen Software-Entwicklung. So wurden vor allem der iSQI ® CAT Certified Agile Tester aus dem iSQI Agile Teaming-Portfolio und der ISTQB ® Certified Tester − Foundation Level Extension, Agile Tester nachgefragt.

Der nächste Termin für die jährlich stattfindenden Software Quality Days steht bereits fest. Vom 18. bis 21. Januar 2016 öffnet die viertägige Messe wieder ihre Pforten.

„Lebenslanges Lernen ist eine Grundvoraussetzung für den beruflichen Erfolg. Es ist deshalb für alle Berufstätigen unverzichtbar, sich regelmäßig weiterzubilden. Die neue Kooperation mit dem ITMPI ermöglicht ASQF-Mitgliedern den Zugang zum aktuellsten Expertenwissen weltweit führender IT-Leader und den regelmäßigen Austausch von Praxiserfahrung“, erklärt iSQICEO Stephan Goericke. So erhalten ASQF-Mitglieder durch die exklusive Kooperation nicht nur vollen Zugriff auf die gesamte Online-Bibliothek des ITMPI, sondern auch einen sechs Monate gültigen Zugang zu weiteren Lehrangeboten des Instituts.

International

Ausgabe 34 | März 2015

34

Use synthetic data to avoid data breaches in the database – for a working system, these two pieces of information must align together. So, even when the individual amounts are masked, then the total must also be masked consistently, such that the masked total is equal to the sum of the masked individual amounts.

W

hen AOL released a compiled, cross-linked history of internet searches, they assumed that masking the data on a field level had removed any personally identifiable information. Yet, “Searcher No. 4417799” was quickly identified by cross-referencing the data with external information. Ms Arnold was named from searches which included geographical indicators like “landscapers in Lilburn, Ga“ and, “homes sold in shadow lake subdivision gwinnett county georgia‘‘, as well as the numerous searches for people with the surname Arnold [1].

This reflects an inherent weakness of using masked data in non-production environments, namely that it is near impossible to remove all identifiable information from a database, while retaining inter-column relationships.

An attacker will always be able to deduce some sensitive information from a masked database, granting two things. First, that they view the data from the point of view of a data architect – i.e., someone who uses data profiling to gain a better understanding of the data through analysis.

Second, that they have information

external to the data under consideration, such as the time which an individual made a bank transaction.

The only way to truly avoid this danger is to not use production data in non-production environments. Combining powerful data profiling techniques with synthetic data generation can provide testers with data containing even the most complex characteristics of production data, but with none of the original information, in any form. This removes the risk of the data being de-anonymised using an external cross-reference, and is also often easier to implement in practice.

I will now substantiate this claim with reference to the nature of masked data itself.

When data is masked for use in testing a system, the column relationships have to be maintained. At the simple level, this means that referential integrity is maintained. At a more complex level, it means that the more complex column relationships are also maintained. An example is a set of transaction logs where there is a “transaction total” field elsewhere

At the most complex level, however, it also means that temporal data relationships are maintained. Extending the transactions example, if there is a time-based total (such as in an audit log), then the masked total of any given time interval must be equal to the sum of the masked amounts in the same time interval. Consistent masking of all three pieces of information (personal, amounts and time) is extremely difficult, however, and usually one is forsaken.

Most masking therefore only focuses on the content, as well as some inter-system and intra-system relationships, insofar as to ensure referential integrity. In this case, however, the attacker could extract sensitive information using a piece of information external to the data, as claimed.

Say, for example, that they know a certain person made a transaction of a certain amount at a certain place in time. This information is not necessarily contained in the content of the masked data set (i.e. the personallyidentifiable content of the data which has been masked) but at least one of the three pieces of the information is known: usually the transaction time, even if it is relative, and sometimes the amount as well, since both of these are extremely difficult to mask consistently.

In this instance, a data architect-cumattacker could correlate their information with the complex trends of the masked data, and then work across inter-system and intra-system dependencies to extract sensitive content.

International

35

Even assuming that all aspects of the data have been masked as effectively as possible, a skilled data architect could still extract sensitive information preserved in the more complex aspects of the masked data. They could then correlate it to their external information, with just a bit more effort.

For example, they could identify the causal cascade effects of a transaction log by combining intra-system, inter-system and causal information with temporal methods such as a snapshot comparison. It would then be possible to deduce any causal cascade effects that may be present, such as any triggers firing on the database, correlating this with temporal information external to the data.

In both instances – when only the content has been masked, or when masking has been as effective as possible – a set of masked data is only as

strong as its weakest link. Once sensitive information has been identified in one database, it can be identified across databases and systems, as inter-system and intra-system integrity has been retained.

creates realistic data that reflects even the most complex aspects of the data, but with none of the identifiable information. What’s more, given the difficulty of effectively masking data so that complex column relationships and temporal data relationships are maintained, synthetically generating data will often prove to be the quicker, more practical option.

Taking the easier option of just masking content leaves you exposed, albeit compliant, and an attacker would be able to extract sensitive information using information external to the data. But, the effort of masking data on every level would still be in vain if a skilled data architect were to attack. In this instance, some complex information from the original data is almost inevitably retained, and the attacker could still correlate this with information external to the data.

[1] http://query.nytimes.com/gst/abstract.html?res=9E0CE 3DD1F3FF93AA3575BC0A9609C8B63

Llyr Wyn Jones, Senior Programmer, Grid-Tools

Only synthetic data generation bypasses the problem entirely, as it

Anzeige

5. sepp.med Expertensymposium

010110101010010010010001001 ® 10 101101 010100100100100010100010100 101110100100100100100010010 0010010010100100 1010101010 ® 101101 101 101001010100100101010111010 010010111010100010010101011 010010100101100100101001010 010110101010010010010001001 010110101010010010010001001 010110101010010010010001001 ® 11010 010010 10101 10 1011 01000100010 010100100100100010100010100 010100100100100010100010100010100100100100010100010100 101110100100100100100010010 101110100100100100100010010 101110100100100100100010010 0010010010100100 1010101010 0010010010100100 1010101010 0010010010100100 1010101010 ® 0101011001 101 11101 0010010110010 00101101 11101 101001010100100101010111010 101001010100100101010111010 101001010100100101010111010 010010111010100010010101011 010010111010100010010101011 010010111010100010010101011 010010100101100100101001010 010010100101100100101001010 010010100101100100101001010

21. Mai 2015, Novina Hotel Herzogenaurach Herzo Base

IEC 61408

„Trends in SW-Entwicklung und Test für sicherheitskritischeSCRUM Systeme und Domänen“ Namhafte Referenten - Networking - Erfahrungsaustausch - interessante Ausstellung

