Die Anwendungssicherheitsinfrastrukturen
Der Schritt zur Anwendungssicherheitsinfrastruktur
Die größte Herausforderung bei der Definition und Implementierung einer Anwendungssicherheitsinfrastruktur liegt darin, dass zwei unterschiedliche Bereiche einbezogen werden müssen: Administratoren und Anwendungsentwickler. Schon das kann zu Problemen führen, die noch dadurch verstärkt werden, dass sich Entwickler zwangsläufig umstellen müssen, wenn sie für alle sicherheitsrelevanten Funktionen nur noch einen definierten Satz von Diensten nutzen dürfen.
Zudem bedeutet die Umstellung auf Anwendungssicherheitsinfrastrukturen oft auch Investitionen in diese Infrastruktur, beispielsweise für den Ausbau der Zertifikatsdienste oder die Integration von Informationen in verschiedenen Verzeichnisdiensten. Dennoch ist der Schritt unumgänglich, um ein hohes Maß an Anwendungssicherheit im Unternehmen zu erreichen.
Die Definition einer solchen Infrastruktur setzt voraus, dass die für die Anwendungssicherheit erforderlichen Dienste definiert und entsprechend durch Infrastrukturkomponenten abgedeckt werden. Dieser Prozess lässt sich in homogenen Umgebungen einfacher durchführen als im komplexen, heterogenen Umfeld, aber in jedem Fall nimmt er einige Zeit in Anspruch.
Es bietet sich an, hier auch schrittweise vorzugehen und nicht zu versuchen, die perfekte Lösung für alle Arten von Anwendungen zu erstellen. Der erste Schritt muss aber in jedem Fall sein, die strategischen Plattformen für die Anwendungsentwicklung festzulegen, also beispielsweise die Verwendung des Microsoft .NET Framework ab der Version 2.0 und andererseits einer definierten J2EE Application Server-Plattform.
Anschließend müssen die zu verwendenden Verzeichnisdienste, Authentifizierungsmechanismen und Konzepte für die Autorisierung definiert werden. Neue Anforderungen wie die Umsetzung von Geschäftsprozessen auch über die Unternehmensgrenzen hinweg und damit beispielsweise die Notwendigkeit, auch Federation-Technologien zu nutzen, müssen unbedingt einbezogen werden.
Nachdem die Dienste definiert sind, muss die Infrastruktur entsprechend aufgebaut werden. Das kann relativ aufwändig werden, wenn beispielsweise ADAM-Infrastrukturen aufgebaut, Identitätsdaten aus verschiedenen Verzeichnissen integriert, Zertifikatsdienste flächendeckend aufgebaut oder Rollenkonzepte auf anwendungsübergreifender Ebene definiert werden müssen. Insofern ist die Definition und Umsetzung einer Anwendungssicherheitsinfrastruktur auch ein Prozess, der längere Zeit in Anspruch nimmt. Außerdem wird man sich immer auf Neuanwendungen konzentrieren müssen, da die Umstellung von bestehenden Anwendungen in den meisten Fällen zu aufwändig ist. Der Weg muss hier aber das Ziel sein – denn ohne definierte Anwendungssicherheitsinfrastruktur besteht bei jeder Investition in neue Anwendungen und die Änderung bestehender Anwendungen ein erhebliches Risiko der Fehlinvestition, weil diese den steigenden Sicherheitsanforderungen nicht genügen wird, wenn sie sich nicht in zentrale Sicherheitskonzepte integrieren lässt.
Die Kostenkomponente
Die Frage, wie sich die Kosten, die durch den Aufbau einer Anwendungsinfrastruktur entstehen, rechtfertigen lassen, stellt sich praktisch immer. Für den Aufbau beispielsweise von Zertifikatsdiensten, ADAM-Verzeichnissen und ihre Integration mit den MIIS 2003 ist ein beachtlicher Aufwand erforderlich. Gerade bei Anwendungsinfrastrukturen lassen sich solche Kosten aber relativ gut begründen, weil man den potenziell geringeren Administrationsaufwand, vor allem aber die niedrigeren Entwicklungskosten ins Feld führen kann. Zwar ist die Quantifizierung auch hier problematisch - es gibt aber nachvollziehbare Posten, bei denen Einsparungspotenzial besteht.