IT-Security für eine komplexe Landschaft
von Entwicklungsprozessen und -anwendungen
Branche
Behörden
Umfang
> 3 Personenjahre
Methodik
Agile (Kanban)
Technologien und Werkzeuge
Komplexe IT-Infrastruktur mit Intra- und Internet-
Verfahren, verschiedenen Domänen und
Rechenzentren, demilitarisierten Zonen sowie
einer Vielzahl an eingesetzten Entwicklungssprachen,
Bibliotheken und Technologien, darunter u. a. Java,
JavaScript, Python, Go, Nexus IQ, Sonatype
Repository Firewall, Contrast, Checkmarx,
OAuth2, Code Intelligence, JSON Web Token (JWT)
Das Projekt
Das IT-Systemhaus einer großen deutschen Behörde ist unter anderem verantwortlich für die Abwehr von Cyberangriffen auf deren IT-Infrastruktur und Softwarelandschaft. Hierzu gehört auch die Absicherung der eigenen, agilen Software-Entwicklungsprozesse. Aufgrund von technologischen Neuerungen und ständig neuer Bedrohungen muss das IT-Security-Konzept zur Abwehr von Cyberangriffen kontinuierlich weiterentwickelt werden.
Die develop group wurde damit beauftragt, die Ausarbeitung und Umsetzung einer ganzheitlichen und flexiblen IT-Security-Lösung für die Software-Entwicklungsprozesse und Anwendungen der Behörde kontinuierlich und langfristig zu unterstützen.
Unsere Aufgaben
- Unterstützung bei der Konzeption und Umsetzung einer ganzheitlichen IT-Security-Strategie zur Absicherung der im Hause des Auftraggebers entwickelten Anwendungen und der dabei verwendeten Entwicklungsprozesse
- Beratung und Coaching der zuständigen Abteilungen und Personen zur Sicherstellung der Security Awareness
- Unterstützung bei der Vorbereitung und Durchführung von internen und externen Security Audits
Unsere Voraussetzungen
- umfangreiches Know-how zu aktuellen technologischen Entwicklungen und Trends im Bereich der IT- und Cybersecurity
- langjährige Expertise in der Konzeption und Entwicklung von Enterprise-Architekturen und Anwendungen in komplexen Systemumgebungen
Besondere Herausforderungen
- komplexe IT-Infrastruktur mit mehreren Rechenzentren und Domänen
- ständig neue und sich ändernde Bedrohungsszenarien aus dem Cyberspace
- hohe Änderungs-Frequenz umsetzungspflichtiger IT-Security-Vorgaben von Seiten des BSI (Bundesamt für Sicherheit in der Informationstechnik)
- Abwägung zwischen den Anforderungen einer komplexen IT-Infrastruktur und den Erfordernissen einer heterogenen Anwendungslandschaft
- Spagat zwischen den Erfordernissen der Anwendungssicherheit einerseits und dem Produktivitätsverlust der Teams durch zu restriktive Sicherheitsmaßnahmen andererseits
Unsere Lösungsbeiträge
- Mitwirkung bei der Konzeption eines ganzheitlichen IT-Security-Konzeptes und bei der Definition entsprechender sicherheitsrelevanter Prozesse und Methoden
- Unterstützung bei der Einführung eines ganzheitlichen Security Information and Event Management Systems (SIEM)
- Auswahl und Implementierung von Werkzeugen zur automatisierten Absicherung der Software-Supply-Chains
- Absicherung von Softwarezugängen für Bibliotheken, Third-Party-Software und Container Images
- Weiterentwicklung der automatisierten Risikoanalyse von Anwendungen und Entwicklungsprozessen
- Unterstützung bei der Einführung neuer Sicherheitstechnologien, z. B. Authentifizierung mit OAuth2 und JWT
- Schwachstellenanalyse verwendeter Softwarebibliotheken sowie Implementierung von Maßnahmen zur Sicherung der Anwendungen und des verwendeten Codes
- Auswertung von Penetrationstests und Unterstützung der Entwicklungsteams bei der Umsetzung geeigneter Maßnahmen zur Behebung der Schwachstellen
- Erstellung von Demo-Anwendungen und -Integrationstests zur Auswirkungs- und Verhaltensanalyse bei der Einführung neuer Technologien und Werkzeuge