0101101010100100100100010010 0100010001001110101010010010 0100010100010100101110100100 100 001111110010110011 01001001001010010100100 1010 1110101001001010100101010010 010101011 01100 1010010101011010010100101100 1010010101001010100101001010

DO178

JAVA

FDA

010110101010010010010001001 0010111 0110 010100100100100010100010100 101110100100100100100010010 0010010010100100 1010101010 1110110 010110010 101001010100100101010111010 010010111010100010010101011 010010100101100100101001010

Do 178

010110101010010010010001001 0100010 10101 010100100100100010100010100 101110100100100100100010010 0010010010100100 1010101010 11101 001001011001 101001010100100101010111010 010010111010100010010101011 010010100101100100101001010

ISO 9241

SPICE

010110101010010010010001001 11010 01000100010 010100100100100010100010100 101110 MPG 00100100100010010 0010010010100100 1010101010 0010010110010 11101 101001010100100101010111010 010010111010100010010101011 010010100101100100101001010

MPG

ISO 26262

www.expertensymposium.de

Abendveranstaltung: Agiles Biertesten auf der 260. Erlanger Bergkirchweih

iSQI CAE

iSQI CMBT

GAMP 5

Jetzt anmelden und Frühbucherrabatt (bis 01. April 2015) sichern!

Mit der Unterstützung von:

ISTQB CTFL

IREB CPRE

AAMI

010110101010010010010001001 010010 0100010 010100100100100010100010100 101110100100100100100010010 0010010010100100 1010101010 101 1010110010 101001010100100101010111010 010010111010100010010101011 010010100101100100101001010

ISO 13485

ISO 14971

Branchenticker

Ausgabe 34 | März 2015

36

Unternehmensszene Sogeti begeht 15-jähriges Jubiläum

Kruse ist Berater bei CGI Eckehard Kruse ist seit Oktober 2014 Berater für Testdatenmanagement bei CGI. Vorher verantwortete er diesen Bereich bei der GFB IT Consulting & Services GmbH in Oberursel. Sein besonderes Interesse liegt in der Steigerung von Software-Qualität und Projekteffizienz.

Am 1. März feiert die Sogeti Deutschland GmbH ihr 15-jähriges Betriebsjubiläum. Als lokal ausgerichtetes ITBeratungsunternehmen mit über 350 Mitarbeitern bietet Sogeti Beratungsservices zum Thema „Testen von Software und Qualitätssicherung“.

Sogeti unterstützt Unternehmen bei der Implementierung einer strukturierten Testvorgehensweise, bei der Optimierung von Testprozessen, im Testmanagement sowie bei der Testdurchführung – auch zu zukunftsweisenden Themen wie Cloud, Mobility und Agility. Sogeti ist Mitherausgeber der jährlichen IT-Studie „World Quality Report“ mit konkreten Aussagen über Trends und Entwicklungen zum deutschen IT- und QS-Markt.

Seminar zu IT-Security Am 20. und 21. Mai 2015, veranstaltet der Club R2GS gemeinsam mit dem ASQF ein Seminar zu den Themen „Cyber-Security & Defense“, „Kontroll- und Steuerungsmechanismen in Infrastrukturen“ sowie „EU ITGesetzgebung, Standardisierung und Verantwortlichkeiten im Konzept des Cyber Citizen“ im brandenburgischen Steinhöfel.

ANMELDUNG UND WEITERFÜHRENDE INFORMATIONEN UNTER www.asqf.de/fachgruppentermine-anzeige/ events/id-21-22052015-r2gs-schloss-steinhoefelseminar-fuerstenwalde.html

T U R G AON LAT Als Partner der ersten Stunde gratulieren wir den Organisatoren des Agile Testing Days zur Auszeichnung als

Best Agile Conference in Europe and second best in the World* Auch 2015 ist das iSQI wieder als Goldsponsor vertreten und informiert Sie über das „iSQI Agile Teaming“- Portfolio und das weltweit etablierte Schulungs- und Zertifizierungsprogramm iSQI® CAT Certified Agile Tester

www.isqi.org CERTiFYING PEOPLE

* verliehen durch: softwaredevelopmenttoday.com

37

Automotive & Testing Day BaWü startet Am 23. April veranstaltet der ASQF den Automotive & Testing Day BaWü. Unter dem Motto „Tester mit Drive“ startet die Veranstaltung am Nachmittag und bietet mit zwei parallel laufenden Tracks viel kompakt aufbereitetes Fachwissen. Eine spannende Keynote zum autonomen Fahren und viele Fachvorträge mit viel Raum für Diskussion, Austausch und Kommunikation bieten ein abwechslungsreiches Event.

WEITERFÜHRENDE INFORMATIONEN UND ANMELDUNG UNTER www.asqf.de/fachgruppentermine-anzeige/events/id23042015-automotive-testing-day-bawue.html

Applause und Tricentis koo­perieren für ganzheitlichen App-Testing-Ansatz Der App-Entwickler Applause und Tricentis, einer der weltweiten Marktführer von SoftwareTesting-Lösungen für Unternehmen, wollen künftig ein ganzheitliches App-Testing aus einer Hand anbieten. Nach Aussagen der beiden Kooperationspartner soll damit Nutzern von mobilen Web-Applikationen unabhängig von Gerätetypus, Betriebssystem, Telefonanbieter oder Standort das bestmögliche Erlebnis geboten werden.

IAV nimmt neuen Standort in Stollberg in Betrieb Zum Jahresbeginn eröffnete IAV, Spezialist für Automotive Engineering, einen neuen Standort im sächsischen Stollberg bei Chemnitz. Unter anderem stehen ein modernes Motoren-Prüffeld und weitere technische Anlagen zur Verfügung. In den kommenden Jahren ist ein weiterer Ausbau des Entwicklungszentrums Chemnitz/ Stollberg geplant.

Buchvorstellung

Ausgabe 34 | März 2015

38

Kryptografie: Verfahren – Protokolle – Infrastrukturen Das Thema Kryptografie kann aus verschiedenen Perspektiven betrachtet werden: Zum einem in Form von populärwissenschaftlichen Nachrichten, die gelegentlich über ‚Erfolge‘ von Hackern berichten, welche den Zugang zu Systemen „geknackt“ haben oder zum anderen aus theoretischer Sicht, bei der die Wissenschaft der Verschlüsselung von Informationen im Vordergrund steht.

