Generelle Sicherheitseigenschaften von guter Software wie die Wahrung von Vertraulichkeit, Integrität, Verfügbarkeit und Authentizität der Daten und Dienste sind auch Qualitätseigenschaften und damit Gegenstand von Überlegungen zum Thema Softwarequalität. Während man sich üblicherweise fragt, was man tun kann, um in diesen Eigenschaften bessere Software zu entwickeln, geht Markus Wutzke, Security Consultant bei Secaron AG, den umgekehrten Weg. Er kündigte für das Softwareforum Leipzig am 29./30. November den Workshop „Sicherheit und Datenschutz in der Entwicklung von Geschäftsanwendungen“ an, in dem er darstellen will, was man alles tun sollte, um seine Software möglichst gut bestückt mit Sicherheitslücken und Schwachstellen auszuliefern.
Wutzke sieht dafür im Wesentlichen sieben Schritte als erforderlich an und empfiehlt für den geplanten Software-GAU provokativ folgende Fehlentscheidungen auf Management-Ebene:
• Planen Sie kein Budget für Sicherheitseigenschaften ein.
• Verankern Sie keine Sicherheitsaktivitäten in Ihrem Entwicklungsprozess.
• Ermitteln Sie nur funktionale Anforderungen aber keine Sicherheitsanforderungen.
• Schulen Sie ihre Entwickler nicht in Sicherheitsthemen.
• Erfinden Sie stets das Rad neu.
• Vermeiden Sie Security-Tests.
• Installieren Sie die Software auf einer Standardbetriebsumgebung.
Mehr als 2/3 aller Probleme in der IT-Sicherheit sind softwarebezogen. Jedoch wird Sicherheit oftmals erst als Reaktion auf eine Bedrohung oder nach einem Angriff als wichtiges Qualitätsmerkmal eines Softwareprodukts erkannt. Sie bedarf jedoch der kontinuierlichen Integration in den Entwicklungsprozess, wie es z.B. Initiativen wie das Clean Code Development (CCD) oder Microsofts Security Development Lifecycle (SDL) vorsehen.
Letztlich bildet sichere Softwareentwicklung auch eine Schnittmenge aus Ansätzen der Informationssicherheit und der Softwarequalität.
