Mit Gamification und Storytelling zur sicheren Anwendung

---

Workshop am 6. Mai 2024, ca. 9 - 17 Uhr

---

Um Security systematisch zu betrachten, müssen die Expertinnen und Experten verstehen, welche fachlichen Assets schützenswert sind und das Entwicklungsteam die Security-Fachsprache verstehen. Unzureichend ist es, wenn nur Security-Experten Anforderungen diktieren und Lösungen vorgeben. Auch Entwicklungsteam und zum Beispiel Datenschutz oder Fachseite können wertvolle Beiträge leisten.

Folgende Schritte zur sicheren Software nutzen wir im Workshop, um mit Gamification und Kollaboration ein Sicherheitskonzept schrittweise zu entwickeln und aus unterschiedlichsten Perspektiven zu prägen:

Sichere Software muss geplant werden!

• Was haben wir gebaut/wollen wir bauen?
  
• Hier zeigen wir, wie kollaborativ mit Freeware-Tools die statische Systemsicht entwickelt werden kann.

Schutzbedarfsanalyse: Was ist schützenswert?

• Wir ermitteln aus dem Domänenwissen die schützenswerten Dinge ("Assets") der Anwendung und analysieren ihren Schutzbedarf.
  
• Dabei berücksichtigen wir mindestens die drei primären Schutzziele der Vertraulichkeit, Integrität und Verfügbarkeit.
  
• Der kollaborative Ansatz hilft uns dabei, in der Analyse von Schutzbedarf und Risiken die Meinungen von verschiedenen Stakeholdern zu berücksichtigen.

Was kann schon schief gehen?

• Das Kartenspiel "Cornucopia" nutzen wir für den Einstieg in die Entwicklung der Bedrohungsszenarien.
  
• Konkrete Angriffsszenarien werden mit Domain Storytelling kollaborativ visualisiert, um die Erfahrungen aller Stakeholder einzubeziehen und die Lösungsfindung zu erleichtern.
  
• Die Szenarien helfen gegenseitigen Know-how-Transfer von Security-Wissen, aber auch der Fachdomäne bei allen Beteiligten zu unterstützen und fokussiert Gegenmaßnahmen zu finden.

Neben einem unserer Projekte, an dem wir das Vorgehen beispielhaft erläutern, werden wir entweder eine weitere Fallstudie mitbringen und gemeinsam auseinandernehmen oder (noch besser!) wir erkunden einen Problemraum von euch!

Vorkenntnisse

• Keine – es wird als Einstieg gezeigt, wie kollaborativ mit Freeware-Tools die statische Systemsicht entwickelt werden kann und fachliche Assets gefunden werden.
  
• Die OWASP-Cornucopia-Karten werden erläutert.
  
• Domain Storytelling (szenariobasiert) wird erklärt und direkt genutzt, um Beispiele mit konkreten Angriffsszenarien zu modellieren.

Lernziele

• Kennenlernen eines pragmatischen Vorgehens zu den komplexen Herausforderungen im Bereich Security
  
• Erfahren, wie Teams für schwierige Fragestellungen wie Security eine einfache, verständliche und zielorientierte Methodik nutzen können, wie kollaborative Techniken sie bieten können
  
• Security ist Teamwork und braucht Know-how von allen Stakeholdern
  
• Sich über Security Gedanken machen, kann wirklich Spaß machen!