Unumgänglich sind in jedem Fall die der Kryptografie zu Grunde liegenden mathematischen Verfahren, welche insbesondere von Studenten der Informatik nicht vergessen werden. Um diesen folgen zu können, sind Kenntnisse in der Zahlentheorie und vor allem Techniken aus der (Prädikaten)Logik hilfreich.

Kryptografie: Verfahren - Protokolle – Infrastrukturen von Klaus Schmeh Seiten: 846 Preis: 54,90 EUR dpunkt.verlag; Auflage: 5., aktualisierte Auflage (27. Februar 2013) ISBN-10: 3864900158 ISBN-13: 978-3864900150

Auf über 800 Seiten und in sechs Teile gegliedert, widmet sich der Autor Klaus Schmeh zunächst der Historie der Kryptografie. Bei der Beschreibung moderner Verschlüsselungsmethoden versäumt es der Autor nicht, die Entwicklung bis zum heutigen Stand einzuflechten – ohne dabei ausufernd zu werden.

Ausführlich und durch Grafiken aufgewertet wird der Aufbau symmetrischer und asymmetrischer Verschlüsselungsverfahren beleuchtet oder Einwegfunktionen dargelegt, um zum Beispiel das RSA-Verfahren zu verstehen. Selbst „trockene“ Themen wie „Digitale Signatur“, Stromchiffren oder Public-Key-Infrastrukturen (PKI) werden spannend transportiert. Ein Teil des Buches widmet sich der Implementierung von Kryptografie: Dabei werden auch Einblicke in die Möglichkeiten der Hard- und Software oder der verteilten Authentifizierung gegeben, was dem Buch eine praktische Note verleiht. Netzwerktechniker und Administratoren werden sich über die Ausführungen zu den krypto-

grafischen Netzwerkprotokollen aus der Sicht der verschiedenen Schichten des OSI-Modells freuen.

Fazit Erfreulicherweise gelingt es dem Autor die theoretischen Aspekte der Kryptografie geschickt zu verpacken, sodass Interessenten von Hashund Signatur-Verfahren oder der Verschlüsselung den strukturierten Ausführungen folgen können. Dabei entsprechen die Inhalte sowohl akademischen Anforderungen, wie auch denen von potentiellen praktischen Umsetzungen, wie z.B. in der Programmierung. Der anerkannte Krypto-Experte Klaus Schmeh bedient sich zahlreicher Skizzen, um Sachverhalte anschaulich darzulegen, was sowohl der Lesbarkeit, wie auch dem Interesse an den Inhalten signifikant dienlich ist. Hardcore-Programmierer und Mathematiker werden eventuell zu anderen Publikationen greifen wollen, aber jene sind vermutlich nicht die Zielgruppe der Publikation. In das Buch, welches mittlerweile in der 5., aktualisierten Auflage erschienen ist, sind neue Entwicklungen eingeflossen und es kann zu Recht als deutschsprachige Experten-Referenz zum Thema „Kryptografie“ angesehen werden.

Frank Große ist Diplom-Informatiker mit psychologischer Zusatzausbildung.

Seit vielen Jahren wirkt er als freiberuflicher Journalist / Copywriter und SEOExperte für diverse Publikationen Print und Online.

Im Fokus

39

Rollen und Zuständigkeiten im Testdatenmanagement Eckehard Kruse Die Herstellung zuverlässiger Software erfordert professionelle Testverfahren. Eine wesentliche Voraussetzung dafür sind gut ausgebildete Fachkräfte mit Erfahrung. Offiziell gibt es verschiedene Rollenfunktionen in der Berufslandschaft des Testdatenmanagements. Doch wie sehen diese konkret aus und welche Anforderungen liegen ihnen zu Grunde? Mit dem Ziel, das Berufsprofil im Testdatenmanagement weiter zu schärfen, hat die gleichnamige ASQF-Arbeitsgruppe drei Rollenbeschreibungen mit Aufgaben, Verantwortlichkeiten und Qualifikationsanforderungen erarbeitet. So wird zwischen dem Testdatenmanager, dem Testdatenmodellierer und dem Testdatenrealisierer unterschieden.

Die Rollen orientieren sich an den Phasen des TestdatenmanagementProzesses [1]. Sie können in der Realität in Personalunion besetzt werden. Sofern kein eigenständiges Testdatenmanagement im Projekt implementiert ist, können Rollen vom Testmanager und vom Tester bzw.

Entwickler übernommen werden.

Die folgende Übersicht der ASQFArbeitsgruppe stellt die wichtigsten Punkte zu den einzelnen Rollen gegenüber: Testdatenmanager Der Testdatenmanager (TD) ist für die Planung und Koordination des TDProzesses verantwortlich, um die im Testprozess benötigten Testdaten zeitgerecht und in der geforderten Quali-

tät bereitzustellen. Der TD-Manager sollte mehrjährige Testerfahrung besitzen und den Testdatenmanagement-Prozess gut kennen. Er benötigt Kenntnisse über die Methoden und Werkzeuge zur Testdatenbeschaffung und -erzeugung, sowie über regulatorische Anforderungen.

Testdatenkonzept (projektspefisch) erstellen Testdatenabschlussbericht erstellen und freigeben Abstimmung mit Beteiligten (z.B. Datenschutzbeauftragten, Rechenzentrum, andere TDM, Fachbereichen,...)

Der Begriff des Testdatenmanagers kann in kleinen Projekten als Oberbegriff für alle Rollen im Testdatenmanagement verwendet werden.

Verantwortlichkeit/Befugnis: Einhaltung der regulatorischen Vorgaben Eskalation an Testmanager termingerechte Bereitstellung der TD in der vereinbarten Qualität

Aufgaben: TD-Prozess planen und steuern Status des TD-Prozesses berichten Entscheidungen zum Einsatz von TD-Werkzeugen treffen/unterstüt zen Testdatenrichtlinie (nicht pro jektspezifisch) erstellen

Kompetenzstufe: Die Rolle TDM kann unterschiedlich ausgestaltet werden: Projektebene domänenspezifisch Organisationsebene

Der Testdatenmanagementprozess wurde als Arbeitsergebnis der ASQF Arbeitsgruppe Testdatenmanagement im SQ-Magazin Juni 2014 veröffentlicht und ist auf den Seiten des ASQF einsehbar. https://www.asqf.de/tl_files/asqf/bilder/publikationen/140601%20ASQF%20Testdatenmanagement%20Prozess.pdfa 1

Im Fokus Qualifikation: Erfahrung in IT-Projekten gute Kenntnisse von Standards in Testprozessen (z.B. ISTQB, TMAP, ITIL,...) gute Kenntnisse von Datenhaltungssystemen vertiefte Kenntnisse in TDM- und integrierten TM-Werkzeugen Kenntnisse von Methoden zur Bereitstellung und Erzeugung von TD vertiefte Kenntnisse von Konfigurationsmanagement-Werkzeugen

Ausgabe 34 | März 2015

Kenntnisse über IT-Architekturen und Datenstrukturen tiefe Kenntnisse in den Datenstrukturen des Testobjektes gute Kenntnisse von Datenhaltungssystemen vertiefte Kenntnisse von Methoden zur Bereitstellung und Erzeugung von TD vertiefte Kenntnisse in TDM- und integrierten TM-Werkzeugen umfassende Kenntnisse regulatorischer Anforderungen (z. B. Datenschutz)

40

Bedienung von TD-Tools, Versionsverwaltung und Archivierung Testdatenbereitstellungsroutinen erstellen Testdatenbereitstellungsplan erstellen Der Testdatenrealisierer führt die drei folgenden Teilprozesse des Testdatenmanagementprozesses aus: Testdatenbereitstellung vorbereiten Testdaten bereitstellen Testdaten archivieren

Testdatenmodellierer Testdatenrealisierer Der Testdatenmodellierer analysiert auf Basis des TD-Konzepts die Anforderungen, Testfälle, Systemarchitekturen und Datenmodelle mit dem Ziel, den Testdatenbedarf zu identifizieren.

Dabei muss er bereits die regulatorischen Anforderungen mit in Betracht ziehen, soweit sie die bereitzustellenden Testdaten betreffen.

Aufgaben: Testfälle, TD-Anforderungen analysieren und prüfen Testobjekte, Testumgebungen, Systemumgebungen analysieren Testdatenspezifikation erstellen unter Berücksichtigung von regulatorischen Anforderungen (z.B. Datenschutz) Ggf. Erstellen von Musterdaten (Datenbeispiele (Datenmuster), welche die benötigten Testdaten in ihrer Struktur und ihrem Format über möglichst alle relevanten Äquivalenzklassen veranschaulichen) Empfehlungen an Testdatenmanager (z.B. TD-Quellen) geben Verantwortlichkeit/Befugnis: Fachliche Spezifikation der Testdaten (Inhalt, Menge, Qualität, Quelle, Komplexität) Kompetenzstufe: nicht relevant Qualifikationen: ISTQB-Qualifikation (Foundation Level)

Der Testdatenrealisierer ist für die Bereitstellung und Erzeugung der Testdaten zuständig. Dabei erfolgt die Erzeugung innerhalb der festgelegten Testdatenstrategie und anhand der vom Testdatenmodellierer aufgestellten Testdatenspezifikation. Ihm obliegt die konkrete Durchführung der TDM-Aktivitäten (u.a. Testdaten erzeugen, bereitstellen, vergleichen, dokumentieren und archivieren).

Diese Rolle kann unterschiedliche Schwerpunkte haben, wie z.B.:

Automatisierung der Erzeugung synthetischer TD Bereitstellung von ggf. bearbeiteten Produktionsdaten (Kopieren, Extrahieren, Anonymisieren, Pseudonymisieren,...)

Aufgaben: Zu den Aufgaben gehören u.a.: Bereitstellung von Testdatenkonfigurationen Bereitstellung von Testdaten entsprechend der vorhergehenden Spezifikation Generierung, Anonymisierung, Pseudonymisierung von Daten Anpassung und Pflege von Testdaten dokumentieren und archivieren von TD und der Bereitstellung automatisieren der Bereitstellung von TD einspielen von TD in Testumgebungen

Verantwortlichkeit/Befugnis: Technische Umsetzung der Testdatenspezifikation Kompetenzstufe: keine Qualifikationen: tiefe Kenntnisse in den Datenstrukturen des Testobjektes

Bedienung der Schnittstellen zu Testmanagementsystemen Werkzeugkenntnisse Programmierkenntnisse vertiefte Kenntnisse in Versionsverwaltungs- und Archivierungssystemen Weiterführende Informationen zu den Rollen im Testdatenmanagement sowie Testprozessen Testdatenmanagement stehen unter: www.asqf.de/ ag-testdatemanagement.html zum Download bereit.

Eckehard Kruse ist seit Oktober 2014 Berater für Testdatenmanagement bei CGI. Er ist Gründungsmitglied und Sprecher der Arbeitsgruppe „Testdatenmanagement“ des ASQF.

INFOS

ANMELDUNG

www.conquest-conference.com

IT in Business, Industry & Public

Nürnberg | 17. + 18. November 2015

Für alle Early Birds

Jetzt das 2-Ta

gesticket zum Preis des 1-Tagestickets sichern!

Jetzt Tickets sichern oder Aussteller werden und Vorteile nutzen!

mehr auf: www.conquest-conference.com Top-Referenten u.a.:

Catharina van Delden

Volker Smid

Thomas Spreitzer

Thomas Schott

Klaus Vitt

Geschäftsführerin & Gründerin innosabi

Geschäftsführer Holtzbrinck Publishing

Chief Marketing Officer T-Systems

Chief Information Officer REHAU

Chief Information Officer Bundesagentur für Arbeit

Sponsoren

Unter der Schirmherrschaft von: Dr. Markus Söder Bayerischer Staatsminister der Finanzen, für Landesentwicklung und Heimat

Mit freundlicher Unterstützung von:

Prof. August-Wilhelm Scheer

Im Fokus

Ausgabe 34 | März 2015

42

Service-Virtualisierung

Die Simulation komplexer Systeme für kosteneffiziente Testumgebungen Roman Rohrer & Vincent Bayer

In der heutigen Zeit ist eines der zentralen Probleme im Software-Test die Verfügbarkeit und Qualität von Systemumgebungen: Kaum eine Applikation steht für sich alleine da, große Integrationsszenarien stehen an der Tagesordnung. Vor allem bei agilen Entwicklungsmethoden – bei denen der Fortschritt in erster Linie an ausführbarem, testbarem Code gemessen wird – und bei komplexen serviceorientierten Architekturen – bei denen die Programmlogik über mehrere unabhängige Services verteilt wird – kommt es häufig zu Verzögerungen. Und das sowohl im Test als auch in der Entwicklung, da einzelne Systemkomponenten nicht zur Verfügung stehen. Eine Möglichkeit, diese Probleme in den Griff zu bekommen, bietet das Konzept der Service-Virtualisierung (SV). „Virtualisierung“ wird oft als Synonym für die Virtualisierung von Hardware-Komponenten und Betriebssys-

MAINFRAME

MARKET SERVICES

DB

temen verwendet. Dieses Konzept lässt sich auch auf Webservices und andere Software-Komponenten übertragen: Mit Service-Virtualisierung ist die zentrale, möglichst einfach gehaltene Simulation von SoftwareKomponenten in heterogenen Systemlandschaften gemeint. Speziell betrachtet werden dabei Verhalten, Daten und Performance-Merkmale.

Der Begriff SV beschränkt sich nicht nur auf Webservices. Es kann sich um verschiedenste Systeme handeln, die definierte Protokolle und Schnittstellen für den Nachrichtenaustausch verwenden, von ESB-Technologien bis hin zu Host-Schnittstellen oder Datenbankanbindungen.

Warum Service-Virtualisierung?

Häufig stehen einzelne Schnittstellen und Systemkomponenten, die zur Durchführung von Testfällen erforderlich sind, nicht zur Verfügung.

Die Gründe dafür können vielfältig sein, möglicherweise sind Schnittstellen aufgrund von Betriebs- oder Lizenzkosten auf der Testumgebung nicht vorhanden oder einzelne Kom-

VIRTUELLE UMGEBUNG

GERADE NICHT VERFÜGBAR NICHT BEREIT

SaaS

LOCAL SERVICE ( SOA )

$

UNVOLLSTÄNDIG

MAINFRAME LOCAL APP

$ GEBÜHREN

GEBÜHREN

LOCAL SERVICE

LOCAL APP

STÄNDIGE VERFÜGBARKEIT HYBRID SERVICE LAYER

HYBRID SERVICE LAYER

APP 1

APP 2

Eingeschränkt verfügbare Systemumgebung

APP 3

APP 1

APP 2

Systemumgebung mit Service-Virtualisierung

APP 3

ponenten sind noch nicht entwickelt worden. Externe Schnittstellen von Drittanbietern können ebenfalls problematisch sein, z.B. Kreditkartenbezahlsysteme oder Systeme, die der Bonitätsprüfung dienen. Die Idee hinter der SV ist es, die nicht verfügbaren Komponenten – sofern sie nicht im Scope des Tests sind – durch virtuelle zu ersetzen und deren Verhalten zu simulieren.

Vor allem in größeren, komplexen Systemumgebungen ist es oft schwierig, alle Systeme in einem konsistenten Zustand zu halten, wodurch Testdaten nicht in allen Systemen zur Verfügung stehen. Durch die Virtualisierung der Komponenten, die diese Daten anbieten, können von den Echtsystemen unabhängige Daten dauerhaft angeboten werden.

Service-Virtualisierung kann dazu beitragen, die Entwicklungs- und Testkosten zu senken und die Qualität der Software zu erhöhen. Durch den Einsatz von virtualisierten Systemen kann Entwicklern sowie Testern rascher und kostengünstiger eine stabile Umgebung zur Verfügung gestellt werden als es mit traditionellen Methoden möglich wäre. Durch einen zeitgerechten Teststart, auf einer früheren Stufe des Entwicklungsprozesses, können Fehler gefunden werden, wenn es noch günstig ist, diese zu beheben. Abhängigkeiten zwischen einzelnen Komponenten können aufgelöst werden. Zudem sind Entwickler in der Lage, schneller qualitativ hochwertigeren Code zu erzeugen, während Tester in der Lage sind, Programme früher zu testen. Durch die Möglichkeit der Simulation von Fehlerszenarien kann eine höhere Testabdeckung erzielt werden. Auf Grund persistenter Testdaten können Testfälle, zum Beispiel für Regressionstests, einfacher automatisiert werden.

dpunkt.aktuell

Im Fokus

43

U. Vigenschow

APM – Agiles Projektmanagement

Technische Umsetzung

und

organisatorische

Virtuelle Services können entweder anhand konkreter Daten oder anhand der Servicespezifikation in drei Schritten erstellt werden: 1. Zuerst müssen die Daten für die Virtualisierung bereitgestellt werden. Dafür gibt es unterschiedliche Möglichkeiten: Entweder wird eine Schnittstellendefinition verwendet, z.B. in Form eines WSDL-Dokuments, oder konkrete Daten, z.B. aus Logs oder aufgezeichnetem Netzwerktraffic.

2. Im nächsten Schritt müssen die Daten modelliert werden. Es besteht die Möglichkeit, Parameter aus den Requests in den Responses zu übernehmen, eine gewisse Logik einzubauen und dynamische Werte zu verwenden. Diese Logik sollte allerdings möglichst einfach gehalten werden. Es ist nicht das Ziel, Systeme nachzubauen. Anhand von Parametern und Werten in den Requests wird bestimmt, welche Response an den Client geschickt werden soll.

3. Im letzten Schritt werden die Services den Clients zur Verfügung gestellt, sodass sie für Tests verwendet werden können: Die virtuellen Services werden zentral verwaltet und können von den Clients wie die Echtsysteme verwendet werden.

Anspruchsvolle Softwareprojekte erfolgreich steuern

den. Sie können sowohl von Testern als auch von Entwicklern parallel eingesetzt werden; alle haben dieselben Voraussetzungen. Services müssen nicht von unterschiedlichen Abteilungen oder Projekten mehrmals virtualisiert werden – das spart Zeit und Geld.

Wirklich nützlich ist der Einsatz von SV jedoch nur dann, wenn die virtuellen Services auch gewartet werden, so muss beispielsweise auf Schnittstellenänderungen reagiert werden und die Simulationen müssen angepasst werden.

2015, 459 Seiten E 44,90 (D) ISBN 978-3-86490-211-6

T. Weilkiens, C. Weiss, A. Grass, K. N. Duggen

Basiswissen Geschäftsprozessmanagement Aus- und Weiterbildung zum OMG Certified Expert in Business Process Management 2 (OCEB 2) – Fundamental Level 2. Auflage

2015, 228 Seiten E 36,90 (D) ISBN 978-3-86490-193-5

Fazit Der virtuelle Weg im Software-Test ist die Antwort auf steigende Anforderungen, weniger Zeit sowie immer kürzer werdende Releasezyklen. SV bietet die Möglichkeit, vollständige Kontrolle über das eigene Testsystem zu erhalten. Testausfallzeiten, Risiken und Kosten können minimiert und die Entwicklung kann beschleunigt werden. Die Einführung von SV ist mit Kosten verbunden und auch für die Wartung werden Ressourcen benötigt. Investitionen, die sich jedoch langfristig durchaus bezahlt machen: Durch die unternehmensweite Umsetzung und den hohen Grad an Wiederverwendbarkeit ist eher früher als später mit einem Return on Investment zu rechnen.

M. Unterauer

Workshops im Requirements Engineering Methoden, Checklisten und Best Practices für die Ermittlung von Anforderungen

2015, 186 Seiten E 29,90 (D) ISBN 978-3-86490-231-4

M. Gharbi, A. Koschel, A. Rausch, G. Starke

Basiswissen für Softwarearchitekten Aus- und Weiterbildung nach iSAQB-Standard zum Certified Professional for Software Architecture – Foundation Level 2. Auflage

2015, 220 Seiten E 32,90 (D) ISBN 978-3-86490-165-2 Eberhard Wolff

Continuous Delivery

Ein wesentliches Merkmal von SV ist, dass die virtuellen Services im Unternehmen zentral zur Verfügung gestellt, verwaltet und gewartet wer-

Der pragmatische Einstieg

2015, 264 Seiten E 34,90 (D) ISBN 978-3-86490-208-6

ok: /plus e + E-Bo Buch .dpunkt.d www

Roman Rohrer (l.) und Vincent Bayer sind Experten für Software-Test, Service Virtualisierung und Testautomatisierung bei ANECON. Beide sind neben ihrer Projekttätigkeit als Fachautoren und Vortragende aktiv.

Wieblinger Weg 17 · D-69123 Heidelberg fon: 0 62 21 / 14 83 40 · fax: 14 83 99 e-mail: bestellung@dpunkt.de

www.dpunkt.de

Im Fokus

Ausgabe 33 | Dezember 2014

44

Software-Qualitätssicherung mit Business-Fokus Klaus Haller

Viele Tester sammeln lieber technische Fehler in Defect-Listen, anstelle dem Business zwei Fragen zu beantworten: Können die Anwender mit der neuen Software problemlos ihre wichtigen Geschäftsprozesse ausführen? Drohen qualitätsbedingte Verzögerungen bei der Auslieferung der Software? Wer sich als Tester stärker auf die Erwartungen des Business ausrichten will, findet hier vier Thesen.

These 1: Auftraggeber wollen keine perfekte Software (bezahlen).

Das kollektive Gedächtnis der ITIndustrie kennt viele gescheiterte Software-Projekte. Wie Wunderheiler im Mittelalter versprechen Consulting-Firmen oder die InformatikForschung, dass ihre – und nur ihre – Methoden und Tools fehlerfreie Software „on time in budget“ garantieren. In der Praxis scheitern Projekte meist nicht an der Methode sondern am Missmanagement, überforderten Mitarbeitern oder einem chaotischen Umfeld. Das ist aber kein Spezifikum für IT-Projekte, wie der Bau des neuen Berliner Flughafens zeigt. Software kann sehr wohl perfekt sein, wenn der Auftraggeber es will.

Flugzeuge sind der beste Beweis.

Dank ausgereifter Steuerungs-Software sind Flugzeugunglücke wegen Software-Problemen praktisch unbekannt. Die gleichen Flugzeuge haben auch Entertainment-Systeme. Deren Software-Qualität ist mäßig; sie müssen hin und wieder einmal während eines Flugs neu gestartet werden. Die Mängel sind bekannt, doch keine Fluggesellschaft sieht den Nutzen, in wirklich fehlerfreie Entertainment-Syste-

me zu investieren. Grundsätzlich sind Qualitätsanforderungen und ihre Nuance schwer objektiv beschreib- oder messbar. Außerdem sagt kein Kunde direkt, er wäre mit fehlerhafter Software zufrieden. Gerade deswegen gibt es bei Business-Anwendungen oft butterweiche Formulierungen als Qualitätsanforderung, zum Beispiel „höchstens ein mittelschwerer Fehler“. Hier steht die Testing-Community vor der Herausforderung, praktisch verwendbare Abstufungen in den Qualitätsanforderungen objektivierbar zu machen. Auch wenn das noch eine Weile dauert, sollten schon heute Tester zusammen mit dem Business deren Qualitätserwartungen herausarbeiten – möglichst vor dem Schätzen des Testaufwands.

These 2: Das Anwendungsdesign entscheidet, ob das Testbudget reicht.

Während des Anwendungsdesigns werden User-Experience und Benutzerführung festgelegt. Beides beeinflusst die Testaufwände. Ein grafische Benutzeroberfläche (GUI) für Steuerberechnungen kann aus fünf

Masken bestehen, die in strikter Reihenfolge durchlaufen werden. Hat das GUI stattdessen fünf Fenster, die alle gleichzeitig offen sind und sich gegenseitig beeinflussen, sind die Testaufwände viel höher.

Tester müssen in der Designphase zwei Punkte beachten: 1. Entspricht die vom Business wahrgenommene und gewollte Komplexität (mindestens) der technischalgorithmischen Komplexität?

Versteht das Business nicht, wie seine Anforderungen und die kalkulierten Testaufwände zusammenhängen, wird es die Testaufwände kürzen.

2. Programmieraufwand und Testaufwand sollten vergleichbar wachsen. Steigt der Programmieraufwand linear (z.B. bei einem neuen GUI-Fenster), der Testaufwand aber quadratisch (z.B. weil ein neues GUI-Fenster mit allen bisherigen interagiert), drohen zu kleine Testbudgets.

Abbildung 1: Software-Qualitätssicherung und wie man sie auf das Business ausrichtet.

Im Fokus

45

These 3: Testen ist Risikomanagement, Qualitätsverbesserung ist zweitrangig.

Tester haben oft den Ehrgeiz, möglichst viele Fehler zu finden. Entwickler beheben aber nur einige notdürftig und schon geht die Software in Produktion. Offensichtlich interessiert sich das Business weder für lange Fehlerlisten noch für fehlerfreie Software. Die kritischen BusinessProzesse müssen laufen; das muss der Schwerpunkt beim Testen sein und in Testreports zentral herausgestellt werden. Anstelle technischer Fehlerlisten helfen Status-Ampeln: BusinessProzess „Online-Bestellung“ funktioniert („grün“), Business-Prozess „Warenrückgabe“ hat größere Fehler („rot“).

Ein positiver Nebeneffekt ist, dass die Tester bei Budgetkürzungen das Business einbeziehen können. Das Business kann zu kürzende Status-Ampeln auswählen, dann wird dort nicht mehr getestet.

Natürlich sollen Tester auch Entwickler unterstützen, Fehler finden und so die Software-Qualität verbessern. Diese Aufwände sind aber getrennt von den Dienstleistungen für das Business zu finanzieren.

These 4: Fehlerlisten sind ganz nett, Fehlerprognosen wirklich cool.

Nach der Entwicklung kommt das Testen. Tester können verschieden helfen: 1. Testen als Wasserträger der Entwicklung: Tester suchen in der Vergangenheit gemachte Fehler, inklusive der Fehler, die die Entwickler hätten selbst finden sollen.

2. Testen als Projektcontrolling: Entspricht der von der Entwicklung kommunizierte Projektfortschritt dem heutigen Fortschritt? Funktioniert die Software? Die oben erwähnten Status-Ampeln sorgen beispielsweise gegenüber dem Business für Transparenz.

3. Testen als Prognose: Wird das Produkt vermutlich eingeführt oder drohen Qualitätsprobleme, die das Projekt aus der Bahn werfen können? „Testen als Prognose“ erinnert an Science-Fiction, obwohl schon beim V-Modell die Quality-Gates in diese Richtung gehen. Quality-Gates sind durch „Bauchgefühl“ erstellte Checklisten. Sie legen zum Beispiel fest, welche Tests und Dokumentationen ein Projekt vorlegen muss, bevor es die nächste Phase im Entwicklungsprozess beginnen darf. Diese Checklisten sollen den Projekterfolg garantieren; in der Praxis besteht das Risiko, dass sie eine Qualitätssicherung in eine Qualitätsbürokratie verwandeln.

In der agilen Welt passen QualityGates nur noch begrenzt. Zukunftsorientierter ist eher eine zahlen- und faktenbasierte Prognose, die basierend aus der bisherigen Projekthistorie (Testresultate, geänderte Codezeilen etc.) vorhersagt, ob in einer Woche oder einem Monat Qualitätsprobleme drohen. Das wäre der Heilige Gral des Testens und der Qualitätssicherung.

Was sind die Konsequenzen für Tester?

Mehr Agilität in der Software-Entwicklung bietet Testern die Chance, ihren Arbeitsbereich zu verbreitern und stärker auf das Business auszurichten (Abbildung 1). Dazu gehört, zu Beginn eines Projektes mit dem Business die

Qualitätserwartungen zu definieren.

In der Designphase sollten sie analysieren, wie sich die Benutzerführung auf den Testaufwand auswirkt, so dass noch Korrekturen möglich sind.

Verbesserungen beim Testschwerpunkt und Testreports sind kurzfristig möglich. Das Business möchte keine langen Fehlerlisten. Es muss wissen, welche Geschäftsprozesse (nicht) funktionieren.

Neben den praktischen, neuen Chancen für die Tester gibt es für die Testing-Community eine konzeptionelle Herausforderung. Wie werden Tests „prognosefähig“, so dass sie die Qualität einer Software zuverlässig vorhersagen können – und zwar früh im Entwicklungsprozess? Das vereinfacht Korrekturmaßnahmen.

Diese vier Thesen zeigen Testern den Weg von einer technischen Fehlerorientierung hin zu einem BusinessFokus. Thomas Edison hat eine passende Formulierung geprägt: „Wenn es einen Weg gibt, etwas besser zu machen: Finde ihn!“

Klaus Haller arbeitet bei Swisscom IT Services in Zürich im Consulting mit Schwerpunkt Test­ organisationen, Testdaten, IT-Risk und Data Loss Prevention.

Quiz

Impressum

Sudoku 9

7

3

3

4

5

erschienen im dpunkt.verlag, freuen.

8

6 5

Henkestraße 91, 91052 Erlangen Tel

+49 9131 91910-0

Fax

+49 9131 91910-10

info@asqf.de, www.asqf.de

Die Gewinner sind:

Friedrich-Engels-Str. 24, 14473 Potsdam

5

Klaus Erlenbach, Eggolsheim // Chri-

Tel

+49 331 231810-0

Fax

+49 331 231810-10

4

7

dreas Schneidt, Halstenbek // Christian Kliebe, etamax space GmbH,

REDAKTION

6

Braunschweig // Daniel Fabian, Ma-

V.i.S.d.P.:

5 6

tete TRANSFORMATION. Die Gewintinuous Delivery“ von Eberhard Wolff,

7 9

HERAUSGEBER ASQF e.V.

nern dürfen sich über das Buch „Con-

7 3

8

1

Die Lösung des letzten Sudokus lau-

stian Haunsberger, Ingolstadt // An-

terna GmbH, Dortmund

9

redaktion-sq@isqi.org, www.isqi.org

Stephan Goericke (Hauptgeschäftsführer) Chefredaktion: Christin Senftleben Redaktionsteam:

1

2

Felix Winter Isabel von Gustedt presse@asqf.de

5

8

2

3

redaktion-sq@isqi.org SATZ / LAYOUT

Buchstaben: 1=R, 2=M, 3=T, 4=L, 5=H, 6=I, 7=A, 8=P, 9=U

Frenkelson Werbeagentur, Potsdam

LÖSUNGSWORT

www.frenkelson.de FOTOS: ASQF e.V. und iSQI GmbH Titelbild: © alphaspirit_Depositphotos

Anspruchsvolle Software-Projekte erfolgreich steuern – das Buch „APM – Agiles Projektmanagement“ von Uwe Vigenschow, erschienen im dpunkt.

Verlag, ist die passende Literatur: Der Leser erfährt in diesem Buch, wie er von der Projektvorbereitung und dem Requirements Engineering bis hin zu einer durchgängigen Software-Architektur agil entwi-

ckeln kann. Dabei wird auch auf das skalierbare und flexible APM-Rollenmodell eingegangen, um unterschiedlich große Projekte unter verschiedenen Rahmenbedingungen adressieren zu können. Zusätzlich zu dem Buch bietet der dpunkt.Verlag unter www.dpunkt.de/s/apm den APM-Guide zum kostenlosen Download an. Wenn Sie eines von fünf Büchern gewinnen wollen, schicken Sie das richtige Lösungswort bis 04. Mai an info@asqf.de.

*Der Rechtsweg ist wie immer ausgeschlossen. Die Mitarbeiter der iSQI GmbH und des ASQF e.V. sowie sämtliche am Gewinnspiel beteiligten Personen sind von der Teilnahme ausgeschlossen. Teilnehmer erklären sich mit der Veröffentlichung Ihres Namens in der Folgeausgabe einverstanden.

Seite 8: © Pressmaster_Shutterstock Seite 9: © Wavebreakmedia_Depositphotos Seite 13: © pressmaster_Depositphotos Seite 15: © olly18_Depositphotos Seite 16: © grafvision_Depositphotos Seite 18: © bloomua_Depositphotos Seite 28: © maxkabakov_Depositphotos Seite 34: © agsandrew_Depositphotos Seite 39: © Rangizz_Depositphotos Seite 45: © Sergey Nivens_Shutterstock Alle Portraits und Grafiken mit freundlicher Genehmigung der Autoren.

DRUCK: PRINTEC OFFSET, Kassel DRUCKAUFLAGE: 4.000 Stück INTERNETAUSGABE: www.sq-magazin.de

№ 35

erscheint im Juni 2015

SQ № 35 // Thema: Mehr Qualität mit Software-Projekt-Management // Anzeigenschluss: 13.04.2015 // Redaktionsschluss: 06.04.2015

Mehr Qualität mit Software-Projekt-Management Hervorragendes Software-Projekt-Management (SPM) ist ein wichtiger Erfolgsfaktor für IT-Un­ternehmen.

Bei der Planung, Überwachung, Steuerung und dem Abschluss eines Projekts müssen zahlreiche Anforderungen von unterschiedlichster Ausprägung berücksichtig werden. Deshalb umfasst Projektmanagement als Querschnittsaufgabe vielfältige Themengebiete. Fachübergreifdendes Qualitätsdenken und -handeln spielt in diesem Zusammenhang eine ausschlag­ gebende Rolle, denn die technische Entwicklung von Software allein führt nicht zwangsweise zum Markt- und Unternehmenserfolg.

MEDIADATEN Gern senden wir Ihnen unsere Mediadaten zu.

Richten Sie Ihre Anfrage an redaktion-sq@ isqi.org.

Haben Sie Anregungen zu den Inhalten des SQ-Magazins, dann schreiben Sie an: presse@asqf.de oder redaktion-sq@isqi.org Namentlich gekennzeichnete Beiträge müssen nicht mit der Meinung der Redaktion übereinstimmen. Die Redaktion behält sich das Recht auf sinngerechte Kürzung und Bearbeitung eingereichter Manuskripte vor. Wir machen darauf aufmerksam, dass Daten nicht an Dritte weitergegeben und ausschließlich zur internen Auswertung herangezogen werden können.

Termine Quiz

Fachgruppentermine: März 2015 - Mai 2015 47 03.03.2015: FG Projektmanagement NRW, Köln

/

Virtuelle Teams: Billiger Murks vs. Effiziente Kostenstruktur bei effektiver Qualität?

03.03.2015: FG Software-Test und GI Regionalgruppe Berlin/Brandenburg Entwicklung funktionaler Sicherheit und Tests für autonomes Fahren

MÄRZ

Referentin: Dr. Justyna Zander

05.03.2015: FG Automotive, Nordrhein-Westfalen

Referentin: Dr. Klaudia Dussa-Zieger

12.03.2015: FG Software-Test NRW, Dortmund

Referent: Dr. Matthias Hamburg

19.03.2015: FG Software-Test, BaWü

Referent: Kay Grebenstein

24.03.2015: FG Projektmanagement, Franken

Referent: Werner Motzet

24.03.2015: FG Software-Test, München Thema: „Testdatenmanagement”

Referent: Eckehard Kruse

14.04.2015: FG Requirements Engineering, Franken

/

Thema: ISTQB® goes Automotive! Standardisierte Ausbildung für E/E Tester im Automotive- Bereich „ER-Modellierung für eine klare Testnomenklatur“ „Agile Testmanager - ein Oxymoron“

Thema: Projektleiter Auffrischungskurs

Vorankündigung

14.04.2015: FG Software-Test, Sachsen, Dresden

/

APRIL

Thema: Agile Toolketten, devops

21.04.2015: FG Safety Rhein-Main, Wiesbaden

Referent: Dr. Frank Schuhmacher

23.04.2015: Automotive & Testing Day BaWü

Referent: diverse

Funktionale Sicherheit aus der Praxis Thema: Tester mit drive

MÄRZ 2015 KW

Mo

Di

Mi

Do

Fr

Sa

10

2

3

4

5

6

7

8

11

9

10

11

12

13

14

15

12

16

17

18

19

20

21

22

13

13

24

25

26

27

28

29

14

30

31

KW

Mo

Di

So

9

So 1

APRIL 2015

14

Mi

Do

Fr

Sa

1

2

3

4

5

15

6

7

8

9

10

11

12

16

13

14

15

16

17

18

19

17

20

21

22

23

24

25

26

18

27

28

29

30

KW

Mo

Di

Fr

Sa

So

1

2

3

29.04.2015: FG Agilität, Berlin-Brandenburg Vorankündigung

MAI

07.05.2015: FG Agilität, Baden-Württemberg

/

Vorankündigung

19.05.2015: FG Projektmanagement, Franken

/

Vorankündigung

Alle Termine und Anmeldung unter: https://www.asqf.de/veranstaltungen-termine-rund-um-den-asqf.html

MAI 2015 Mi

Do

18 19

4

5

6

7

8

9

10

20

11

12

13

14

15

16

17

21

18

19

20

21

22

23

24

22

25

26

27

28

29

30

31

Anzeige

software I testing

SCHLECHTE SOFTWARE IST IMMER ZU TEUER Mangelnde Softwarequalität und ausufernde Kosten? Das muss jetzt nicht mehr so sein: Wir, die BDC IT-Engineering GmbH, sind seit über 16 Jahren auf die professionelle Freigabetestung von Softwaresystemen spezialisiert. Deshalb können wir allerhand für Sie tun, auch wenn die Zeit drängt und das Budget langsam knapp wird. Wir passen uns flexibel an Ihre Anforderungen an, und bieten Ihnen die gesamte Produktpalette des Testings.

Egal, zu welchem Projektzeitpunkt Sie auf uns zählen, wir holen das Maximum für Sie heraus!

Mehr dazu: www.bdc.at

German Testing Board www.german-testing-board.info

› Schnelles Feedback für agile Teams!

Mit der neuen ISTQB® Ausbildung zum Agile Tester Informieren Sie sich jetzt über den neuen ISTQB® Foundation Level Extension Syllabus Agile Tester: www.german-testing-board.info

Unsere Premium Partner: ALTRAN GmbH & Co. KG Atos Information Technology GmbH Berner & Mattner Systemtechnik GmbH CGI Deutschland Ltd. & Co. KG Cognizant GmbH EXCO GmbH GQ-Solutions imbus AG ISARTAL akademie GmbH

Knowledge Department GmbH Loyal Team GmbH Lysant GmbH Method Park Consulting GmbH PHILOTECH Systementwicklung und Software GmbH sepp.med gmbh Software Quality Lab GmbH Sogeti Deutschland GmbH T-Systems International GmbH

Unsere Zertifizierungsstellen: Cert-IT GmbH

gasq Service GmbH

iSQI GmbH